Un collaborateur colle un contrat client dans un chatbot gratuit pour le résumer. Le gain de temps est immédiat. Mais personne, ni la DSI ni la conformité, ne sait que ce document vient de quitter l’entreprise. C’est le Shadow IA : un usage massif, souvent invisible, et porteur de risques concrets pour les données. Voici lesquels, et comment les cadrer sans tout interdire.

C’est quoi le Shadow IA ?

Le Shadow IA désigne l’utilisation d’outils, de modèles ou de services d’intelligence artificielle par des employés, sans approbation, connaissance ni supervision des équipes IT, sécurité ou conformité de l’entreprise.

Comme le Shadow IT (l’usage d’outils informatiques non autorisés), l’IA employée sans encadrement crée un risque majeur. Les données confiées à ces outils peuvent être transmises, traitées, voire réutilisées pour entraîner des modèles tiers. Un contrat confidentiel, un fichier client ou un secret de fabrication peut ainsi se retrouver exploité par un modèle, puis exposé à d’autres utilisateurs.

Pourquoi est-ce si répandu ?

Les employés cherchent à gagner du temps. Rédiger, analyser, coder ou résumer devient très rapide avec des outils souvent gratuits ou peu coûteux. En face, les processus d’approbation internes sont lents. Les chiffres donnent la mesure du phénomène :

• 75 à 85 % des knowledge workers utilisent au moins un outil d’IA non approuvé, jusqu’à environ 90 % dans la tech (consolidation d’études 2025 : Microsoft Work Trend Index, UpGuard State of Shadow AI 2025).
• 38 % des employés admettent partager des informations professionnelles sensibles avec des outils d’IA sans autorisation (IBM, Cost of a Data Breach 2025 et analyses associées).
• 63 % des organisations n’ont pas encore de politique de gouvernance de l’IA, ou sont en train de la rédiger (IBM, Cost of a Data Breach 2025).
• 20 % des organisations ont déjà subi une violation de données liée au Shadow IA (IBM, Cost of a Data Breach 2025).

Quels sont les principaux risques ?

Le Shadow IA expose l’entreprise sur plusieurs fronts.

Fuite de données et propriété intellectuelle. Code source, données clients, secrets commerciaux et documents stratégiques peuvent quitter l’entreprise sans laisser de trace.

Conformité réglementaire. RGPD, futur cadre européen sur l’IA (AI Act), mais aussi le Cloud Act américain : cette loi autorise les autorités américaines à réclamer des données détenues par un fournisseur américain, où qu’elles soient hébergées. Les données peuvent alors sortir de l’UE sans contrôle.

Coût financier. Selon le rapport IBM Cost of a Data Breach 2025, les violations impliquant un usage élevé de Shadow IA coûtent en moyenne 670 000 $ de plus que les autres.

À ces risques majeurs s’ajoutent des erreurs non détectées dans les réponses des outils, une absence de traçabilité des usages, une atteinte possible à la réputation, et les dérives d’agents IA autonomes laissés sans contrôle.

Le cas le plus connu est celui de Samsung, en 2023 : des ingénieurs avaient collé du code source et des notes de réunion confidentielles dans ChatGPT.

Comment y faire face ?

Plusieurs leviers permettent de réduire ces risques, sans recourir à l’interdiction.

• Poser une politique d’usage de l’IA claire, connue de tous.
• Former les employés. En lien avec cette politique, la pédagogie prime sur la sanction.
• Proposer des outils approuvés et sécurisés : ChatGPT Enterprise, Claude for Business, ou une IA hébergée en local.
• Préférer une gouvernance progressive à l’interdiction totale, qui finit toujours par être contournée.
• Compléter par une surveillance technique : détecter le trafic vers les domaines des IA et déployer une solution de DLP (Data Loss Prevention, prévention des fuites de données), possible notamment via Microsoft 365 Purview.

Pourquoi la formation est essentielle ?

Comme pour la cybersécurité, la formation à l’usage de l’IA doit être une priorité des DSI. Sans explication claire des risques, ceux-ci restent ignorés. Une formation bien conçue transforme un usage caché de l’IA en usage responsable.

Une bonne formation couvre cinq axes :

• Définir le Shadow IA, simplement, avec des exemples.
• Expliquer ce que deviennent les données : différence entre versions entreprise et grand public, durée de rétention.
• Classer les données : clients, secrets technologiques, documents stratégiques.
• Diffuser les bonnes pratiques : vérifier qu’un outil est approuvé, ne confier que des données non sensibles, savoir comment demander l’accès à une IA.
• Poser le cadre éthique : propriété intellectuelle, effet sur la qualité du travail.

La méthode compte autant que le contenu :

• Culture sans blâme : la formation protège, elle ne prépare pas des sanctions.
• Personnalisation par métier : les risques diffèrent d’un poste à l’autre.
• Formats courts : cas pratiques, simulations.
• Continuité : une formation initiale, puis des rappels réguliers.
• Écoute : recueillir les retours, via des enquêtes anonymes.

Les deux volets d’une formation efficace : ce qu’elle couvre, et comment la mener.

À retenir

• Le Shadow IA, c’est l’usage d’outils d’IA sans validation IT, sécurité ou conformité : massif et souvent invisible.
• Le risque central est la perte de contrôle sur des données sensibles, avec des conséquences réglementaires (RGPD, Cloud Act) et financières mesurées.
• L’interdiction totale échoue : elle pousse l’usage dans l’ombre.
• La réponse durable combine une politique claire, des outils approuvés, une surveillance technique et, au centre, la formation.

Pour conclure

Le Shadow IA est un vrai problème d’entreprise. Traité en amont, il se maîtrise ; ignoré, il finit par coûter cher. L’approche pédagogique reste la plus efficace pour sensibiliser et responsabiliser les utilisateurs : bien menée, elle fait reculer le Shadow IA d’elle-même.

Elle ne se suffit pas à elle seule. Des outils de surveillance et de protection la complètent quand c’est possible, autant pour réévaluer la formation que pour repérer les usages délibérément dangereux. La sanction, elle, reste le dernier recours, réservé aux cas les plus graves.

Et maintenant ?

• Listez les outils d’IA déjà utilisés dans vos équipes, et pour chacun, vérifiez où vont les données.
• Identifiez les trois types de données à ne jamais confier à un outil non approuvé.
• Choisissez un outil sécurisé de référence à proposer, pour couper court aux usages sauvages.

Sources

IBM, Cost of a Data Breach Report 2025 — https://www.ibm.com/reports/data-breach (surcoût moyen de 670 000 $ des violations liées au Shadow IA ; 20 % des organisations concernées ; 63 % sans politique de gouvernance IA ; 38 % de partage de données sensibles sans autorisation).

Microsoft, Work Trend Index 2025 — adoption des outils d’IA en entreprise.

UpGuard, State of Shadow AI Report 2025 — usage d’outils d’IA non approuvés (jusqu’à ~90 % dans la tech).