Le Shadow AI s’est installé dans les entreprises françaises bien plus vite que les règles censées l’encadrer. Selon le Baromètre IA Entreprise et Durabilité 2026 de l’ESSCA et Forvis Mazars, 66 % des professionnels constatent du Shadow AI dans leur organisation, et la France affiche le taux le plus élevé d’Europe avec une entreprise sur cinq décrivant cette pratique comme répandue. Ce phénomène révèle un décalage fondamental : les salariés adoptent des outils d’IA grand public avant que leur employeur ne propose des solutions validées. Pourquoi cette situation persiste-t-elle malgré les efforts de gouvernance ? Comment les entreprises peuvent-elles construire un cadre d’usage qui couvre l’ensemble des pratiques sans angle mort ? J’ai exploré ces questions en profondeur, et les réponses que j’ai trouvées montrent que le problème n’est pas tant d’interdire que de comprendre, former et encadrer intelligemment. Cet article vous propose une analyse détaillée des enjeux du Shadow AI, des raisons de sa persistance en France, et des stratégies concrètes pour bâtir une gouvernance de l’IA qui fonctionne vraiment.
📋 Sommaire
Pourquoi le Shadow AI Persiste Malgré les Outils Validés
Je dois d’abord clarifier un point qui surprend beaucoup de responsables IT : le Shadow AI ne disparaît pas simplement parce qu’une entreprise met ses propres outils à disposition. C’est contre-intuitif, mais c’est la réalité que montre le baromètre. Trois raisons expliquent cette persistance, et elles sont toutes rationnelles du point de vue du salarié. La première est l’habitude. Un collaborateur qui a adopté ChatGPT ou Claude avant que son entreprise ne propose un assistant interne continuera à utiliser ce qu’il connaît. C’est humain, c’est normal 🤖, et c’est difficile à combattre par la seule interdiction.
La deuxième raison est la performance perçue. Les outils fournis par l’entreprise sont souvent jugés moins performants que leurs équivalents grand public. Cela peut être vrai ou faux, mais la perception compte. Un salarié qui a testé GPT-6 Luna chez OpenAI et qui se voit proposer un modèle plus ancien ou moins optimisé pour son usage spécifique va naturellement préférer ce qu’il connaît. La troisième raison est le confort d’usage. Les outils internes peuvent être plus lents, moins intuitifs, ou nécessiter des authentifications supplémentaires. Ces frictions, même mineures, suffisent à pousser les utilisateurs vers des solutions externes.
Ce que j’en retiens, c’est une leçon importante pour les entreprises : un outil validé qui soutient la comparaison avec ceux du marché fait reculer le Shadow AI bien plus sûrement qu’un rappel au règlement. L’interdiction seule ne fonctionne pas. Il faut proposer une alternative crédible, performante et facile à utiliser. C’est un investissement, mais c’est aussi une reconnaissance que les salariés ne sont pas des enfants qu’on doit punir, mais des professionnels qu’on doit équiper correctement.
La France, Championne du Shadow AI : Comprendre le Paradoxe
Un chiffre m’a particulièrement frappé en analysant le baromètre : une entreprise française sur cinq décrit le Shadow AI comme répandu, contre une sur dix dans les trois autres pays étudiés (Royaume-Uni, Allemagne, Espagne). La France est donc deux fois plus touchée que ses voisins. Pourquoi ? Je vois deux explications qui se renforcent mutuellement. La première tient à l’encadrement et à la formation. En France, moins d’une entreprise sur deux forme ses salariés à l’IA, contre trois sur quatre au Royaume-Uni. Un tiers environ a rédigé des lignes directrices éthiques, contre sept sur dix outre-Manche. Cette différence est massive 📊.
Quand la règle et la formation arrivent tard, l’usage s’installe seul. C’est la conclusion que je tire de ces chiffres. Les salariés français n’ont pas attendu que leur entreprise se décide. Ils ont pris les outils disponibles et les ont intégrés à leur workflow. Maintenant, il est trop tard pour interdire. La seconde explication concerne l’offre interne. Plus de quatre entreprises françaises sur dix se passent encore d’outils pour interroger leurs documents internes avec l’IA. Le salarié qui en a besoin va en chercher un ailleurs, naturellement. C’est une carence d’offre interne qui crée du Shadow AI.
