Cet article fournit des orientations informatives générales. Voir les Mentions légales .
- Le shadow AI, l'usage par les salariés d'outils IA jamais validés, examinés, ni même connus de l'entreprise, est passé du statut de nuisance informatique à celui de risque de conformité. Au titre de l' AI Act , votre entreprise devient « déployeur » dès que du personnel utilise des outils IA à des fins professionnelles, que les achats l'aient validé ou non.
- La recherche d'UpGuard de novembre 2025 situe l'usage non approuvé d'outils IA par les salariés au-dessus de 80 %. L' enquête 2025 de Pacific AI montre que moins de quatre entreprises sur dix disposent d'un cadre de gouvernance IA formalisé.
- Une interdiction ne survit pas à une échéance. La visibilité vient en premier : il faut savoir ce qui est réellement utilisé avant de pouvoir en encadrer quoi que ce soit.
Le shadow AI en bref : tout outil IA qu'un salarié utilise pour le travail sans validation de l'entreprise. Un compte ChatGPT personnel, une extension de navigateur qui résume des documents, une fonctionnalité IA activée discrètement dans un autre logiciel SaaS que votre entreprise paie déjà. Rien de tout cela n'apparaît dans un inventaire informatique construit pour des licences logicielles. Tout cela peut traiter des données de l'entreprise ou de ses clients.
Points clés
- L'AI Act n'exige pas que vous ayez choisi ou approuvé un outil IA pour que celui-ci déclenche des obligations de déployeur. Un usage informel et non autorisé compte aussi.
- La plupart des organisations qui ont regardé ont trouvé un usage non sanctionné de l'IA quelque part dans leurs équipes. L'hypothèse honnête de départ pour toute PME est « nous en avons sans doute », pas « en avons-nous ».
- Une interdiction d'outil sans alternative validée échoue de façon prévisible : les salariés la contournent. Un inventaire documenté et une liste d'outils approuvés fonctionnent, eux.
Pourquoi cela devient urgent en 2026, pas en 2023
Le shadow IT, les logiciels non approuvés, existe depuis que les entreprises ont des services informatiques. Le shadow AI est un problème différent. Ces outils s'adoptent en quelques secondes, se rendent utiles dès la première utilisation, et traitent les données d'une façon que le salarié ne peut ni voir ni auditer. Créer un compte ChatGPT personnel prend trente secondes. Comprendre ce qu'il advient des données collées dedans prend beaucoup plus longtemps, et presque personne ne fait cette seconde étape avant la première.
Imaginez une chargée de marketing dans une PME industrielle de 40 salariés. En retard sur la refonte d'un catalogue produit, elle trouve un outil IA gratuit via une publicité LinkedIn et y colle trois ans de témoignages clients pour aller plus vite. Personne ne le lui a interdit. Personne ne le lui a suggéré non plus. Son responsable découvre l'outil six mois plus tard, par hasard, en se demandant pourquoi le ton du catalogue a changé.
L'échelle n'est pas marginale. La recherche d'UpGuard situe l'usage non approuvé au-dessus de 80 % des salariés, les professionnels de la sécurité utilisant des outils non sanctionnés à des taux tout aussi élevés. Dans le même temps, seul un tiers environ des entreprises déclare disposer d'un cadre de gouvernance IA formel. Cet écart entre usage élevé et gouvernance faible est précisément là où naissent les manquements de conformité.
Pourquoi c'est un problème de conformité, pas seulement de sécurité
Deux faits réglementaires font du shadow AI une exposition de conformité à part entière, et pas seulement un problème d'hygiène informatique.
D'abord, le statut de déployeur ne nécessite aucune approbation. Au titre de l' AI Act , toute organisation dont le personnel utilise un système d'IA à des fins professionnelles est un « déployeur », soumis à des obligations incluant la littératie IA (article 4, en vigueur depuis le 2 février 2025) et, pour les cas d'usage à risque plus élevé, des obligations supplémentaires au titre de l'article 26. Le texte n'exempte pas les outils que la DSI n'a jamais validés. Si votre équipe marketing utilise un outil IA non approuvé pour présélectionner des candidatures de façon informelle, votre entreprise porte des obligations de déployeur pour cet usage, que la conformité en ait eu connaissance ou non.
Ensuite, l'exposition RGPD suit la donnée, pas le processus d'achat. Un salarié qui colle une liste de clients dans un outil IA de synthèse réalise un traitement de données au sens du RGPD, quel que soit qui a autorisé l'outil. L'usage de shadow AI est, par définition, un usage que personne n'a examiné sous l'angle de la base légale, de l'accord de sous-traitance (DPA) ou de la minimisation des données : exactement les lacunes qu'un audit RGPD est conçu pour détecter. Retrouvez nos recommandations dans notre guide de conformité RGPD pour ChatGPT et Copilot ainsi que dans notre checklist RGPD pour PME .
