Shadow AI : vos salariés utilisent déjà l’IA en cachette, que faire ?

Par L’équipe de L’Optimisme.pro · Sur le terrain de la QVCT depuis 2017 · 1 million de followers

Mis à jour le 23 octobre 2026

Demandez à cinq de vos collaborateurs quel outil d’IA ils ouvrent en premier le matin, puis observez qui hésite avant de répondre.

Cette hésitation porte un nom : le shadow AI (ou shadow IA), l’usage d’outils d’IA que l’entreprise n’a ni fournis ni validés. Les enquêtes anglo-saxonnes le situent autour d’un salarié sur deux ; en France, plus de six utilisateurs d’IA générative sur dix passent par un outil grand public.

Nous l’abordons sous l’angle du management et de la confiance : comment passer d’un usage caché à un usage dicible, sans exposer vos données ni vos équipes ?

Le shadow AI, c’est quoi, et qui est concerné ?

Deux enquêtes donnent l’ordre de grandeur. Selon BlackFog (2 000 salariés britanniques et américains, novembre 2025), 49 % utilisent des outils d’IA non validés par leur employeur ; Cybernews en trouve 59 % parmi 1 003 salariés américains (août 2025). Ces enquêtes sont déclaratives : elles indiquent une tendance.

Un outil externe peut très bien avoir été validé par l’entreprise. Pourtant, seuls 10 % des salariés interrogés disent qu’elle a une charte de l’IA ou un comité d’éthique.

Certains usages discrets relèvent d’un aménagement : dans notre enquête sur le TDAH au travail (juillet 2026), un répondant cite l’IA comme son « plus gros levier » pour s’adapter. Notre article sur la neurodiversité face à l’IA détaille ce thème.

Pourquoi vos salariés cachent-ils leur usage de l’IA ?

Parce que le silence paraît moins risqué que l’aveu. Chacun a sa bonne raison de se taire : la crainte d’être jugé, celle de paraître remplaçable, l’absence de règle claire, parfois la peur de voir son travail s’alourdir.

Chez WalkMe (SAP), 49 % de 1 000 salariés américains utilisateurs d’IA disent avoir affirmé ne pas s’en servir pour éviter d’être jugés (l’éditeur vend des outils d’adoption de l’IA).

Chez Microsoft et LinkedIn (31 000 personnes, 31 pays, 2024), 52 % des utilisateurs hésitent à admettre qu’ils l’emploient pour leurs tâches les plus importantes, et 53 % craignent de paraître remplaçables.

Le flou nourrit le silence. Dans l’étude de KPMG et de l’Université de Melbourne (48 340 personnes, 47 pays, fin 2024), 56 % des salariés qui utilisent l’IA l’ont fait sans savoir si c’était permis, et seuls deux salariés sur cinq déclarent que leur organisation a une politique ou des consignes sur l’IA générative.

Beaucoup de managers le savent et le tolèrent. Selon Cybernews, 57 % des utilisateurs d’outils non validés disent que leur manager direct approuve, et 93 % des cadres dirigeants et seniors admettent en utiliser. Son chercheur en sécurité, Mantas Sabeckis, y voit « une zone grise ».

Une dernière raison se lit dans huit mois d’observation d’une entreprise technologique américaine de 200 personnes (UC Berkeley Haas, Harvard Business Review, février 2026). L’IA n’y a pas libéré de temps : les salariés ont travaillé plus vite, élargi leur périmètre et prolongé leur journée, souvent sans y être invités.

Pour la chercheuse Xingqi Maggie Ye, ce qui était un effort supplémentaire finit par devenir la performance attendue ; nous en déduisons qu’annoncer ses gains de temps peut alourdir la charge mentale au travail. Cette recherche est en cours.

Quels sont les vrais risques du shadow AI ?

Le premier risque du shadow AI est la fuite de données : informations clients, paie, évaluations ou documents stratégiques copiés dans un outil que l’entreprise ne contrôle pas. Viennent ensuite les erreurs non vérifiées et la perte de visibilité.

Parmi les salariés qui utilisent l’IA, 48 % ont chargé des informations sensibles de leur entreprise dans des IA publiques et 56 % ont commis des erreurs à cause d’elle (KPMG et Université de Melbourne, 2025).

BlackFog détaille ce qui part : 33 % ont partagé des travaux de recherche ou des jeux de données, 27 % des données de salariés (noms, paie, évaluations), 23 % des états financiers ou des chiffres de vente.

Selon IBM et le Ponemon Institute (rapport 2025, 600 organisations), un niveau élevé de shadow AI ajoute 670 000 dollars au coût moyen d’une violation de données. IBM vend de la sécurité : lisez ce chiffre comme une tendance.

