Shadow AI : vos collaborateurs utilisent déjà l’IA, comment reprendre la main ?
Un contrat collé dans un chatbot gratuit pour « le résumer vite ». Un fichier clients déposé dans une IA en ligne pour préparer une relance. Une extension de navigateur qui lit tous les courriels. Ce n’est pas un scénario : c’est le quotidien de la plupart des entreprises. Vos collaborateurs n’ont pas attendu votre feuille de route IA. La bonne nouvelle : ils vous montrent exactement où l’IA crée de la valeur. Reste à reprendre la main, sans casser l’élan.
Le Shadow AI, de quoi parle-t-on ?
Une définition simple
Le Shadow AI (ou « IA de l’ombre ») désigne l’usage d’outils d’IA par les collaborateurs sans validation ni encadrement de l’entreprise. C’est le petit frère du Shadow IT, avec une différence de taille : un fichier déposé sur un Dropbox personnel est exposé une fois ; un texte collé dans une IA publique peut être conservé, analysé, voire servir à entraîner un modèle.
Concrètement, cela ressemble à ceci :
- un commercial qui colle l’historique d’un client dans un chatbot gratuit pour préparer un rendez-vous ;
- une juriste qui fait résumer un contrat confidentiel par une IA en ligne ;
- un développeur qui soumet du code propriétaire à un assistant non validé ;
- une extension de navigateur « d’aide à la rédaction » qui lit, au passage, l’intranet et la messagerie.
Un phénomène massif, et qui s’accélère
Les études de 2026 convergent : ce n’est plus un usage marginal.
| Ce qui est mesuré | Chiffre | Source |
|---|---|---|
| Salariés utilisant régulièrement l’IA sur leur poste professionnel | 45 % (contre 15 % un an plus tôt) | Verizon DBIR 2026 |
| Utilisateurs passant par un compte personnel, non professionnel | 67 % | Verizon DBIR 2026 |
| Utilisateurs ayant installé une extension IA non autorisée | plus de 15 % | Verizon DBIR 2026 |
| Salariés utilisant des outils IA sans l’accord de leur entreprise | 49 % | BlackFog, via Le Monde Informatique |
| Parmi eux, part qui se tourne vers des versions gratuites | 58 % | BlackFog, via Le Monde Informatique |
Autrement dit : dans la plupart des organisations, la question n’est plus de savoir si vos équipes utilisent l’IA, mais avec quels outils, sur quelles données, et sous quel contrôle.
Pourquoi c’est un vrai risque
Le Shadow AI n’est pas qu’un sujet de principe. Il a un coût mesurable : selon le rapport Cost of a Data Breach 2025 d’IBM, 20 % des fuites de données étudiées impliquaient du Shadow AI, et les organisations où il est très répandu ont payé en moyenne 670 000 dollars de plus par incident. Parmi les organisations touchées par une fuite liée à l’IA, 97 % n’avaient pas de contrôle d’accès adapté.
Les risques se répartissent en cinq familles.
| Risque | Ce qui se passe concrètement |
|---|---|
| Fuite de données | Contrats, fichiers clients, code source ou données RH partent vers des services que l’entreprise ne contrôle pas. Selon BlackFog, 33 % des salariés concernés y versent des données internes, 27 % des informations sur leurs collègues. |
| Propriété intellectuelle | Les offres gratuites peuvent utiliser les contenus soumis pour entraîner leurs modèles. Une fois transmise, une donnée ne se récupère pas. |
| Conformité RGPD et IA Act | Données personnelles traitées hors de l’Union, sans base légale ni sous-traitant contractualisé. Usages à risque (recrutement, évaluation) sans qualification au titre de l’IA Act. |
| Qualité et fiabilité | Des réponses non sourcées, parfois inventées, reprises telles quelles dans un livrable client ou une décision. Personne ne sait qu’une IA est intervenue. |
| Perte de visibilité | La DSI ne voit ni les outils, ni les volumes, ni les coûts. Les gains de productivité restent invisibles, donc impossibles à généraliser. |
Le dernier point est souvent oublié. Le Shadow AI crée de la valeur, mais une valeur que l’entreprise ne capitalise pas : chaque collaborateur réinvente seul ses prompts, ses méthodes, ses raccourcis.
Pourquoi interdire ne fonctionne pas
Le premier réflexe est souvent de bloquer : filtrer les domaines, envoyer une note interne, menacer de sanctions. C’est rassurant sur le papier. Dans les faits, l’usage se déplace sur le téléphone personnel, et l’entreprise perd le peu de visibilité qu’elle avait.
Le Shadow AI est un signal de besoin
Les chiffres sont clairs : selon BlackFog, 63 % des salariés jugent acceptable d’utiliser une IA non validée quand aucune solution approuvée n’existe. Vos collaborateurs ne cherchent pas à contourner la DSI. Ils cherchent à gagner une demi-journée sur un export, quarante minutes sur une préparation de rendez-vous, une heure sur un compte rendu.
