Vos salariés utilisent des outils d'IA en cachette (« shadow AI ») : que faire, sans interdire ?

Le scénario en bref

Exemple, inventé pour illustrer. Dans un cabinet médical fictif de six personnes, la secrétaire doit répondre à un patient mécontent. Pour gagner du temps, elle copie le courrier du patient, avec son nom, sa date de naissance et le détail de son traitement, dans un assistant d'IA grand public ouvert sur son téléphone, et demande une réponse « polie mais ferme ». La réponse est excellente. Personne ne lui a interdit de le faire. Personne ne le lui a autorisé non plus, et personne ne sait que le cabinet a, ce jour-là, confié des données de santé à un service en ligne dont il n'a jamais lu les conditions.

C'est ce qu'on appelle le « shadow AI » (l'IA de l'ombre) : des outils d'intelligence artificielle utilisés au travail sans que la direction le sache ni l'ait organisé. Ce n'est pas de la mauvaise volonté. C'est presque toujours une personne consciencieuse qui veut aller plus vite.

Ce que disent les chiffres

Un sondage Ifop pour Talan (« Les Français et les IA génératives », mars 2025, 1 100 personnes) l'a mesuré : parmi les personnes qui utilisent l'IA générative au travail et ont un supérieur, 49 % ne l'en ont pas informé. Elles étaient 68 % en mai 2023. Le tableau d'ensemble :

L'écart est net : selon l'Insee, moins d'une entreprise sur cinq utilise l'IA, et celles qui s'en passent citent d'abord le manque de compétences (54 %) et la protection des données (38 %). Pendant ce temps, plus d'un Français sur trois s'en sert déjà et, selon Eurostat, plus de la moitié des utilisateurs en âge de travailler s'en servent pour leur travail. Si personne ne l'organise, cela se fait quand même, avec des comptes personnels.

Où est le vrai risque ?

L'IA générative (celle qui rédige, résume ou traduit à partir d'une simple demande) n'est pas dangereuse en soi. Le risque tient à deux choses très concrètes.

1. Les données qu'on y colle

L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, le disait sans détour dès 2024 dans son guide sur l'IA générative : envoyer des textes, images ou documents à un service d'IA générative grand public revient à les déposer sur un espace de stockage qui appartient à ce service. Elle rappelle que, dans la majorité des offres, les données envoyées sont collectées et utilisées par le prestataire pour améliorer ses modèles, et recommande de proscrire l'usage professionnel de ces outils en ligne dès qu'il implique des données sensibles : données personnelles, données contractuelles, juridiques ou financières, mots de passe.

Avec un compte personnel gratuit, c'est le salarié qui accepte les conditions de l'outil, pas l'entreprise. Vous n'avez alors ni contrat, ni maîtrise des réglages, ni moyen de savoir ce qui a été envoyé.

2. Les réponses qu'on croit sur parole

Une IA conversationnelle peut se tromper avec aplomb : inventer une référence, un chiffre, un article de loi. La Commission européenne cite ce risque, appelé « hallucination », comme le premier point à expliquer aux employés qui utilisent ces outils. Un courrier, un devis ou une note rédigés avec l'IA doivent donc toujours être relus par quelqu'un qui connaît le sujet.

Pourquoi interdire ne marche pas

Interdire semble la solution la plus sûre ; c'est souvent la moins sûre. L'outil est gratuit, il tient dans un téléphone et il fait gagner du temps : une interdiction ne supprime pas le besoin, elle déplace l'usage hors de votre vue, sur des comptes personnels, sans aucune règle. Vous perdez au passage la possibilité de choisir un outil dont le contrat protège vos données.

Ce que recommande la CNIL

La CNIL va dans le même sens dans ses premières recommandations de juillet 2024 :

• Encadrer les usages : établir une liste des usages permis et des usages proscrits, en tenant compte des risques.
• Ne pas fournir de données personnelles à l'outil.
• Vérifier le prestataire : s'il est externe, savoir s'il peut réutiliser les données saisies, et adapter l'usage en conséquence.
• Former et sensibiliser les utilisateurs, et associer dès le début le délégué à la protection des données s'il y en a un.

