Shadow AI : l'IA fantôme au travail, que faire ?

14 oct. 2026

En bref : le Shadow AI, c'est l'usage d'outils d'intelligence artificielle par des salariés sans que la direction ou le service informatique l'ait validé. Selon le rapport Verizon DBIR 2026, repris par Kiteworks, 45 % des employés utilisent désormais l'IA sur leur matériel professionnel, contre 15 % un an plus tôt. Les experts rencontrés par Clubic aux Assises de la cybersécurité sont divisés sur l'interdiction, mais presque tous s'accordent sur un point : il vaut mieux proposer de bons outils encadrés que fermer les yeux.

Qu'est-ce que le Shadow AI ?

Le terme désigne l'IA « fantôme » : un assistant comme ChatGPT, Gemini ou Claude ouvert dans un coin de l'écran pour résumer un document, relire un texte ou corriger un bout de code, sans que personne l'ait autorisé. Anthony Hervé, d'Illumio, la définit comme l'usage d'outils d'IA « qui ne sont pas contrôlés, validés par les équipes IT ». Le phénomène rappelle le Shadow IT, quand chacun installait son propre service de stockage ou de messagerie.

Il prend aussi une forme plus discrète. Selon Adrien Merveille, de Check Point, un logiciel acheté en bonne et due forme peut embarquer de l'IA à l'insu de l'entreprise. Et chez Nomios, entreprise de 500 salariés, Eric Bohec raconte que trois semaines après une formation de tout le personnel, 800 assistants IA avaient déjà été créés en interne.

À quelle échelle les salariés utilisent-ils l'IA sans autorisation ?

Les chiffres dépendent des études, mais la tendance est nette. D'après le Verizon DBIR 2026, tel que résumé par Kiteworks :

45 % des employés utilisent l'IA sur leurs appareils professionnels, contre 15 % l'année précédente ;
67 % de ces utilisateurs passent par un compte personnel et non un compte professionnel ;
le code source est le type de donnée le plus souvent envoyé à ces services, sur 858 440 événements de fuite analysés ;
en moyenne, plus de 15 % des utilisateurs d'une entreprise ont installé des extensions IA de navigateur non autorisées.

Autre étude, plus ancienne : Harmonic Security, citée par IT-Connect, a analysé 176 460 requêtes au premier trimestre 2025. ChatGPT concentrait 79,1 % des données sensibles repérées, et 21 % des utilisateurs employaient sa version gratuite.

Quels sont les vrais risques pour une petite structure ?

Le premier risque tient moins à l'outil qu'à ce qu'on lui confie. Francis Bergey, responsable sécurité de SNCF Connect & Tech, rappelle que les conditions de certaines offres gratuites prévoient que les contenus envoyés servent à entraîner les modèles suivants. Un document interne peut ainsi sortir de l'organisation sans retour possible. La frontière entre usage personnel et professionnel, par exemple un abonnement payé à titre privé mais utilisé au travail, complique encore les choses.

Le second risque concerne les assistants qui agissent. Quand un agent reçoit des droits sur un logiciel de gestion client, une consigne mal comprise peut créer une commande par erreur, voire effacer des données. Les experts interrogés rappellent aussi qu'un agent relié à tout devient une porte d'entrée de choix si quelqu'un malveillant en prend le contrôle.

Faut-il interdire l'IA au travail ?

Les avis divergent. Eric Bohec juge que confier des données d'entreprise à un chatbot grand public est « à interdire purement et simplement », et note que le filtrage d'accès au web permet souvent de le bloquer. À l'inverse, Anthony Hervé estime l'interdiction impossible : un salarié privé d'outil passera par son téléphone ou son compte personnel, ce qui est pire. Florian Malecki, de KnowBe4, partage ce constat : les gens trouveront toujours un moyen.

Le rapport Verizon, dans la lecture de Kiteworks, va dans le même sens : les données ne justifient pas une interdiction totale, mais plaident pour un accès encadré qui journalise les usages.

Que faire pour encadrer l'IA sans la brider ?

Les pistes citées par les experts sont simples :

proposer des outils validés, assez bons pour que personne n'ait envie d'aller voir ailleurs ;
former et expliquer, plutôt que punir ;
rédiger une charte courte et claire (chez Sekoia, la doctrine interne a demandé six mois de travail) ;
garder une trace de ce que font les agents IA : qui a demandé quoi, avec quel modèle.

Ce qu'il faut en retenir pour une association ou une petite entreprise

Vous n'avez pas de service informatique ? Les risques existent quand même, et la réponse peut rester légère.

Faites le point en équipe : demandez, sans reproche, qui utilise quel outil d'IA et pour quoi faire. Ceux qui n'osent pas le dire sont les plus exposés.
Écrivez une charte d'une page : quelles données ne doivent jamais être collées dans un chatbot (listes d'adhérents, informations sur des personnes, contrats, données de santé).
Choisissez un outil de référence : de préférence une offre professionnelle dont les conditions précisent que vos contenus ne servent pas à l'entraînement, et un compte au nom de la structure plutôt que des comptes personnels.
Limitez les droits des assistants : un agent branché sur votre comptabilité ou votre fichier clients ne doit pouvoir que ce dont il a besoin, avec validation humaine avant toute suppression.
Revoyez vos logiciels : vérifiez si vos outils habituels ont ajouté des fonctions d'IA, et ce qu'elles font de vos données.

L'objectif n'est pas de bannir l'IA, mais de savoir où vont vos données.

Photo : Yan Krukau / Pexels