En France, un fichier de paie collé dans un assistant grand public devient une donnée personnelle confiée à un tiers, un sujet pour le règlement général sur la protection des données (RGPD). La CNIL (Commission nationale de l’informatique et des libertés) recommande de lister les usages autorisés et interdits.

Faut-il interdire l’IA non validée ?

Contre le shadow AI, l’interdiction seule déplace le problème : l’usage sort de votre champ de vision et se poursuit ailleurs.

Dans l’étude de KPMG et de l’Université de Melbourne, le chargement d’informations sensibles dans des IA publiques est le plus fréquent là où l’IA générative est interdite (67 %), devant les organisations qui la cadrent par une politique (56 %) et celles sans règle (33 %).

Cette association ne prouve pas que l’interdiction provoque le contournement ; elle montre qu’elle ne l’empêche pas.

Face à un usage caché, cinq décisions s’offrent à vous : interdire, tolérer en silence, fournir un outil validé, former, auditer. L’interdiction cache l’usage ; la tolérance entretient la zone grise ; l’outil validé, la formation et le suivi le rendent visible, donc discutable.

Charte IA entreprise : comment l’écrire avec vos équipes ?

Une charte IA entreprise tient en une page : elle dit quels usages sont libres, lesquels exigent un outil validé, lesquels sont interdits, et à qui poser la question en cas de doute. Elle tient quand les équipes l’ont écrite avec vous, selon la logique d’une démarche QVCT.

Adaptez ce point de départ pour l’étape 2 :

Ajoutez une question à votre charte : que devient le temps gagné ? Sans réponse claire, personne n’a intérêt à déclarer ses gains.

Associez le comité social et économique (CSE) dès l’atelier de départ : il est informé et consulté sur l’introduction de nouvelles technologies (article L. 2312-8 du Code du travail), et un règlement intérieur ne s’introduit qu’après son avis (article L. 1321-4). Selon sa portée, votre charte peut en relever.

Que dit le cadre légal sur l’IA au travail ?

Trois repères balisent le sujet : l’article 4 du règlement européen sur l’IA, les recommandations de la CNIL et le Code du travail.

Applicable depuis le 2 février 2025, l’article 4 oblige les entreprises qui utilisent des systèmes d’IA à agir pour la maîtrise de l’IA de leur personnel. L’omnibus numérique entré en vigueur en juillet 2026 a assoupli le texte : il faut désormais prendre des mesures pour la soutenir, sans niveau précis par salarié ni mesure des connaissances.

La Commission européenne précise qu’une entreprise dont les salariés utilisent un assistant grand public pour rédiger ou traduire doit les informer des risques, notamment des erreurs d’invention (les « hallucinations »). Les autorités nationales contrôlent cette obligation à partir d’août 2026.

Cet article informe et ne remplace pas un conseil juridique.

Que faire dès cette semaine, côté manager et côté salarié ?

Face au shadow AI, un manager peut ouvrir la discussion sans mener d’enquête ; un salarié peut dire ce qu’il fait sans craindre la suite.

Si vous êtes manager

• Une question ouverte : demandez à l’équipe quelles tâches l’IA lui facilite, sans chercher de coupable.
• Un recensement sans sanction : annoncez qu’aucune sanction ne suivra les déclarations.
• L’exemple : dites à voix haute ce que vous confiez à l’IA, et ce que vous ne lui confiez jamais.

Si vous êtes salarié

• Un tri vert, orange, rouge : classez ce que vous collez dans vos outils, et retirez le rouge des outils non validés dès aujourd’hui.
• Une relecture : vérifiez toujours ce que l’IA produit avant de l’envoyer.
• Une conversation : dites à votre manager ce que l’IA vous apporte, exemple à l’appui, puis demandez-lui si cet usage lui convient.

À votre prochaine réunion d’équipe, demandez : « Qui utilise l’IA, et pour quoi faire ? », puis écoutez sans noter de noms. Catherine Testa, autrice de 11 ouvrages, illustre ce choix de posture dans sa conférence sur l’optimisme : face à l’IA, une autrice peut décréter son métier fini, ou s’en servir pour sourcer, analyser et traduire.

Un usage dit à voix haute se règle ; un usage caché se subit.

FAQ : vos questions sur le shadow AI

À propos

L’Optimisme.pro

Premier média francophone dédié à la QVCT, au bien-être au travail et à la santé mentale au travail. Notre équipe forme et sensibilise les entreprises sur le terrain depuis 2017, et rassemble une communauté de plus d’un million de followers sur les réseaux sociaux.

👥 +1 million de followers sur les réseaux sociaux🎤 Sur le terrain depuis 2017

🌐 loptimisme.pro💼 LinkedIn💬 Contacter