Le Shadow AI, ce sont tous les outils d'intelligence artificielle utilisés par vos équipes sans validation de la DSI ou de la direction. Ce n'est pas une question de méfiance envers les salariés : la plupart adoptent ces outils parce qu'ils rendent réellement leur travail plus efficace, souvent sans réaliser les implications en matière de sécurité et de conformité.
Cette page rassemble ce que nos auditeurs constatent le plus souvent en mission, comment cartographier ce que vos équipes utilisent réellement, et comment construire une gouvernance IA qui protège votre entreprise sans freiner l'adoption de l'IA.
Le constat chiffré
En 2023, le Shadow AI se résumait à des collaborateurs qui copiaient-collaient des emails dans ChatGPT. En 2026, le périmètre a explosé : les outils IA sont intégrés nativement dans Microsoft 365 (Copilot), Google Workspace (Gemini), les CRM, les outils RH, les ERP. Un collaborateur peut envoyer des données sensibles à un LLM externe sans jamais quitter son interface habituelle.
78%
salariés utilisent l'IA sans validation DSI
43
outils IA distincts détectés en moyenne par audit
12%
des PME ont un inventaire IA à jour
4,2M€
coût moyen d'une violation de données en Europe
Chiffres issus des audits 2LKATIME et d'études sectorielles sur la gouvernance IA en entreprise, 2025-2026.
Les risques concrets
Tous les usages de Shadow AI ne se valent pas. Une PME de 80 personnes sans données de santé n'a pas le même profil de risque qu'un cabinet d'avocats ou un sous-traitant industriel. Voici les cas les plus fréquents, classés par niveau de risque.
Risque critique - données personnelles ou confidentielles
- - Contrats clients ou NDA collés dans ChatGPT
- - Données RH (CV, salaires) envoyées à un LLM externe
- - Code source exposé via Copilot ou Cursor mal configuré
- - Stratégie confidentielle (M&A, roadmap) partagée avec une IA
Risque limité - usage générique
- - Reformulation ou traduction d'emails internes
- - Rédaction de contenu web public (articles, FAQ)
- - Supports de formation interne
- - Recherche et veille sur des sujets publics
Ce que cette classification révèle : les cas critiques sont systématiquement liés aux données à caractère personnel (RGPD) et aux informations confidentielles d'affaires. Ce ne sont pas des risques théoriques - c'est ce que nos auditeurs trouvent le plus souvent en mission.
RGPD, AI Act, NIS2 : le triple risque légal
Le Shadow AI n'est pas seulement un risque technique, c'est un risque juridique triple pour les PME françaises. Trois textes majeurs s'appliquent simultanément en 2026.
RGPD
Sanction max : 4% du CA mondial
Exposition élevée dès que des données personnelles circulent en clair dans un LLM non maîtrisé.
AI Act
Sanction max : 15M€ ou 3% du CA
Obligation de registre des systèmes IA - le Shadow AI constitue une violation directe de cette obligation.
NIS2
Mise en demeure + astreinte
Obligation de gestion des risques tiers, un LLM externe étant considéré comme un fournisseur tiers.
À cela s'ajoute le risque contractuel : violation possible des clauses de confidentialité et NDA signés avec vos clients et partenaires, avec une responsabilité civile potentielle pour l'entreprise.
Les 5 piliers d'une gouvernance IA qui tient dans la durée
Une politique IA qui fonctionne n'est pas un document de 40 pages que personne ne lit. C'est un système de 5 piliers interdépendants.
1. Inventaire - vous ne gouvernez pas ce que vous ne voyez pas
Listez tous les outils IA utilisés, pas seulement ceux achetés officiellement. Un formulaire anonyme envoyé aux salariés révèle en général 3 à 5 fois plus d'outils que ce que la direction estimait.
2. Classification - niveau de risque AI Act par outil
Pour chaque outil : minimal (filtre spam), limité (chatbot client), ou haut risque (scoring RH, crédit, surveillance). Cette classification détermine vos obligations légales.
3. Charte IA - le document que les salariés lisent réellement
Une page A4, pas un texte juridique : outils autorisés, ce qu'on n'y met pas, droits et obligations, procédure en cas d'incident.
4. Validation - circuit court obligatoire pour un nouvel outil
Un processus rapide (formulaire + délai de réponse de quelques jours) pour demander un nouvel outil. C'est la clé anti-Shadow AI : sans circuit rapide, les équipes contournent la règle.
5. Surveillance - revue trimestrielle et mise à jour annuelle
La gouvernance IA n'est pas un projet ponctuel. Une revue régulière permet de détecter les nouveaux outils adoptés et de maintenir la charte à jour.
Notre méthode : cartographier sans bloquer l'innovation
Détecter et encadrer le Shadow AI ne signifie pas interdire l'IA. Notre approche est celle du "IA by design" : cartographier l'existant, identifier les risques réels, approuver les bons outils, former les équipes. L'objectif est une organisation qui utilise l'IA efficacement et en sécurité, pas une organisation qui interdit l'IA et voit ses collaborateurs partir vers des concurrents plus agiles.
Cartographie : inventaire de tous les outils IA utilisés via analyse réseau et entretiens
Analyse des risques : qualification de chaque outil et flux de données
Rédaction de la charte IA interne : outils approuvés, interdits, sous conditions
Mise en conformité : DPA avec les fournisseurs approuvés, registre AI Act, clauses NDA à jour
Formation des équipes et monitoring continu, révision périodique de la charte
Sujets liés
Le Shadow AI se cumule souvent avec le Shadow No-Code (outils Make, Zapier, n8n déployés sans validation IT) et avec vos obligations de conformité AI Act et d'audit RGPD pour vos systèmes IA.
FAQ - Shadow AI et gouvernance IA
Comment savoir si mes équipes utilisent des IA non autorisées ?
Un simple formulaire anonyme envoyé à tous les salariés révèle en général 3 à 5 fois plus d'outils que ce que la direction estimait. Une analyse technique des flux réseau permet ensuite de confirmer et compléter cet inventaire déclaratif.
Faut-il interdire tous les outils IA grand public en entreprise ?
Non. L'objectif n'est pas d'interdire l'IA mais de l'encadrer. Une interdiction totale pousse généralement les collaborateurs à contourner les règles ou à partir vers des concurrents plus souples.
Quelle différence entre Shadow AI et Shadow IT ?
Le Shadow IT désigne tout outil informatique utilisé sans validation IT. Le Shadow AI est une sous-catégorie spécifique aux outils d'intelligence artificielle, avec des risques additionnels liés au traitement de données par des modèles tiers et à la conformité AI Act.
Combien de temps prend la mise en place d'une gouvernance IA ?
La cartographie initiale prend généralement 1 à 2 jours. La rédaction de la charte IA peut être opérationnelle en une semaine. La mise en conformité complète s'étale sur 2 à 3 semaines.
Qui doit porter le sujet de la gouvernance IA dans une PME ?
Idéalement, un binôme dirigeant/DPO ou dirigeant/RSSI si l'entreprise en a un. Dans les PME sans équipe dédiée, c'est souvent le rôle d'un CISO externalisé qui pilote le sujet dans la durée plutôt qu'en projet ponctuel.
Le Shadow AI concerne-t-il aussi les outils no-code (n8n, Make, Zapier) ?
Oui, dès qu'une automatisation no-code fait appel à un modèle IA ou traite des données personnelles sans validation. C'est un angle mort fréquent : les équipes métier créent des workflows sans que l'IT en ait connaissance.
Cartographiez le Shadow AI dans votre entreprise
20 minutes pour évaluer votre exposition réelle, sans jargon.