Chaque usage caché vous dit donc quelque chose d’utile : quel métier, quelle tâche, quel gain attendu. C’est la meilleure cartographie de cas d’usage que vous aurez jamais, et elle est gratuite.
Un outil interne médiocre ne règle rien
L’autre réflexe, plus subtil, consiste à déployer un « ChatGPT maison » rapidement, sans connexion aux données ni effort d’ergonomie. C’est le piège le plus courant. Un principe que nous répétons souvent : un outil interne médiocre ne remplace pas le Shadow AI, il le légitime.
Vos équipes n’adopteront un outil officiel que s’il égale, en confort et en qualité, ce qu’elles utilisent déjà chez elles. Et s’il fait mieux sur un point décisif : connaître leurs documents, leurs outils et leurs règles.
La barre est fixée par le marché, pas par la DSI
Pour remplacer le Shadow AI, l’alternative officielle doit se mesurer aux meilleurs outils grand public, pas à ce qui existait dans l’entreprise il y a deux ans. Vos collaborateurs comparent chaque jour. S’ils ont le sentiment de perdre au change, ils retourneront à leur onglet habituel, charte ou pas.
Concrètement, l’outil officiel doit tenir au moins quatre promesses :
- des modèles récents et performants, mis à jour au rythme du marché, et pas un modèle figé choisi une fois pour toutes ;
- un confort d’usage équivalent : réponse rapide, fichiers joints, conversation fluide, et une interface qui ne demande pas de formation pour démarrer ;
- les mêmes capacités : rédiger, résumer, analyser un tableur, produire un document Office ;
- un plus réel, que l’outil public ne peut pas offrir : la connaissance des documents internes, des outils métier et des règles de l’entreprise.
C’est ce dernier point qui fait basculer l’usage. Le collaborateur ne renonce à rien ; il gagne une IA qui connaît son contexte. La sécurité devient alors un bénéfice invisible, et non une contrainte qu’on lui impose.
Reprendre la main en cinq étapes
Reprendre la main ne veut pas dire reprendre le contrôle de chaque prompt. Cela veut dire offrir mieux, plus sûr, et le rendre visible. Voici la démarche que nous appliquons.
1. Cartographier les usages réels, sans chasse aux sorcières
Commencez par écouter avant d’interdire. Un questionnaire anonyme, quelques entretiens par métier, et si possible une mesure technique (journaux du proxy, inventaire des extensions de navigateur). L’objectif : savoir qui utilise quoi, pour quelle tâche, avec quelles données. C’est le rôle d’un audit et diagnostic IA.
2. Poser un cadre lisible : la charte IA
Une charte courte vaut mieux qu’un règlement de vingt pages. Elle répond à trois questions :
- quels outils sont autorisés, et pour quels usages ;
- quelles données ne doivent jamais sortir (données personnelles, contrats, code, données financières) ;
- qui contacter pour proposer un nouvel usage ou un nouvel outil.
Le cadre doit aussi qualifier les usages au regard de l’IA Act : la recherche documentaire ou l’aide à la rédaction n’appellent pas les mêmes obligations qu’un agent qui intervient dans un recrutement. Notre offre Gouvernance et conduite du changement couvre ce volet.
3. Outiller : une alternative officielle au moins aussi bonne
C’est l’étape décisive. L’outil validé doit être :
- aussi simple que ce que vos équipes utilisent déjà, idéalement dans leurs outils du quotidien (Office, Workspace) ;
- plus utile, parce qu’il connaît les documents et les systèmes de l’entreprise et cite ses sources ;
- sûr par construction : hébergement maîtrisé, aucun entraînement sur vos données, droits d’accès hérités de votre annuaire.
4. Former et embarquer les métiers
Un outil que personne ne s’approprie n’a rien coûté d’utile. Les formats qui fonctionnent le mieux sont ceux où les métiers construisent eux-mêmes : une journée d’idéation pour faire émerger les cas d’usage, un hackathon IA pour bâtir les premiers agents sur vos propres données, puis des formations au prompt engineering et aux bonnes pratiques. Les collaborateurs qui utilisaient l’IA en cachette deviennent alors vos premiers ambassadeurs.
5. Mesurer et faire évoluer
Suivez quelques indicateurs simples : nombre d’utilisateurs actifs, agents utilisés, coût par personne et par modèle, retours des référents métier. Rejouez régulièrement la cartographie de l’étape 1 : si des usages cachés réapparaissent, c’est qu’un besoin n’est pas encore couvert.
