Un collaborateur explique qu’il utilise depuis plusieurs mois un assistant d’IA pour préparer ses comptes rendus. Son manager découvre l’usage au détour d’une conversation. La première question vient vite : « Qu’as-tu mis dans cet outil ? » Une autre mérite de suivre : « Quel problème cherchais-tu à résoudre ? »
Les deux questions sont nécessaires. Comprendre le besoin ne rend pas automatiquement l’usage acceptable. Interrompre une pratique risquée ne suffit pas non plus à résoudre la difficulté de travail qui l’a fait apparaître.
Face au Shadow AI, l’entreprise doit rendre les usages discutables, préciser les limites et proposer un chemin de décision utilisable. L’enjeu est de savoir ce qui entre dans l’outil, ce que l’on fait du résultat et qui peut autoriser la suite.
Qu’appelle-t-on Shadow AI en entreprise ?
Le terme désigne ici les usages professionnels de l’IA qui se développent en dehors d’un cadre connu et validé par l’organisation. Il peut s’agir d’un compte personnel, d’une extension de navigateur, d’un assistant ajouté par une équipe ou d’une fonction d’IA activée dans un logiciel.
Ces situations ne sont pas toutes secrètes. Un responsable peut connaître une pratique sans que ses conditions d’utilisation aient été examinées. Une équipe peut aussi croire qu’un outil est autorisé parce qu’il est accessible sur son poste.
Il faut donc éviter de réduire le sujet à des salariés qui « cachent quelque chose ». Le problème peut venir d’un interdit contourné, d’une règle ambiguë, d’un besoin sans réponse ou d’un décalage entre les décisions locales et celles de l’organisation.
L’absence de cadre ne dit pas, à elle seule, qu’une fuite s’est produite ou qu’un résultat est faux. Elle laisse cependant des questions importantes sans réponse.
Ce que montrent les recherches et les recommandations
L’étude Inria–datacraft de 2025, dont la synthèse est signée Yann Ferguson, examine les usages informels à partir d’un état de l’art et d’une enquête qualitative auprès de quatorze organisations pionnières. Elle décrit des pratiques diverses et des réponses organisationnelles allant du verrouillage à l’accompagnement.
Ce terrain aide à comprendre des mécanismes et des choix possibles. Il ne constitue pas un échantillon représentatif de tous les salariés français et ne permet pas de lui attribuer un taux national de Shadow AI. Les recommandations du rapport ne sont pas davantage une garantie de réussite pour chaque entreprise.
La CNIL, dans ses premières préconisations du 18 juillet 2024 et sa foire aux questions sur l’IA générative, recommande de partir de besoins identifiés, d’expliciter les usages permis et interdits, d’examiner les données et le mode de déploiement, et d’associer les fonctions concernées à la gouvernance. Elle insiste aussi sur la formation des utilisateurs.
Ces repères concernent notamment la protection des données. Ils ne signifient pas qu’un outil portant une étiquette « entreprise » serait adapté à tous les usages. Le service, sa configuration, les conditions contractuelles et les informations traitées doivent être examinés dans le contexte concerné.
Entendre le besoin sans approuver le moyen
Une personne peut utiliser l’IA pour reformuler un message difficile, structurer une note ou gagner du temps sur une tâche répétitive. Ce besoin mérite une discussion professionnelle, même si le moyen choisi doit être écarté.
Nous proposons de séparer quatre objets dans cette discussion : le travail recherché, l’outil utilisé, les informations transmises et l’utilisation du résultat. C’est une grille de clarification Learning Coach, pas un protocole certifié de gestion des risques.
Une demande de reformulation à partir d’un texte entièrement fictif ne soulève pas les mêmes questions qu’un dossier client détaillé. Un brouillon relu avant diffusion n’engage pas le travail de la même manière qu’une recommandation reprise directement pour décider.
Cette distinction permet de formuler une réponse plus utile que « l’IA est autorisée » ou « l’IA est interdite ». On peut reconnaître l’intérêt de préparer une synthèse tout en demandant que la tâche soit réalisée autrement, avec des données différentes et dans un environnement validé.