Ce que je constate, c’est que la France a pris du retard dans la gouvernance de l’IA. Nous avons des talents, nous avons des entreprises innovantes, mais nous manquons de cadre structurant et de formation systématique. C’est un problème de stratégie, pas de culture. Les entreprises françaises peuvent rattraper ce retard, mais elles doivent agir vite. Le temps joue contre elles, car plus le Shadow AI s’installe, plus il devient difficile à encadrer.
Encadrer Plutôt qu’Interdire : La Stratégie Gagnante
Voici une question que je pose souvent aux responsables IT : faut-il interdire le Shadow AI ou l’encadrer ? La réponse que me donne le baromètre est claire. L’interdiction générale ne fonctionne pas. Une entreprise sur huit constate que le Shadow AI continue malgré une interdiction claire. La situation la plus fréquente est la tolérance, qui concerne une entreprise sur quatre. C’est à mes yeux la position la plus fragile, car l’entreprise sait, laisse faire, et la question de sa responsabilité se pose le jour où des données sensibles sortent 🔒.
L’interdiction garde son sens quand elle est précise et justifiée. Interdire de saisir des données clients, des éléments de paie ou un contrat en négociation dans un outil grand public, chacun le comprend et peut s’y tenir. C’est une règle qui a du sens. Mais une interdiction générale et floue ? Elle crée de la frustration et du Shadow AI. Je plaide donc pour l’encadrement. Il s’agit de dire quels usages sont permis, avec quels outils et sur quelles données, puis de fournir un outil validé de bon niveau. Une règle que les salariés comprennent et peuvent suivre protège généralement mieux qu’une interdiction abstraite.
Concrètement, comment construire ce cadre ? Je recommande de commencer par un inventaire. Demandez aux équipes quels outils elles utilisent, pour quelles tâches et avec quelles données, en garantissant l’anonymat des réponses. Classez ensuite ces usages avec deux questions simples : quelles données entrent dans l’outil ? Le résultat sert-il à prendre une décision sur une personne ? Vous obtenez trois listes : ce qui est permis, ce qui l’est sous conditions et ce qui est interdit. Raisonner par usage plutôt que par outil aide beaucoup, car les outils changent tous les trimestres. Enfin, nommez un responsable identifié, organisez une formation et prévoyez une révision régulière avec les représentants du personnel.
Les Usages Acceptés Mais Sous-Estimés : Les Angles Morts de la Gouvernance
Au-delà du Shadow AI, il existe des usages que l’entreprise accepte mais qui restent mal encadrés. Je veux vous parler de trois d’entre eux, car ils représentent des risques réels. Le premier est la transcription des réunions. Quatre entreprises sur cinq utilisent des modèles de langage pour la bureautique, c’est-à-dire les résumés, les comptes rendus de visioconférences et l’aide à la rédaction des mails. En France, quatre répondants sur dix indiquent que le consentement à l’enregistrement est demandé de façon explicite et tracée. Pour quatre autres sur dix, il reste informel ou a disparu 🎙️.
C’est un problème majeur. Une réunion contient des noms, des avis sur des personnes, parfois des secrets d’affaires. C’est d’abord un sujet de RGPD. Il semble indispensable de respecter les règles de consentement à l’utilisation des données personnelles. C’est aussi une question de confiance entre collègues. Il est nécessaire de prévenir l’ensemble des participants à une réunion et de s’assurer de leur accord explicite. Je citerais également le recrutement. Faire résumer ou classer des candidatures par une IA paraît anodin, mais ces usages peuvent relever des systèmes à haut risque de l’AI Act. Le code vient ensuite. Plus de la moitié des entreprises qui développent déclarent qu’au moins un quart de leur code est assisté par l’IA. Ces outils apportent un véritable gain de productivité, mais ce gain peut s’accompagner d’une dette technique lorsque la relecture prend du retard, ainsi que d’un risque de perte de compétences pour les équipes.
