6 min de lecture<\/p>\n
78 pour cent des salari\u00e9s utilisent des outils d’IA que leur service informatique n’a pas approuv\u00e9s. Ce n’est pas une pr\u00e9vision, c’est le statu quo document\u00e9 dans les entreprises du monde entier. En 18 mois, le Shadow AI est pass\u00e9 d’un ph\u00e9nom\u00e8ne marginal \u00e0 la plus grande adoption technologique incontr\u00f4l\u00e9e de l’histoire des entreprises. La question n’est plus de savoir si les employ\u00e9s utilisent l’IA g\u00e9n\u00e9rative, mais comment les organisations g\u00e8rent le fait qu’ils le font d\u00e9j\u00e0.<\/strong><\/p>\n D\u00e9finition<\/p>\n Le Shadow AI<\/strong> d\u00e9signe l’utilisation d’outils et de services d’IA par les employ\u00e9s sans la connaissance, l’approbation ou le contr\u00f4le du service informatique. Contrairement au Shadow IT classique, le Shadow AI ne concerne pas seulement l’infrastructure, mais affecte directement le traitement des donn\u00e9es confidentielles et la qualit\u00e9 des processus d\u00e9cisionnels.<\/p>\n<\/div>\n Le Shadow IT \u00e9tait un probl\u00e8me d’infrastructure. Les employ\u00e9s installaient Dropbox, utilisaient des services cloud priv\u00e9s ou mettaient en place leurs propres outils de collaboration parce que le service informatique \u00e9tait trop lent. Le risque \u00e9tait calculable : logiciels non mis \u00e0 jour, terminaux non s\u00e9curis\u00e9s, sauvegardes manquantes. L’IT pouvait rattraper, proposer des alternatives et ramener la plupart des services fant\u00f4mes dans le p\u00e9rim\u00e8tre contr\u00f4l\u00e9.<\/p>\n Le Shadow AI est fondamentalement diff\u00e9rent. Il ne s’agit pas d’installation de logiciels, mais de fuite de donn\u00e9es en temps r\u00e9el. Chaque saisie dans ChatGPT, Claude, Gemini ou Copilot est potentiellement une br\u00e8che de donn\u00e9es. Projets de contrats, listes de clients, documents strat\u00e9giques, code source, donn\u00e9es financi\u00e8res – tout atterrit sur des serveurs que l’entreprise ne contr\u00f4le ni ne peut auditer. Et contrairement \u00e0 un fichier Dropbox, il n’y a pas de r\u00e9cup\u00e9ration possible.<\/p>\n La diff\u00e9rence d\u00e9cisive : le Shadow IT concernait l’infrastructure. Le Shadow AI concerne la prise de d\u00e9cision. Quand un employ\u00e9 fait r\u00e9viser un projet de contrat par un mod\u00e8le d’IA, il d\u00e9l\u00e8gue implicitement des \u00e9valuations juridiques \u00e0 un syst\u00e8me sans responsabilit\u00e9 et sans contexte. Quand un contr\u00f4leur de gestion fait passer des donn\u00e9es financi\u00e8res par un mod\u00e8le externe, des informations confidentielles quittent le p\u00e9rim\u00e8tre contr\u00f4l\u00e9 de mani\u00e8re irr\u00e9versible.<\/p>\n \u00c0 cela s’ajoute la vitesse d’adoption. La diffusion de Dropbox dans les entreprises a pris des ann\u00e9es. ChatGPT a atteint 100 millions d’utilisateurs en deux mois. Les services informatiques n’ont eu aucune chance de d\u00e9velopper des directives avant que l’utilisation ne soit d\u00e9j\u00e0 quotidienne.<\/p>\n Il existe aussi une dimension r\u00e9glementaire que le Shadow IT n’a jamais eue. Sous le RGPD, tout traitement de donn\u00e9es personnelles par des tiers n\u00e9cessite une autorisation. NIS2 renforce les obligations pour les entit\u00e9s critiques et importantes. Le AI Act europ\u00e9en impose des exigences suppl\u00e9mentaires de documentation pour l’utilisation de l’IA dans les organisations. Ceux qui ignorent quels outils d’IA leurs employ\u00e9s utilisent ne peuvent remplir aucune de ces obligations. Le Shadow AI n’est donc pas seulement un risque de s\u00e9curit\u00e9, mais un v\u00e9ritable risque de responsabilit\u00e9.