Shadow AI en entreprise : pourquoi les salariés persistent et comment les règles évoluent

Le deuxième Baromètre IAIntelligence artificielleEnsemble de techniques permettant à des machines d'accomplir des tâches nécessitant habituellement certaines capacités humaines, comme la reconnaissance, la prédiction ou la prise de décision. Entreprise et Durabilité, publié en mars 2026, montre que le recours à des outils d’intelligence artificielle non validés par l’employeur reste très répandu. Six salariés sur dix (66 %) déclarent observer du « Shadow AI » dans leur organisation, et la réponse la plus fréquente des entreprises face à ce phénomène est la tolérance (24 %). Ces chiffres, recueillis auprès de 826 professionnels de l’IT et du digital en France, au Royaume‑Uni, en Allemagne et en Espagne, soulèvent la question de la gouvernance de l’IA en interne.

Les raisons du Shadow AI

Selon les réponses du baromètre, trois facteurs expliquent la persistance du Shadow AI même lorsque l’entreprise propose ses propres solutions. D’abord, l’habitude : de nombreux salariés ont déjà intégré un assistant externe avant même que l’employeur ne déploie un outil officiel. Ensuite, la performance : les solutions internes sont souvent perçues comme moins performantes que leurs homologues du marché. Enfin, le confort d’usage : les interfaces propriétaires peuvent être plus lentes ou moins ergonomiques, poussant les utilisateurs à chercher une alternative plus fluide.

Encadrer ou tolérer ?

Interdire purement et simplement l’usage d’outils non validés ne suffit pas. Le baromètre indique qu’une entreprise sur huit voit le Shadow AI perdurer malgré une interdiction claire, tandis que la tolérance concerne une entreprise sur quatre. L’interdiction reste pertinente lorsqu’elle porte sur des données sensibles – par exemple, interdire le traitement de dossiers clients, de fiches de paie ou de contrats en cours dans des outils grand public. Au‑delà de ces cas précis, les experts préconisent un encadrement : définir quels usages sont autorisés, avec quels outils et sur quelles données, puis fournir une alternative officielle de qualité.

Usages sous‑estimés malgré l’acceptation

Parmi les pratiques déjà autorisées, deux usages sont souvent négligés. La première est la transcription automatisée des réunions. Quatre entreprises sur cinq utilisent déjà des modèles de langage pour résumer les visioconférences ou aider à la rédaction d’e‑mails. En France, seulement 40 % des répondants affirment que le consentement à l’enregistrement est explicitement demandé et tracé ; les autres constatent un cadre informel voire inexistant. Cette situation soulève des enjeux de conformité au RGPD et de confiance entre collègues. Le second usage sous‑estimé concerne le recrutement : faire classer ou résumer des candidatures avec une IA semble anodin, mais ces systèmes sont classés à haut risque par l’AI Act et devront être encadrés dès décembre 2027.

Le cadre réglementaire de l’AI Act

Depuis le 2 août 2026, l’AI Act impose aux entreprises des obligations de transparence : informer les utilisateurs lorsqu’ils interagissent avec une machine et rendre identifiables les contenus générés par l’IA. Depuis février 2025, les organisations doivent également former leurs équipes à un niveau suffisant de connaissance de ces outils. Le texte fonctionne bien pour les systèmes à haut risque, comme ceux utilisés dans le recrutement, mais il laisse les usages internes, notamment le copier‑coller d’un document dans un assistant personnel, relevant davantage de la politique interne et du RGPD. Une charte d’usage interne reste donc indispensable pour combler le vide laissé par la loi.

Construire un cadre à partir des pratiques réelles

Les auteurs du baromètre, dont Dejan Glavas de l’ESSCA, recommandent de partir d’un inventaire des usages existants. Il s’agit de sonder anonymement les équipes sur les outils employés, les tâches réalisées et les données traitées. Une fois la cartographie réalisée, les usages peuvent être classés par niveau de risque et par besoin de gouvernance. Les règles doivent être simples, précises et communiquées clairement : interdiction de traiter des données personnelles dans des outils non certifiés, obligation d’utiliser l’outil officiel pour les cas critiques, et mise à disposition d’une alternative performante pour les besoins courants. Ce processus itératif, couplé à une formation continue, permet de réduire le Shadow AI tout en conservant les gains de productivité attendus.

Vers un futur où l’IA est à la fois puissante et maîtrisée

Le baromètre souligne que moins de trois répondants sur dix estiment que leur entreprise connaît bien le texte de l’AI Act, et que la méconnaissance reste plus forte dans les petites structures. Faire connaître la réglementation, associer les équipes aux décisions d’outil et assurer une vraie transparence sur les usages sont les leviers qui permettront de passer d’une tolérance passive à une gouvernance active. Dans un contexte où les agents IA capables d’enchaîner plusieurs tâches apparaissent, ces bonnes pratiques deviendront encore plus cruciales pour éviter que la complexité ne dépasse le cadre de contrôle.

En pratique, chaque entreprise devra donc équilibrer performance, conformité et confiance : offrir des outils à la hauteur du marché, former les salariés aux risques et établir des règles simples mais fermes. C’est ainsi que le Shadow AI pourra progressivement reculer, sans freiner l’innovation.