Ce que je retiens, c’est que la gouvernance de l’IA ne peut pas se limiter au Shadow AI. Elle doit couvrir l’ensemble des usages, y compris ceux qui semblent anodins. C’est un travail de fond, mais c’est aussi une opportunité. Les entreprises qui construisent une gouvernance complète et intelligente gagnent en confiance, en conformité et en productivité. Elles créent aussi une culture où l’IA est un outil au service des salariés, pas une menace.
L’AI Act et la Gouvernance Interne : Deux Niveaux de Régulation
Depuis le 2 août 2026, les entreprises sont soumises à de nouvelles obligations prévues par l’AI Act, notamment en matière de transparence. Ce cadre réglementaire est utile, mais il a ses limites. Le texte fait bien ce pour quoi il a été écrit. Il classe les systèmes selon leur risque. Depuis le 2 août, il impose de dire à une personne qu’elle échange avec une machine et de rendre identifiables les contenus générés par l’IA. Depuis février 2025, il demande aussi aux entreprises de donner à leurs équipes un niveau suffisant de connaissance de ces outils. Ce sont des règles utiles 📋.
Celles des systèmes à haut risque, comme le recrutement, s’appliqueront en décembre 2027. Mais la limite de l’AI Act tient à son objet. Il encadre des systèmes, ceux qui les fournissent et ceux qui les déploient. Le salarié qui colle un document dans son assistant personnel relève surtout de la politique interne de l’entreprise et du RGPD. Une charte d’usage bien faite reste le complément indispensable de la loi. Notre baromètre montre surtout un problème d’appropriation. Moins de trois répondants sur dix disent que leur entreprise connaît bien le texte, et un sur huit dans les petites structures. En France et au Royaume-Uni, ce niveau est resté stable depuis 2024. La priorité est de faire connaître la règle.
Je vois donc deux niveaux de régulation qui doivent coexister. Le premier est légal, c’est l’AI Act. Le second est interne, c’est la charte d’usage et la gouvernance. Les deux sont nécessaires. L’AI Act fixe un socle minimum, mais c’est la gouvernance interne qui crée une culture de confiance et de responsabilité. Les entreprises qui comprennent cela et qui investissent dans les deux niveaux seront les gagnantes de cette transition.
Les Agents IA : La Prochaine Frontière de la Gouvernance
Les agents IA, capables d’enchaîner des tâches avec une intervention humaine limitée, commencent à s’installer dans les entreprises. Plus d’une entreprise sur trois utilise déjà des agents autonomes en France selon notre baromètre, et près de la moitié des entreprises européennes en utilisent ou en testent. C’est un changement majeur, et il rend l’encadrement encore plus complexe. Pourquoi ? Parce que l’agent agit. Avec un assistant, le salarié lit une réponse avant de s’en servir. Avec un agent, le mail part, le fichier est modifié, la commande est passée 🤖.
La question change donc. On se demandait quelles données entraient dans l’outil, on doit maintenant décider ce que l’outil a le droit de faire. C’est une responsabilité nouvelle et plus lourde. Les moyens de contrôle existent, heureusement. Les développeurs parlent de harnais, c’est-à-dire de limites fixées à l’agent, avec des droits d’accès réduits, un journal de ses actions et une validation humaine avant toute décision irréversible. Le développement informatique a servi de terrain d’essai, avec des agents chargés de relire le travail d’autres agents. Je conseille de tenir un registre des agents, avec un responsable pour chacun, dès le premier déploiement. Par ailleurs, il existe aussi des référentiels de gouvernance, comme le NIST AI Risk Management Framework ou les normes ISO 42001, 42005 et 23894. Ces outils existent, il faut les utiliser 🛡️.