<\/p>\n Plusieurs enqu\u00eates ind\u00e9pendantes de 2025 dressent un tableau coh\u00e9rent. Le WalkMe State of Digital Adoption Survey a interrog\u00e9 plus de 3 500 travailleurs du savoir dans le monde. Le r\u00e9sultat : 78 pour cent admettent ouvertement utiliser des outils d’IA que leur employeur n’a pas approuv\u00e9s. L’\u00e9tude UpGuard de novembre 2025 arrive \u00e0 un chiffre encore plus \u00e9lev\u00e9 : plus de 80 pour cent des r\u00e9pondants utilisent des outils d’IA non approuv\u00e9s au quotidien.<\/p>\n Plus remarquable encore : l’utilisation est positivement corr\u00e9l\u00e9e au niveau hi\u00e9rarchique. Selon UpGuard, les dirigeants utilisent des outils d’IA non autoris\u00e9s plus fr\u00e9quemment que leurs \u00e9quipes. 69 pour cent des membres du comit\u00e9 de direction et 66 pour cent des vice-pr\u00e9sidents seniors ne voient aucun probl\u00e8me \u00e0 privil\u00e9gier la rapidit\u00e9 sur la protection des donn\u00e9es. Le message vers le bas est ainsi d\u00e9fini, m\u00eame s’il n’est jamais prononc\u00e9.<\/p>\n Les d\u00e9partements \u00e0 forte intensit\u00e9 de savoir sont particuli\u00e8rement touch\u00e9s. Les \u00e9quipes marketing utilisent l’IA pour la r\u00e9daction et les id\u00e9es de campagnes. Les services juridiques font r\u00e9sumer des contrats. Les \u00e9quipes financi\u00e8res analysent des donn\u00e9es. Les RH g\u00e9n\u00e8rent des offres d’emploi et des grilles d’\u00e9valuation. L’utilisation est large, profonde et dans la plupart des cas totalement invisible pour le service informatique et ses syst\u00e8mes de surveillance.<\/p>\n Une \u00e9tude BlackFog ajoute une dimension suppl\u00e9mentaire : 60 pour cent des employ\u00e9s d\u00e9clarent \u00eatre pr\u00eats \u00e0 prendre des risques de s\u00e9curit\u00e9 pour respecter les d\u00e9lais. Les outils d’IA sont pour beaucoup l’instrument de choix pour rester productifs sous pression. Ce n’est pas un contournement malveillant. C’est de l’autoassistance rationnelle dans des organisations qui n’offrent aucune alternative.<\/p>\n Un sch\u00e9ma se dessine \u00e0 travers les secteurs : plus l’industrie est r\u00e9glement\u00e9e, plus l’\u00e9cart entre la politique officielle et l’utilisation r\u00e9elle est grand. Les services financiers, les assureurs et les entreprises de sant\u00e9 ont souvent les interdictions les plus strictes et simultan\u00e9ment les taux d’utilisation les plus \u00e9lev\u00e9s par des voies d\u00e9tourn\u00e9es. Les gains de productivit\u00e9 sont imm\u00e9diatement tangibles pour les employ\u00e9s, tandis que les risques restent abstraits et diff\u00e9r\u00e9s. Tant que cette asym\u00e9trie persiste, toute interdiction sera contourn\u00e9e.<\/p>\n Software AG a livr\u00e9 dans une enqu\u00eate de 2025 un point de donn\u00e9es qui remet en question toute la strat\u00e9gie d’interdiction : 46 pour cent des employ\u00e9s d\u00e9clarent qu’ils continueraient \u00e0 utiliser des outils d’IA non autoris\u00e9s m\u00eame si leur entreprise les interdit explicitement. Ce n’est ni de la r\u00e9bellion ni du d\u00e9fi. C’est un comportement rationnel de personnes qui veulent faire leur travail plus efficacement et ne re\u00e7oivent aucune alternative approuv\u00e9e.