À quoi ressemble le shadow AI dans une PME
Ce n'est presque jamais un cas spectaculaire unique. C'est généralement cinq ou six petites décisions individuellement raisonnables qui s'additionnent en un ensemble de traitements non gouvernés.
| Schéma | Exemple | Pourquoi il passe inaperçu |
|---|---|---|
| Usage de chatbot sur compte personnel | Un salarié utilise son propre compte ChatGPT/Gemini pour des tâches professionnelles | Pas de compte professionnel, aucune visibilité DSI |
| Fonctionnalités IA intégrées | Un « résumé intelligent » ou une « rédaction automatique » activés discrètement dans un outil SaaS existant | Personne ne réexamine les conditions d'un outil après une mise à jour de fonctionnalité |
| Extensions de navigateur | Une extension « résumer cette page » ou « reformuler cet e-mail » installée sans validation DSI | Les extensions passent rarement par les achats |
| Outils de prestataires externes | Un collaborateur externe utilise ses propres outils IA sur vos données | Totalement hors de votre gestion des appareils |
| Pilotes au niveau d'une équipe | Une équipe adopte un outil pour aller plus vite, informe la conformité plus tard, voire jamais | La rapidité est récompensée, la documentation ne l'est pas |
Construire la visibilité : la première étape, non négociable
Vous ne pouvez pas encadrer ce que vous ne voyez pas. Avant de rédiger une politique, organiser une formation ou classifier un risque, une PME a besoin d'une réponse honnête et actuelle à une question : quels outils IA touchent réellement nos données aujourd'hui ?
- Demander, ne pas présumer. Une courte enquête auprès de chaque équipe : quels outils IA utilisez-vous pour le travail, même occasionnellement ? Présentez-la comme une démarche de constat, pas un audit à charge. Les équipes sous-déclarent quand elles anticipent d'être blâmées.
- Auditer votre parc SaaS existant pour des fonctionnalités IA intégrées. De nombreux outils déjà payés ont discrètement ajouté des fonctionnalités IA. Vérifiez les notes de version récentes et les paramètres de tout outil traitant des données clients ou salariés.
- Vérifier les notes de frais. Les abonnements personnels à des outils IA remontés en note de frais constituent un signal utile et sous-exploité.
- Documenter ce que vous trouvez, y compris les zones grises. Un inventaire incomplet mais honnête est plus utile, et plus défendable devant un régulateur, qu'un inventaire propre mais fictif.
Que faire une fois la visibilité acquise
Une interdiction survit rarement à une échéance. Si un outil est utile et interdit purement et simplement, le résultat réaliste est que les salariés continuent de l'utiliser, simplement de façon moins visible. L'approche qui tient dans la durée :
- Approuver une courte liste d'outils sanctionnés en offres entreprise ou API avec accord de sous-traitance signé. Donner aux équipes une alternative légitime et rapide supprime l'essentiel de l'incitation à contourner la règle.
- Rédiger une politique d'usage acceptable d'une page , indiquant ce qui peut et ne peut pas figurer dans un prompt, en langage clair, pas un document juridique que personne ne lit.
- Mener une formation de base à la littératie IA pour satisfaire l'article 4 et, plus concrètement, rendre le risque lisible pour les personnes qui le créent. Découvrez comment structurer votre démarche dans notre guide de conformité AI Act en 5 étapes .
- Relancer l'exercice de découverte chaque trimestre. Le shadow AI n'est pas un nettoyage ponctuel. De nouveaux outils apparaissent constamment, et l'inventaire devient obsolète en quelques mois s'il n'est pas actualisé.
Questions fréquentes
Notre entreprise est-elle responsable des obligations AI Act si des salariés utilisent des outils que nous n’avons jamais approuvés ?
Faut-il simplement bloquer les outils IA au niveau réseau ?
Comment savoir quels outils IA notre équipe utilise réellement ?
Est-ce vraiment un enjeu de conformité, ou un problème informatique ?
Themio.ai cartographie les obligations de déployeur au titre de l'AI Act et du RGPD pour les outils utilisés dans votre entreprise, et identifie les politiques, registres et actions de gouvernance à mettre en place (en moins de 2 minutes), avec chaque constat traçable jusqu'à l'article de loi d'origine. Découvrir le fonctionnement →
Cet article fournit des informations générales pour vous aider à comprendre les obligations de conformité liées au shadow AI et à l'AI Act. Il ne constitue pas un conseil juridique et ne remplace pas l'avis d'un avocat qualifié, d'un DPO ou d'un spécialiste de la conformité familier de la situation spécifique de votre entreprise. Les exigences réglementaires peuvent évoluer — vérifiez toujours vos obligations actuelles auprès des textes officiels. Dernière révision : 4 septembre 2026.