Ce que je vois, c’est que les agents IA vont forcer les entreprises à être plus rigoureuses dans leur gouvernance. C’est une bonne chose. Les entreprises qui construisent une gouvernance solide maintenant seront prêtes pour les agents. Les autres vont devoir rattraper leur retard, et ce sera plus difficile. Je recommande donc de ne pas attendre. Commencez par les usages actuels, construisez un cadre, puis adaptez-le pour les agents. C’est un processus continu, pas une destination finale.
Construire une Gouvernance Complète : De la Théorie à la Pratique
Comment construire concrètement un cadre complet qui couvre l’ensemble des usages sans angle mort ? C’est la question que je me pose depuis le début de cet article, et je vais vous donner ma réponse basée sur le baromètre et mon expérience. Je commencerais par un inventaire. Demandez aux équipes quels outils elles utilisent, pour quelles tâches et avec quelles données, en garantissant l’anonymat des réponses. Cet inventaire est crucial, car il vous montre la réalité, pas ce que vous pensez être la réalité. Vous découvrirez probablement des usages que vous ne soupçonniez pas 📊.
Classez ensuite ces usages avec deux questions simples. Quelles données entrent dans l’outil ? Le résultat sert-il à prendre une décision sur une personne ? Vous obtenez trois listes : ce qui est permis, ce qui l’est sous conditions et ce qui est interdit. Raisonner par usage plutôt que par outil aide beaucoup, car les outils changent tous les trimestres. Une règle basée sur un outil spécifique devient obsolète rapidement. Une règle basée sur un usage reste pertinente. Il faut enfin un responsable identifié, une formation et une révision régulière avec les représentants du personnel. Étant donné la vitesse à laquelle ces technologies se développent, il est important de prévoir des clauses de révision pour suivre leur évolution. Je recommande une révision tous les six mois, au minimum.
Ce que je vois dans les meilleures pratiques, c’est que les entreprises qui réussissent combinent trois éléments. D’abord, une gouvernance claire et compréhensible. Les salariés doivent comprendre les règles et pourquoi elles existent. Ensuite, une formation continue. L’IA évolue vite, et les salariés doivent rester à jour. Enfin, une culture de confiance. Les salariés doivent sentir qu’on leur fait confiance, qu’on les écoute et qu’on adapte les règles en fonction de leurs retours. C’est un équilibre délicat, mais c’est possible.
Conclusion
Le Shadow AI n’est pas un problème à résoudre par la force, c’est un symptôme à comprendre. Il révèle un décalage entre la vitesse d’adoption de l’IA par les salariés et la vitesse de mise en place de gouvernance par les entreprises. En France, ce décalage est particulièrement marqué, et c’est une opportunité pour les entreprises qui agissent maintenant. Je suis convaincu que les entreprises qui construisent une gouvernance intelligente, basée sur la compréhension des usages réels et non sur l’interdiction, vont gagner en productivité, en conformité et en confiance. Elles vont aussi créer une culture où l’IA est un outil au service des salariés, pas une menace. C’est un investissement, mais c’est aussi une nécessité.
Les agents IA vont compliquer les choses, c’est vrai. Mais ils vont aussi forcer les entreprises à être plus rigoureuses. C’est une bonne chose. Je recommande donc de commencer maintenant, par les usages actuels, et de construire un cadre qui peut évoluer. Raisonner par usage plutôt que par outil, nommer des responsables, former les équipes et réviser régulièrement. C’est simple en théorie, mais c’est du travail en pratique. C’est aussi du travail qui paie.
📝 En Bref
- Le Shadow AI persiste en France car les outils validés arrivent souvent après l’habitude, et les salariés préfèrent des solutions performantes et faciles à utiliser
- La France est deux fois plus touchée par le Shadow AI que ses voisins européens, en raison d’une formation insuffisante et d’une carence d’offre interne d’outils IA
- L’encadrement intelligent fonctionne mieux que l’interdiction générale : il faut définir des usages permis, sous conditions ou interdits, puis fournir des outils validés
- Les agents IA vont compliquer la gouvernance en passant de la question « quelles données ? » à « que peut faire l’outil ? », nécessitant des harnais et un registre des agents