<\/p>\n Le parall\u00e8le avec le Shadow IT des ann\u00e9es 2010 est instructif. \u00c0 l’\u00e9poque, les services informatiques tentaient de bloquer les services cloud. Le r\u00e9sultat : les employ\u00e9s se sont tourn\u00e9s vers des appareils personnels et des comptes priv\u00e9s. Le probl\u00e8me n’a pas \u00e9t\u00e9 r\u00e9solu, il a \u00e9t\u00e9 rendu invisible. C’est exactement ce qui se passe maintenant avec l’IA. Selon l’enqu\u00eate WalkMe, 58 pour cent des salari\u00e9s acc\u00e8dent d\u00e9j\u00e0 aux outils d’IA via des appareils personnels ou des comptes priv\u00e9s.<\/p>\n Une interdiction aggrave m\u00eame le risque. Ceux qui n’ont officiellement pas le droit ne demandent pas non plus si certaines donn\u00e9es peuvent \u00eatre saisies. Il n’y a pas d’interlocuteur, pas de directive, pas de proc\u00e9dure d’escalade. L’utilisation continue malgr\u00e9 tout, mais sans aucun contr\u00f4le, sans journalisation et sans possibilit\u00e9 de retracer ce qui s’est pass\u00e9 en cas d’incident.<\/p>\n La prohibition ne cr\u00e9e pas la conformit\u00e9. Elle cr\u00e9e l’opacit\u00e9. Et l’opacit\u00e9 est l’oppos\u00e9 de ce dont les organisations ont besoin quand 78 pour cent de leurs effectifs interagissent quotidiennement avec des syst\u00e8mes d’IA externes.<\/p>\n Il y a encore un autre effet souvent n\u00e9glig\u00e9 dans le d\u00e9bat : les interdictions nuisent \u00e0 la comp\u00e9titivit\u00e9. Les entreprises qui interdisent globalement l’utilisation de l’IA perdent sur deux tableaux. Elles renoncent \u00e0 des gains de productivit\u00e9 que leurs concurrents r\u00e9alisent d\u00e9j\u00e0. Et elles signalent aux candidats et aux employ\u00e9s que l’organisation est technologiquement r\u00e9trograde. Sur un march\u00e9 du travail o\u00f9 la comp\u00e9tence en IA est de plus en plus consid\u00e9r\u00e9e comme une qualification de base, c’est un d\u00e9savantage qui se manifeste \u00e0 court terme par du turnover et \u00e0 long terme par un retard d’innovation.<\/p>\n Ces trois chiffres d\u00e9crivent le probl\u00e8me central dans toute sa gravit\u00e9. 70 pour cent des organisations savent que leurs employ\u00e9s utilisent l’IA g\u00e9n\u00e9rative. Mais seulement 15 pour cent ont r\u00e9agi avec des politiques mises en oeuvre. Parall\u00e8lement, 38 pour cent des employ\u00e9s partagent des donn\u00e9es confidentielles d’entreprise avec des plateformes d’IA externes selon une enqu\u00eate conjointe de CybSafe et de la National Cybersecurity Alliance – sans aucune autorisation.<\/p>\n La dimension financi\u00e8re est consid\u00e9rable. Gartner pr\u00e9voit que 40 pour cent des entreprises seront touch\u00e9es par des incidents de s\u00e9curit\u00e9 directement attribuables au Shadow AI d’ici 2027. Le surco\u00fbt moyen d’un tel incident s’\u00e9l\u00e8ve \u00e0 environ 670 000 dollars US par rapport aux incidents de s\u00e9curit\u00e9 conventionnels.<\/p>\n Mais les co\u00fbts financiers ne sont que la partie visible. Le v\u00e9ritable pr\u00e9judice r\u00e9side dans l’\u00e9rosion de la souverainet\u00e9 des donn\u00e9es. Les donn\u00e9es saisies dans un mod\u00e8le externe ne peuvent \u00eatre rappel\u00e9es. Les cycles d’entra\u00eenement, les m\u00e9canismes de cache et les logs serveur des fournisseurs \u00e9chappent \u00e0 tout contr\u00f4le de l’entreprise. Ce qui appara\u00eet aujourd’hui comme une aide \u00e0 la productivit\u00e9 inoffensive peut devenir demain une violation de conformit\u00e9 au titre du RGPD ou de NIS2. Pour les secteurs r\u00e9glement\u00e9s comme les services financiers ou la sant\u00e9, le probl\u00e8me est aggrav\u00e9 : au-del\u00e0 des amendes, des interdictions professionnelles et une responsabilit\u00e9 personnelle sont en jeu.