IA générative en entreprise : le risque du shadow AI

Qu’est-ce que le "shadow AI" ?

Le “shadow AI" (ou shadow IA) désigne l’utilisation d’outils d’intelligence artificielle générative (ChatGPT, Claude, Gemini et d’autres) par les collaborateurs d’une entreprise, sans autorisation ni supervision de la direction ou du service informatique. Le terme fait écho au "shadow IT", ce phénomène plus ancien où des salariés utilisaient des outils numériques non validés par leur entreprise, mais à une échelle et une vitesse de diffusion nettement supérieures.

Selon le baromètre IFOP-Talan 2025, une majorité de salariés français utilisant l’IA générative au travail le font sans que leur direction ou leur service informatique en ait connaissance. Ce n’est pas un phénomène marginal réservé à quelques profils technophiles : c’est devenu, dans de nombreuses organisations, le comportement par défaut face à un besoin de productivité que les outils officiels ne couvrent pas toujours.

Pourquoi l’interdiction pure ne fonctionne pas

Bloquer l’accès à ces outils sur le réseau de l’entreprise peut sembler une réponse de bon sens. Dans les faits, cette approche pousse surtout les usages vers plus de dissimulation : les collaborateurs contournent le blocage depuis leur téléphone personnel ou un réseau externe, sans que l’entreprise en garde la moindre visibilité. Plusieurs grandes entreprises internationales ayant tenté l’interdiction stricte sont revenues sur cette politique pour privilégier un encadrement structuré plutôt qu’un blocage qui ne fait que déplacer le risque hors de portée.

Le cas Samsung, largement documenté depuis 2023, illustre le mécanisme central du risque : des ingénieurs avaient copié du code source confidentiel dans ChatGPT pour déboguer un programme et optimiser une synthèse, sans intention malveillante, simplement pour gagner du temps sur une tâche répétitive. C’est ce même schéma qui se reproduit aujourd’hui, à plus grande échelle, avec des données clients, des contrats ou des données RH.

Les trois risques concrets pour votre entreprise

• La fuite de données confidentielles. Les versions gratuites et grand public de ces outils peuvent conserver les données saisies, potentiellement pour l’entraînement de leurs modèles, selon les conditions d’utilisation de chaque service. Une donnée client, un contrat confidentiel ou un reporting financier collé dans un outil non maîtrisé peut ainsi quitter durablement le périmètre de contrôle de l’entreprise, sans qu’aucune règle de sécurité interne n’ait été techniquement violée au sens strict. 
• La non-conformité réglementaire. Un salarié qui soumet des données personnelles à une IA générative grand public, sans accord de traitement des données (DPA) entre l’entreprise et le fournisseur de l’outil, place potentiellement l’entreprise en situation de non-conformité au RGPD. Les sanctions pour manquement peuvent atteindre 4 % du chiffre d’affaires annuel mondial. Voir notre article sur les obligations RGPD et la notification CNIL. Le règlement européen sur l’intelligence artificielle (AI Act), dont l’application progressive s’échelonne depuis 2024, ajoute une couche supplémentaire d’exigences de transparence et de gouvernance sur les systèmes d’IA utilisés en entreprise. 
• Le coût réel en cas d’incident. Selon le rapport IBM Cost of a Data Breach 2025, la présence de Shadow AI dans une organisation touchée par une violation de données s’accompagne d’un surcoût significatif par rapport aux organisations qui en sont peu ou pas affectées, un facteur aggravant documenté, pas seulement une inquiétude théorique. Voir notre article sur le coût réel d'une cyberattaque. 

Encadrer plutôt qu’interdire

• Cartographiez les usages réels avant de fixer une politique. Un audit informel — quelles équipes utilisent quels outils, pour quels usages — permet de bâtir une politique adaptée à la réalité plutôt qu’à une hypothèse. 
• Proposez une alternative validée par l’entreprise. Un outil d’IA générative encadré contractuellement (avec accord de traitement des données, hébergement maîtrisé) répond au même besoin de productivité sans l’exposition d’un compte personnel gratuit. 
• Formez plutôt que de vous contenter d’interdire. Une charte d’usage de l’IA, connue et comprise, associée à une formation sur les types de données à ne jamais soumettre à un outil non validé, a un effet démontré sur les comportements, bien plus qu’une interdiction seule, qui pousse à la dissimulation. 
• Impliquez la direction financière et RH, pas seulement la DSI. Ces fonctions manipulent des données particulièrement sensibles (paie, contrats, prévisions financières) et sont souvent les moins associées aux politiques de sécurité IA, alors qu’elles y sont directement exposées. Voir notre article DAF : la cybersécurité est aussi votre responsabilité. 
• Suivez l’évolution des outils sur le marché. Le paysage de l’IA en entreprise évolue vite ; une politique figée devient rapidement obsolète. Une revue périodique, au même titre qu’une revue de vos accès ou de vos sauvegardes, garde votre cadre pertinent dans la durée.

Un risque à ne pas confondre avec l’IA comme arme d’attaque

Ce sujet est distinct, mais complémentaire, de l’usage de l’IA par les cybercriminels pour rendre leurs attaques plus crédibles (phishing sans fautes, deepfakes, usurpations mieux préparées). Voir notre article Cybersécurité et IA : six réflexes pour votre entreprise. Les deux risques partagent une même origine : l’IA générative a considérablement abaissé la barrière à l’entrée, aussi bien pour un attaquant qui veut tromper vos équipes que pour un collaborateur qui veut simplement gagner du temps.

Questions fréquentes

Faut-il interdire ChatGPT et les outils similaires dans mon entreprise ?

L’interdiction pure pousse généralement les usages vers plus de dissimulation plutôt que de les faire disparaître. Une politique d’encadrement — outils validés, charte d’usage, formation — a un effet plus durable qu’une interdiction seule. 

Un salarié qui utilise ChatGPT sans autorisation commet-il une faute professionnelle ? 

Cela dépend du règlement intérieur et de la charte informatique de l’entreprise. En l’absence de règle claire et communiquée, il est difficile de sanctionner un usage que l’entreprise n’a jamais formellement encadré, d’où l’intérêt de formaliser une politique plutôt que de compter sur le bon sens individuel. 

Les outils IA payés par l’entreprise (comptes professionnels) éliminent-ils le risque ? 

Ils le réduisent fortement, notamment si un accord de traitement des données est en place avec le fournisseur, mais n’éliminent pas le risque humain : un salarié peut encore soumettre des données inappropriées à un outil pourtant validé, si le contenu qu’il peut y saisir n’est pas défini clairement. 

Quelles données ne devraient jamais être soumises à un outil d’IA générative non validé ? 

Les données personnelles de clients ou de salariés, les informations financières non publiques, le code source ou la propriété intellectuelle de l’entreprise, et toute information couverte par une clause de confidentialité contractuelle.