Commencer par les situations qui demandent une action immédiate
Découvrir un usage informel n’impose pas de traiter chaque cas à la même vitesse. Une situation où des informations confidentielles pourraient avoir été transmises appelle rapidement l’intervention des interlocuteurs compétents. Une interrogation sur un futur usage peut suivre le circuit normal d’examen.
Voici des exemples de questions à organiser. Ils doivent être adaptés aux procédures de l’entreprise.
| Situation repérée | Première clarification | Suite à prévoir |
|---|---|---|
| Un document professionnel a été transmis à un service non validé | Quelles informations, quel service et dans quelles conditions ? | Contacter les responsables désignés pour examiner le risque et les mesures nécessaires |
| Une équipe utilise une fonction d’IA déjà présente dans son logiciel | Qui a activé la fonction et quel traitement réalise-t-elle ? | Faire examiner l’usage, les réglages et les accès avant de l’étendre |
| Un salarié cherche une aide sans avoir commencé | Quel besoin et quelles données seraient nécessaires ? | Proposer un outil, une méthode ou un interlocuteur autorisé |
| Un résultat assisté a déjà été diffusé | Quelle utilisation en a été faite et que faut-il vérifier ? | Organiser la relecture, puis les corrections appropriées si nécessaire |
Lorsqu’un risque est suspecté, il faut éviter d’ajouter de nouvelles transmissions en demandant au salarié de recopier ses échanges dans plusieurs messageries. Le canal de signalement doit permettre aux personnes compétentes de recueillir les éléments utiles de manière maîtrisée.
Le manager n’a pas à conclure seul à une violation, à une absence de risque ou à la possibilité d’effacer toute conséquence. Son rôle est aussi de faire connaître le bon recours et de faciliter l’examen de la situation.
Un exemple fictif : résumer des notes de rendez-vous
Imaginons une petite entreprise de conseil. Une collaboratrice utilise un compte personnel d’IA pour transformer ses notes en compte rendu. Elle apprécie la clarté du résultat, mais personne n’a examiné le service ni les informations qu’elle lui fournit.
La discussion peut commencer par décrire la tâche, sans diffuser les notes elles-mêmes. Que doit contenir le compte rendu ? Quels éléments identifient le client ? Qui relit le document ? Où sera-t-il conservé ?
L’entreprise peut alors découvrir que le besoin principal est une structure commune de compte rendu. Une trame et un exemple peuvent déjà aider. Si une assistance d’IA reste pertinente, l’usage doit être étudié avec les personnes chargées des données, des outils et du métier.
La réponse n’est donc pas nécessairement l’achat immédiat d’un nouvel assistant. Elle peut être une modification de méthode, un accès à une solution approuvée ou le maintien d’une limite sur certaines informations.
Ce scénario ne décrit aucun client Learning Coach. Il montre comment une pratique informelle peut révéler un besoin collectif sans constituer un modèle à reproduire.
Construire une règle que le salarié peut réellement appliquer
Une charte qui demande simplement de « rester vigilant » laisse chacun interpréter la limite. Un cadre utilisable indique des situations reconnaissables : quels services sont disponibles, pour quelles tâches, avec quelles catégories d’informations et quelle validation.
Il précise aussi ce qui se passe lorsque la situation ne correspond pas aux exemples. Qui peut répondre ? Comment soumettre un besoin ? Que faire en attendant la décision ? Une règle sans interlocuteur peut laisser les utilisateurs face à la même incertitude.
Il faut distinguer la validation d’un outil de celle d’un usage. L’accès à un assistant approuvé ne signifie pas que toute donnée peut y être déposée ou que toute décision peut lui être confiée. À l’inverse, le refus d’un service particulier n’interdit pas nécessairement de travailler sur le besoin par un autre moyen.