<\/p>\n Les entreprises qui endiguent avec succ\u00e8s le Shadow AI ne misent pas sur la technologie seule. Elles combinent trois leviers qui agissent de concert. Aucun des trois ne suffit isol\u00e9ment, mais ensemble ils changent fondamentalement la dynamique.<\/p>\n Premi\u00e8rement : fournir des alternatives approuv\u00e9es avant d’interdire.<\/strong> Interdire ChatGPT sans proposer une alternative interne est une strat\u00e9gie perdante. Les versions entreprise des outils d’IA avec authentification unique, pr\u00e9vention des fuites de donn\u00e9es et journalisation compl\u00e8te constituent le standard minimum. L’exp\u00e9rience utilisateur doit \u00eatre au moins \u00e9quivalente. Les employ\u00e9s ne se tournent pas vers des outils priv\u00e9s par principe, mais parce que l’outil d’entreprise est plus lent, plus restrictif ou tout simplement inexistant.<\/p>\n Deuxi\u00e8mement : des politiques d’utilisation plut\u00f4t que des interdictions.<\/strong> Une politique de gouvernance IA fonctionnelle ne d\u00e9finit pas ce qui est interdit, mais comment les outils d’IA peuvent \u00eatre utilis\u00e9s en toute s\u00e9curit\u00e9. Quelles classifications de donn\u00e9es peuvent \u00eatre saisies dans quels outils ? Qui v\u00e9rifie les r\u00e9sultats g\u00e9n\u00e9r\u00e9s par l’IA avant une d\u00e9cision critique ? O\u00f9 se situe la responsabilit\u00e9 en cas de r\u00e9sultats erron\u00e9s ? Seuls 32 pour cent des employ\u00e9s ont re\u00e7u une formation formelle en IA selon WalkMe. Ce d\u00e9ficit peut \u00eatre combl\u00e9 plus rapidement que n’importe quel syst\u00e8me de contr\u00f4le technique.<\/p>\n Troisi\u00e8mement : \u00e9tablir la visibilit\u00e9.<\/strong> Les outils de d\u00e9couverte du Shadow AI et les plateformes de gestion SaaS identifient quels services d’IA sont utilis\u00e9s dans le r\u00e9seau de l’entreprise. Non pas pour punir, mais pour permettre des d\u00e9cisions \u00e9clair\u00e9es. Ceux qui savent que l’\u00e9quipe marketing saisit quotidiennement des donn\u00e9es clients dans un outil non autoris\u00e9 peuvent r\u00e9agir de mani\u00e8re cibl\u00e9e. Ceux qui l’ignorent ne l’apprennent qu’\u00e0 l’occasion d’un incident de s\u00e9curit\u00e9 ou du prochain audit RGPD.<\/p>\n La s\u00e9quence est d\u00e9terminante : d’abord la visibilit\u00e9, puis les politiques, puis les alternatives s\u00e9curis\u00e9es. Commencer par l’interdiction, c’est avoir d\u00e9j\u00e0 perdu, car on ne fait que repousser le probl\u00e8me dans l’invisibilit\u00e9.<\/p>\n Le gain strat\u00e9gique d’une gouvernance IA fonctionnelle va au-del\u00e0 de la r\u00e9duction des risques. Les organisations qui fournissent \u00e0 leurs employ\u00e9s des outils d’IA s\u00e9curis\u00e9s et performants captent simultan\u00e9ment des donn\u00e9es d’utilisation montrant o\u00f9 l’IA apporte le plus grand levier. Ces donn\u00e9es constituent la base d’investissements cibl\u00e9s, de d\u00e9cisions d’automatisation et de la prochaine g\u00e9n\u00e9ration d’outils de productivit\u00e9. Ceux qui canalisent le Shadow AI dans des voies ordonn\u00e9es ne r\u00e9duisent pas seulement le risque. Ils construisent un savoir que la concurrence ne poss\u00e8de pas.