Ce que la loi vous demande déjà

Le règlement européen sur l'intelligence artificielle, l'AI Act, concerne aussi les PME qui se contentent d'utiliser des outils d'IA. Son article 4 demande aux entreprises qui utilisent l'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel, c'est-à-dire les connaissances nécessaires pour s'en servir en comprenant ses limites et ses risques. Cette obligation s'applique depuis le 2 février 2025 ; son texte a été réécrit en juillet 2026, mais elle reste une obligation.

Dans ses questions-réponses sur la maîtrise de l'IA, la Commission européenne prend un exemple très proche du vôtre : des employés qui utilisent une IA conversationnelle pour rédiger des textes publicitaires ou pour traduire. Sa réponse : oui, ils doivent être informés des risques propres à ces outils, par exemple les hallucinations. Ce qu'il faut retenir :

• Pas de certificat obligatoire ni de format imposé : une formation adaptée à vos usages suffit.
• Gardez une trace : une simple note interne des formations et des consignes données.
• Le mode d'emploi de l'outil ne suffit pas : pour la Commission, se contenter de le faire lire risque d'être inefficace.
• Le contrôle a commencé : les règles de surveillance s'appliquent depuis le 2 août 2026, sous la responsabilité des autorités nationales.

S'y ajoute le RGPD : coller des données de patients ou de clients dans un outil en ligne, c'est les confier à un tiers. Vous devez pouvoir dire lequel, pour quoi faire, et avec quelles garanties.

Le plan en cinq gestes, dès lundi matin

1. Demandez, sans sanction. Un court questionnaire anonyme ou un tour de table : quels outils d'IA utilisez-vous, pour quoi faire, avec quel type d'information ? Annoncez d'emblée que personne ne sera puni. Vous découvrirez des usages utiles que vous voudrez garder.
2. Choisissez un outil officiel. Une version professionnelle, au nom de l'entreprise, dont le contrat précise que vos données ne servent pas à entraîner l'outil, et qui vous permet de gérer les comptes et de couper un accès quand quelqu'un quitte l'entreprise. Un abonnement professionnel coûte toujours moins cher qu'une fuite de données.
3. Écrivez la règle en une page. Les usages autorisés, ce qu'on ne colle jamais (le tableau ci-dessus), l'obligation de relire avant d'envoyer, et à qui poser une question en cas de doute. Une page lue vaut mieux que vingt pages ignorées.
4. Formez une heure. Comment bien formuler une demande, comment masquer un nom (« M. X », « le patient »), pourquoi tout relire. Notez la date et les participants : c'est votre trace pour l'AI Act, et la formation que demande la CNIL.
5. Revoyez tous les six mois. Les outils changent vite. Refaites le tour de table, mettez la page à jour, fermez les comptes qui ne servent plus.

Dans un cabinet de santé : une règle de plus

Les données de santé font partie des données les plus protégées par le RGPD. La règle à afficher est simple : aucune donnée qui permet de reconnaître un patient dans un outil d'IA grand public, même pour « juste reformuler ». Pour un courrier, l'IA peut aider à trouver le ton ou la structure ; le nom, le diagnostic et le traitement s'ajoutent ensuite, à la main, dans votre logiciel habituel. En France, un service qui conserve des données de santé doit en plus être certifié « hébergeur de données de santé » (HDS), comme l'exige l'article L.1111-8 du Code de la santé publique : vérifiez-le avant tout usage.

Ce que DeepIT peut faire avec vous

DeepIT gère l'informatique de TPE-PME et de cabinets de santé à Marseille et dans les Bouches-du-Rhône. Nous pouvons vous aider à faire l'inventaire des outils utilisés, à choisir et configurer un outil professionnel adapté à votre taille, et à rédiger avec vous votre règle d'usage d'une page. L'objectif n'est pas de freiner vos équipes, mais de leur permettre d'utiliser l'IA sans ouvrir de porte.

Voir aussi notre gestion externalisée.

Encadrer l'usage de l'IA→