Les exemples de la charte gagnent à être reliés aux activités des équipes. Une règle sur les données clients sera plus compréhensible si elle explique comment préparer un exercice avec des données fictives et comment obtenir une réponse sur un dossier réel.
Ouvrir le dialogue sans promettre ce que l’on ne maîtrise pas
Demander aux collaborateurs de raconter leurs usages peut être délicat lorsqu’ils craignent une conséquence professionnelle. Il est préférable d’annoncer la finalité de la discussion, ses destinataires et les limites du dispositif.
Le manager ne peut pas promettre une confidentialité absolue ou l’absence de toute conséquence s’il n’a pas le pouvoir de les garantir. Il peut en revanche expliquer comment les informations seront traitées et distinguer une discussion sur un besoin d’un signalement qui exige un examen spécifique.
Notre article sur la parole en formation lorsque managers et collaborateurs sont réunis rappelle l’importance de ce cadre. Un atelier collectif peut commencer par des cas fictifs et des difficultés générales. Il n’a pas besoin d’obtenir des confidences nominatives pour être utile.
Les contrôles techniques et l’examen des usages ont également besoin d’une finalité explicite et d’un périmètre adapté. Le choix de leurs modalités relève des acteurs compétents et des règles applicables à l’organisation ; une volonté de comprendre les usages ne justifie pas une collecte indifférenciée de toutes les conversations.
Transformer une règle en compétence professionnelle
Connaître une interdiction ne garantit pas que l’on sache reconnaître la situation où elle s’applique. Une formation peut donc faire travailler des décisions : repérer les informations qui demandent un examen, choisir une ressource autorisée, vérifier une sortie et formuler une demande d’aide.
L’apprentissage doit inclure les cas ambigus. Une information disponible en ligne n’est pas automatiquement libre de toute contrainte d’utilisation. Retirer un nom ne suffit pas nécessairement à rendre un dossier anonyme. Ces questions doivent être examinées avec les spécialistes concernés, plutôt que résolues par une formule générale.
Il faut aussi préparer l’application au poste. Notre article sur le transfert des apprentissages après une formation invite à prévoir une situation d’essai, des ressources et un retour. Ici, l’utilisateur doit pouvoir retrouver la règle au moment de travailler et obtenir une réponse lorsqu’il rencontre une limite.
L’organisation peut ensuite revoir les questions fréquentes et adapter ses exemples. Une charte ne devient pas opérationnelle par sa seule diffusion.
Un sujet de conférence qui engage une décision collective
Le Shadow AI offre un point d’entrée concret pour réunir métiers, RH, informatique et direction. Chacun peut apporter une question différente : l’utilité recherchée, les conditions d’apprentissage, la maîtrise des services et les responsabilités de décision.
Une keynote peut clarifier ces dimensions et discuter les limites des réponses générales. Un travail complémentaire sur des scénarios peut préparer des règles et des questions à instruire. Une intervention ne remplace ni l’analyse d’un incident ni la validation technique ou juridique d’un usage.
Au 27 octobre 2026, la page du programme Inria–datacraft annonce la publication du rapport de sa deuxième saison pour le 1er décembre 2026. Ce document à venir ne doit pas être présenté comme un résultat déjà disponible.
Vous souhaitez ouvrir ce débat avec vos équipes ? Découvrez les conférences Learning Coach et demandez une proposition adaptée à votre événement.
La question à résoudre ensemble est précise : lorsqu’un salarié rencontre un besoin auquel l’IA semble répondre, sait-il comment obtenir une décision claire avant de prendre seul le risque ?
Ressources
Yann Ferguson, Inria et datacraft, synthèse de l’étude sur l’IA générative au travail, 2025. Enquête qualitative auprès de quatorze organisations pionnières ; pas de mesure représentative nationale.
CNIL, Comment déployer une IA générative ?, 18 juillet 2024, et questions-réponses sur l’utilisation d’un système d’IA générative.
Datacraft, présentation du programme IA au Travail, page datée du 4 septembre 2026, consultée le 27 octobre 2026. Calendrier des saisons et des publications annoncées.