<\/p>\n Le Shadow AI d\u00e9signe l’utilisation d’outils et de services d’IA par les employ\u00e9s sans la connaissance ou l’approbation du service informatique. Cela inclut les services publics comme ChatGPT, Claude, Gemini ou Midjourney utilis\u00e9s via des comptes priv\u00e9s, des appareils personnels ou le navigateur.<\/p>\n<\/details>\n Le Shadow IT concernait principalement l’infrastructure – des logiciels ou services cloud non autoris\u00e9s. Le Shadow AI affecte directement le traitement des donn\u00e9es sensibles et la qualit\u00e9 des processus d\u00e9cisionnels. Chaque saisie dans un outil d’IA externe est potentiellement une fuite de donn\u00e9es irr\u00e9versible.<\/p>\n<\/details>\n Entre 71 et 80 pour cent selon les \u00e9tudes. L’enqu\u00eate WalkMe de 2025 chiffre la proportion \u00e0 78 pour cent, l’\u00e9tude UpGuard \u00e0 plus de 80 pour cent. Fait notable : le taux d’utilisation augmente avec le niveau hi\u00e9rarchique.<\/p>\n<\/details>\n Non. 46 pour cent des employ\u00e9s d\u00e9clarent qu’ils continueraient \u00e0 utiliser des outils d’IA non autoris\u00e9s m\u00eame en cas d’interdiction explicite. 58 pour cent utilisent d\u00e9j\u00e0 des appareils et comptes personnels. Les interdictions cr\u00e9ent de l’opacit\u00e9 plut\u00f4t que de la conformit\u00e9.<\/p>\n<\/details>\n Les incidents de s\u00e9curit\u00e9 li\u00e9s au Shadow AI co\u00fbtent en moyenne environ 670 000 dollars US de plus que les incidents conventionnels. Gartner pr\u00e9voit que 40 pour cent des entreprises seront touch\u00e9es d’ici 2027.<\/p>\n<\/details>\n Image de titre : Pexels \/ Sora Shimazaki (px:5935787)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" Le Shadow AI touche 78 pour cent des salari\u00e9s. Les interdictions \u00e9chouent – seule la gouvernance IA fonctionne.<\/p>\n","protected":false},"author":82,"featured_media":15415,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"gouvernance IA clandestine","_yoast_wpseo_title":"Shadow AI: Risiken und Chancen der unkontrollierten KI-Nutzung","_yoast_wpseo_metadesc":"78 pour cent des salari\u00e9s utilisent des outils IA sans approbation IT. Pourquoi les interdictions \u00e9chouent et quels leviers fonctionnent.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[705],"tags":[],"class_list":["post-15238","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","entry"],"wpml_language":"fr","wpml_translation_of":15234,"yoast_head":"\nL’essentiel en bref<\/h2>\n
\n
Ce qui distingue le Shadow AI du Shadow IT<\/h2>\n
L’ampleur du probl\u00e8me : 78 pour cent sans approbation<\/h2>\n
Pourquoi les interdictions \u00e9chouent<\/h2>\n
L’\u00e9cart de gouvernance en trois chiffres<\/h2>\n
Ce qui fonctionne : la gouvernance plut\u00f4t que la prohibition<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qu’est-ce que le Shadow AI exactement ?<\/strong><\/summary>\n
Pourquoi le Shadow AI est-il plus dangereux que le Shadow IT ?<\/strong><\/summary>\n
Combien d’employ\u00e9s utilisent des outils d’IA non autoris\u00e9s ?<\/strong><\/summary>\n
Les interdictions fonctionnent-elles contre le Shadow AI ?<\/strong><\/summary>\n
Combien co\u00fbte un incident de s\u00e9curit\u00e9 li\u00e9 au Shadow AI ?<\/strong><\/summary>\n
Lectures recommand\u00e9es<\/h2>\n
\n