Agent Factory : une alternative que vos équipes choisissent
Agent Factory, la plateforme d’agents IA conçue par nos soins, a été pensée pour l’étape 3 : donner aux collaborateurs une IA au moins aussi confortable que les outils grand public, mais branchée sur les données de l’entreprise et sous son contrôle.
Ce que le Shadow AI fait mal, et ce qu’Agent Factory fait à la place
| Avec le Shadow AI | Avec Agent Factory |
|---|---|
| Données envoyées à des services inconnus, souvent hors d’Europe | Infrastructure dédiée hébergée en France, inférence en région européenne par défaut |
| Contenus potentiellement réutilisés pour entraîner des modèles | Aucun entraînement sur vos données, zéro rétention côté fournisseur d’inférence |
| Comptes personnels, aucun contrôle des accès | Authentification unique via votre annuaire (Entra ID, Keycloak, Okta) ; l’IA hérite des droits de l’utilisateur |
| Réponses génériques, non sourcées | Agents connectés à vos bases documentaires (44 connecteurs), réponses qui citent leurs sources |
| Un outil de plus, ouvert dans un onglet à part | Un assistant intégré directement dans Office ou Workspace |
| Usages et coûts invisibles | Consommation mesurée par personne et par modèle, suivi de l’usage |
Ce que vos collaborateurs n’y perdent pas
Sécuriser ne doit pas vouloir dire dégrader. Sur Agent Factory, l’utilisateur retrouve ce qu’il attend d’une IA du marché :
| Ce que le collaborateur attend | Ce qu’il trouve sur Agent Factory |
|---|---|
| Les meilleurs modèles du moment | Un choix de modèles parmi les plus performants, propriétaires et open source, tous servis en Europe : nos tests comparent treize modèles sur des tâches réelles |
| Rester à jour | Un modèle se change par configuration, sans migration : chaque nouveau modèle peut être testé puis ouvert aux équipes |
| Un outil simple, là où il travaille | Un assistant qui s’ouvre directement dans Office ou Workspace, sans changer d’habitudes |
| Rédiger, analyser, produire des fichiers | Agents conversationnels et autonomes, compagnon dans votre écosystème MS Office |
| Des réponses fiables | Des réponses appuyées sur les documents de l’entreprise, qui citent leurs sources |
Le meilleur modèle n’est d’ailleurs pas le même pour toutes les tâches. Une plateforme qui en propose plusieurs permet d’offrir le plus performant là où il compte, et un modèle plus économique pour les usages courants, sans que l’utilisateur ait à s’en soucier.
Démarrer petit, prouver vite
L’offre suit quatre temps (cadrage, socle, agents, exploitation), chacun avec son livrable, et chacun peut s’arrêter. Le point de départ est volontairement restreint : un premier agent métier opérationnel en deux semaines, sur un cas d’usage réel, pour mesurer la valeur avant de décider d’aller plus loin.
Le bon premier cas d’usage est souvent sous vos yeux : c’est celui que vos équipes pratiquent déjà en cachette. La préparation de rendez-vous commerciaux, la recherche dans la politique RH, le tri des courriels du lundi matin.
Réversible, et sans promesse excessive
Le socle est open source, la configuration est versionnée et les données vivent dans une base standard : vous pouvez reprendre la plateforme en interne ou la confier à un autre prestataire. Sur la conformité, nous préférons le franc-parler : la conformité à l’IA Act dépend de ce que font vos agents, et personne ne peut la déclarer à votre place. Nous qualifions chaque cas d’usage au cadrage, et nous le documentons.
Et si vous utilisez déjà Microsoft 365 Copilot ? Les deux coexistent : Copilot outille la productivité individuelle dans la bureautique, Agent Factory adresse vos données métier et vos systèmes internes.
Conclusion : transformer l’ombre en feuille de route
Le Shadow AI n’est ni une faute à sanctionner, ni une fatalité à subir. C’est la preuve que vos collaborateurs ont trouvé, seuls, où l’IA leur fait gagner du temps. Le rôle de l’entreprise est de leur offrir mieux : un outil aussi simple, plus utile parce qu’il connaît leurs données, et sûr par construction.
Trois règles à retenir :
- Écoutez avant d’interdire. Les usages cachés sont votre meilleure liste de cas d’usage.
- Proposez une alternative au moins aussi bonne. Sinon, l’usage caché continuera.
- Rendez la valeur visible. Mesurer l’usage, c’est pouvoir le généraliser et le piloter.
Avec Agent Factory, Eurelis livre à chaque entreprise sa propre plateforme d’agents IA : infrastructure dédiée hébergée en France, inférence en Europe, connexion aux données métier, droits d’accès hérités de votre annuaire et suivi des coûts. Vous voulez savoir ce que vos équipes font déjà avec l’IA, et comment le sécuriser ? Parlons-en : un premier échange suffit pour identifier le cas d’usage qui mérite d’être éprouvé en premier.
