Shadow AI : vos salariés utilisent déjà ChatGPT au travail, et c'est votre problème

Posez la question en comité de direction : « Qui utilise l'IA dans l'entreprise ? »

Vous obtiendrez probablement une liste courte : le service marketing pour quelques visuels, peut-être un pilote côté IT. Rien d'inquiétant.

Posez maintenant la vraie question : « Qui, parmi nos collaborateurs, utilise ChatGPT cette semaine pour son travail ? »

La réponse honnête, dans la plupart des organisations : beaucoup plus de monde que vous ne le pensez. Et la majorité ne vous le dira jamais.

Ce qui a changé : ChatGPT est devenu un réflexe, pas un gadget

Il faut prendre la mesure du basculement. Il y a encore deux ou trois ans, l'IA générative était un sujet de curiosité, réservé à quelques profils tech et à des démonstrations impressionnantes mais anecdotiques.

Ce temps est révolu. ChatGPT est aujourd'hui utilisé par tout le monde, et il est devenu l'un des abonnements payants les plus souscrits par les salariés à titre personnel. Là où l'on payait hier pour du streaming ou du sport, on paie désormais aussi pour un assistant IA. C'est un fait de société inédit : jamais un outil professionnel ne s'était diffusé aussi massivement par le canal personnel.

Concrètement, cela signifie que vos collaborateurs arrivent au bureau avec, dans leur poche, un outil surpuissant que vous n'avez ni choisi, ni configuré, ni encadré. Et ils s'en servent :

• pour reformuler un e-mail délicat à un client ;

• pour résumer un compte rendu de réunion ;

• pour préparer une proposition commerciale ;

• pour analyser un fichier Excel qui ne voulait rien dire ;

• pour traduire un contrat.

Chacun de ces usages paraît anodin. Aucun ne l'est.

La shadow AI : quand l'abonnement perso travaille « en douce »

Ce phénomène porte un nom : le shadow AI, petite sœur du shadow IT que les DSI connaissent bien. Elle désigne tous ces usages d'intelligence artificielle qui se développent dans l'organisation sans validation, sans cadre et sans visibilité.

Sa particularité, c'est qu'elle est presque toujours bien intentionnée. Le salarié qui colle un document interne dans son ChatGPT personnel ne cherche pas à nuire : il cherche à aller plus vite, à mieux faire son travail. C'est précisément ce qui rend la shadow AI si difficile à détecter, et si répandue.

Le problème n'est pas l'intention. Le problème, c'est le trajet des données.

Ce que risque réellement votre entreprise

Quand un collaborateur utilise son abonnement personnel pour traiter des informations de l'entreprise, voici ce qui se passe concrètement :

1. Une exposition RGPD directe

Un fichier client, une liste de candidats, un échange contenant des données personnelles copiés dans un compte ChatGPT personnel constituent un transfert de données personnelles hors de tout cadre contractuel. Pas de contrat de sous-traitance, pas de garanties, pas de maîtrise de la localisation ni de la durée de conservation. En cas de contrôle ou de fuite, c'est l'entreprise - pas le salarié - qui répond devant la CNIL. Et une violation de données avérée doit lui être notifiée sous 72 heures... encore faut-il savoir qu'elle a eu lieu.

2. La confidentialité et le secret des affaires en jeu

Chiffres non publiés, stratégie commerciale, éléments de propriété intellectuelle, informations sous NDA : sur un compte personnel, ces données sortent du périmètre de l'entreprise sans laisser de trace. Selon les paramétrages du compte, elles peuvent en outre être utilisées pour entraîner les modèles. Vous ne savez ni ce qui est sorti, ni où, ni depuis quand.

3. Aucune traçabilité, aucune réversibilité

C'est la différence fondamentale avec un outil déployé officiellement : la shadow AI ne laisse aucun journal, aucun historique côté entreprise. Le jour où un incident survient — fuite, litige avec un client, contrôle —, vous êtes incapable de reconstituer ce qui s'est passé. Vous découvrez le problème par ses conséquences.

