Shadow AI : encadrer les usages avec une charte IA.

Le guide

Qu'est-ce que le shadow AI ?

Le shadow AI, ou « IA fantôme », désigne l'usage d'outils d'intelligence artificielle par les collaborateurs sans validation de l'entreprise ni règles posées. Il prend plusieurs formes :

• des comptes personnels sur des assistants grand public, utilisés pour le travail ;
• des extensions de navigateur ou des applications qui lisent les pages et les documents ouverts ;
• des connecteurs activés vers la messagerie, l'agenda ou le stockage de fichiers, sans validation de la DSI ;
• des fonctions d'IA intégrées à des logiciels déjà en place, activées par défaut ou par un utilisateur.

Il part généralement d'un besoin réel : gagner du temps sur une tâche, faute d'outil proposé par l'entreprise.

Un usage déjà répandu

Selon le baromètre France Num 2026, publié en septembre 2026, 53 % des PME utilisent des solutions d'intelligence artificielle, et 32 % utilisent des solutions payantes. Selon Bpifrance Le Lab, la moitié des PME et ETI qui ont adopté l'IA utilisent exclusivement des solutions gratuites ou prêtes à l'emploi (dirigeants interrogés fin 2024).

Ces chiffres ne mesurent pas le shadow AI en tant que tel. Ils indiquent qu'une large part des usages repose sur des outils gratuits ou prêts à l'emploi, souvent adoptés avant toute décision collective sur les outils, les données et les règles. Leur champ n'est pas celui de l'INSEE, qui compte 18 % d'entreprises utilisatrices en 2025 parmi celles de 10 salariés ou plus : les enquêtes ne mesurent ni la même population ni la même année, et leurs chiffres ne se comparent pas.

Les risques pour l'entreprise

• Les données. La CNIL recommande que les utilisateurs ne soumettent que des informations qu'ils sont autorisés à partager et, dans un service grand public, jamais d'informations confidentielles comme des données personnelles ou des données de l'entreprise. Dans un tel service, l'entreprise ne maîtrise ni la conservation de ces données ni leur réutilisation.
• La responsabilité. La CNIL le rappelle : « c'est l'organisme utilisateur qui engagera sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel ».
• La conformité. Des données personnelles de clients ou de collaborateurs traitées dans un outil non validé posent une question RGPD. Le règlement européen sur l'IA interdit en outre certains usages, quel que soit l'outil.
• La qualité. Un texte ou une analyse produits par l'IA et diffusés sans relecture peuvent contenir des erreurs que personne n'a vérifiées.
• Les coûts. Des abonnements individuels se multiplient, remboursés en notes de frais, sans vue d'ensemble ni négociation.
• La dispersion. Chacun développe ses propres pratiques, et les gains restent individuels au lieu de transformer les processus.

Bpifrance Le Lab relève d'ailleurs que les mauvais usages possibles, comme le partage de données confidentielles, sont cités par 33 % des dirigeants de PME et ETI interrogés fin 2024 parmi les freins à l'adoption de l'IA.

Pourquoi interdire ne suffit pas

Une interdiction générale, sans alternative, ne supprime pas le besoin. Les usages continuent sur des téléphones ou des ordinateurs personnels, hors de toute visibilité, et l'entreprise perd la possibilité de les encadrer.

L'approche qui fonctionne est inverse : proposer un outil autorisé, administré par l'entreprise, assez bon pour que les collaborateurs l'adoptent, et poser des règles qui disent clairement ce qui est permis. La charte n'est utile que si l'outil qu'elle accompagne répond aux besoins.

Le contenu d'une charte IA

La CNIL recommande d'« encadrer l'utilisation d'un système d'IA générative par des politiques ou chartes internes, définissant clairement les usages autorisés et les usages interdits ». Une charte utile tient en quelques pages et couvre au moins :

1. Le périmètre : à qui elle s'applique, et pour quels outils.
2. Les outils autorisés, et la procédure pour en demander un nouveau.
3. Les données : celles qui peuvent être utilisées, celles qui ne doivent jamais l'être, avec des exemples concrets pour chaque service.
4. Les usages autorisés et interdits, y compris ceux que le règlement européen sur l'IA interdit, comme la reconnaissance des émotions des collaborateurs à partir de leur voix ou de leur visage.
5. La relecture humaine : les cas où un résultat doit être vérifié avant d'être diffusé ou d'entraîner une décision.
6. La transparence : quand signaler qu'un contenu a été produit avec l'IA.
7. Les responsabilités : un point de contact pour les questions et les incidents (le délégué à la protection des données ou le responsable de la sécurité des systèmes d'information, par exemple) et, pour les usages les plus sensibles, comme le recommande la CNIL, un comité ou un référent qui donne un avis avant tout nouveau déploiement.
8. La formation des utilisateurs aux outils, à leurs limites et aux règles.
9. Le signalement d'un incident ou d'une donnée saisie par erreur.
10. La révision de la charte, à mesure que les outils et les usages évoluent.

Pour que ses règles puissent fonder une sanction, une charte qui pose des obligations générales et permanentes suit la procédure du règlement intérieur, auquel elle est en général annexée : avis du CSE, transmission à l'inspection du travail, dépôt et affichage. Ce point relève de votre conseil juridique.

Déployer l'outil autorisé

L'outil autorisé fait la différence entre une charte appliquée et une charte ignorée. Un déploiement encadré comprend :

• des comptes gérés par l'entreprise, et non des comptes personnels ;
• des accès par rôle, et des connecteurs validés par la DSI ou le prestataire informatique ;
• des réglages de conservation des données et des conditions contractuelles vérifiées, contrat de sous-traitance au sens de l'article 28 du RGPD compris ;
• des assistants configurés pour les tâches de chaque équipe, testés avec un groupe pilote avant d'être généralisés.

Nous détaillons cette démarche sur la page ChatGPT, Claude, Copilot en entreprise. Les obligations légales qui s'y ajoutent sont présentées dans notre guide AI Act : les obligations d'une entreprise qui utilise l'IA.