4. Un angle mort de conformité IA Act

Depuis février 2025, l'IA Act impose aux organisations de s'assurer que leur personnel maîtrise les outils d'IA qu'il utilise (obligation dite de « maîtrise de l'IA »). Or par définition, la shadow AI concerne des usages que vous ne connaissez pas — donc des utilisateurs que vous n'avez ni formés, ni encadrés. Chaque usage clandestin est un manquement potentiel qui s'accumule silencieusement.

Le réflexe qui aggrave tout : interdire

Face à ce constat, la tentation est immédiate : bloquer ChatGPT sur le réseau, interdire l'IA par une note de service, et considérer le sujet clos.

C'est la pire des réponses, pour une raison simple : l'interdiction ne supprime pas l'usage, elle le rend invisible. Le salarié qui gagnait deux heures par semaine grâce à l'IA ne va pas y renoncer. Il va basculer sur son smartphone personnel, en 4G, hors de tout contrôle. Vous n'aurez pas réduit le risque : vous aurez perdu le peu de visibilité qui vous restait — et au passage, vous vous serez privé des gains de productivité que vos concurrents, eux, sont en train d'organiser.

L'histoire du shadow IT l'a démontré pendant vingt ans : on ne gagne jamais contre un outil que les utilisateurs jugent indispensable. On ne peut que l'encadrer.

La seule réponse viable : encadrer et former

Sortir de la shadow AI ne demande pas de moyens considérables. Cela demande une méthode, en trois temps :

1. Voir. Cartographier les usages réels de l'IA dans l'organisation — officiels et officieux. Cela passe moins par des outils de surveillance que par un dialogue déculpabilisé : les collaborateurs révèlent leurs usages quand ils comprennent qu'on cherche à les sécuriser, pas à les sanctionner.

2. Cadrer. Définir une charte IA claire et pragmatique : quels outils sont autorisés, quelles données ne doivent jamais y entrer, quels usages nécessitent une validation. Une charte de deux pages appliquée vaut mieux qu'une politique de trente pages ignorée.

3. Former. C'est le pilier qui rend les deux autres possibles — et c'est désormais une obligation légale. Un collaborateur formé sait distinguer une donnée confidentielle d'une information publique, comprend pourquoi la charte existe, connaît les limites des outils (hallucinations, biais, confidentialité) et devient votre première ligne de défense au lieu d'être votre principal facteur de risque.

Les grandes entreprises l'ont compris : plutôt que de subir la shadow AI, elles déploient des programmes de formation massifs et fournissent des outils encadrés. Le message envoyé aux équipes est le bon : « l'IA, oui — mais avec les bonnes pratiques ».

En résumé

La shadow AI n'est pas une hypothèse : si vos salariés ressemblent aux salariés français dans leur ensemble, elle existe déjà chez vous. La question n'est pas de savoir si vos équipes utilisent l'IA, mais si elles le font dans un cadre qui protège l'entreprise — ou dans l'ombre, avec vos données.

La bonne nouvelle : transformer ce risque en avantage est un projet rapide, structurant, et qui répond au passage à une obligation réglementaire déjà en vigueur.

Pour aller plus loin : lisez notre article [« On n'est pas concernés par l'IA Act » : l'erreur qui coûtera cher aux entreprises en 2026 →]

Afcos Consultants vous accompagne

Organisme de formation certifié Qualiopi — formations éligibles aux financements —, Afcos Consultants accompagne entreprises et acteurs publics dans l'encadrement des usages de l'IA : sensibilisation aux risques RGPD et confidentialité, élaboration de chartes IA, formation des équipes et mise en conformité IA Act.

Ou demandez un audit gratuit de vos usages IA : en 30 minutes, nous identifions ensemble vos zones d'exposition prioritaires.