Interdire marche rarement. Mieux vaut fournir un outil professionnel dont les données ne servent pas à l'entraînement par défaut, une charte claire (données interdites, relecture obligatoire), puis former l'équipe sur ses vrais dossiers. Le risque principal n'est pas l'IA elle-même, mais la fuite de données internes via des comptes personnels.
Le shadow AI, c'est quoi ?
Le shadow AI désigne l'usage d'outils d'IA par des salariés sans validation de l'entreprise, souvent avec des comptes personnels, ce qui expose les données internes. C'est rarement de la mauvaise volonté : vos collaborateurs ont trouvé un outil qui leur fait gagner du temps, et personne ne leur en a proposé un autre.
Le phénomène est logique au vu des chiffres : selon le baromètre France Num 2026, 40 % des TPE-PME utilisent l'IA, mais seules 19 % utilisent une solution payante. Une grande partie des usages passe donc par des versions gratuites ou individuelles, que l'entreprise n'administre pas.
Les vrais risques, sans dramatiser.
| Risque | Ce qui se passe | Gravité |
|---|---|---|
| Données | Des mails clients, contrats ou chiffres internes sont saisis dans un service grand public, sous les conditions de l'utilisateur et non celles de l'entreprise. La CNIL recommande de ne pas saisir de données personnelles dans ces services. | La plus sérieuse |
| Qualité | Des réponses inexactes partent chez un client sans relecture. | Réelle, facile à réduire |
| Conformité | Traitements de données non documentés, aucun cadre de formation alors que l'AI Act demande de soutenir la maîtrise de l'IA du personnel. | Moyenne |
| Savoir-faire | Les bonnes consignes et les meilleurs usages restent dans des comptes personnels et partent avec le salarié. | Sous-estimée |
Pourquoi interdire marche rarement.
Une interdiction sans alternative fait disparaître l'usage de votre champ de vision, pas du quotidien de l'équipe : il migre vers les téléphones et les ordinateurs personnels. Vous perdez alors la seule chose que vous pouviez contrôler, à savoir quelles données sortent et dans quel outil. La CNIL ne recommande d'ailleurs pas d'interdire, mais d'encadrer les usages : une liste de ce qui est autorisé et interdit, un outil choisi pour sa sécurité, des utilisateurs formés et une gouvernance claire.
Le plan en quatre étapes.
- Faire l'inventaire, sans sanction 1 semaine
Un questionnaire court et anonyme : quels outils, pour quelles tâches, avec quelles données. Vous découvrirez au passage les cas d'usage les plus utiles de l'équipe.
- Fournir un outil professionnel 1 semaine
Claude Team ou ChatGPT Business : Anthropic et OpenAI indiquent que les données de leurs offres professionnelles ne servent pas à entraîner les modèles par défaut, et l'entreprise administre les comptes. Comptez 25 $ HT par siège et par mois pour Claude Team Standard en mensuel (voir le détail des prix).
- Écrire une charte d'une page quelques jours
Outils autorisés, données à ne jamais saisir, relecture obligatoire avant tout envoi, personne à contacter en cas de doute. Modèle et méthode : rédiger une charte IA.
- Former et nommer un référent en continu
Une demi-journée sur les vrais dossiers de l'équipe, puis un référent qui collecte les questions et partage les bons usages.
Ce qu'il faut dire à l'équipe.
Le ton compte autant que la règle. Un message qui fonctionne bien, en substance :
Vous avez raison d'utiliser l'IA. À partir de lundi, on le fait avec un outil de l'entreprise, des règles simples, et une formation pour tous.
Le message à faire passer
Reconnaître l'initiative des salariés transforme un sujet de contrôle en projet d'équipe. Les premiers utilisateurs « cachés » deviennent souvent vos meilleurs référents.
Ce que je recommande.
Traitez le sujet en un mois, pas en un trimestre : la première semaine pour l'inventaire, la deuxième pour ouvrir les comptes professionnels et diffuser la charte, la troisième pour la formation. Le premier bénéfice d'un outil officiel est simple : l'usage redevient visible, donc mesurable, et vous pouvez enfin choisir quelles tâches méritent d'aller plus loin.
Et n'oubliez pas les comptes personnels existants : demandez simplement à chacun de ne plus y mettre de données de l'entreprise une fois l'outil professionnel en place, et de récupérer ses consignes utiles dans l'espace d'équipe.
Réalisations liées
- ACEM SchoolAgent IA · skills ClaudeAssociation de soutien scolaire à Meyzieu : un agent IA qui aide les responsables à construire le planning élèves / professeurs, et l'introduction de l'IA dans leur quotidien.Projet privé
- XEFIArchitecte IA · backendESN lyonnaise (2025-2026) : applications de gestion pour concessionnaires automobiles et agents IA internes intégrés aux workflows des équipes.
Questions associées.
Peut-on sanctionner un salarié qui a utilisé ChatGPT ?
C'est une question de droit du travail qui dépend de votre règlement intérieur et des règles qui ont été communiquées. Sans règle écrite et connue de tous, une sanction est difficile à justifier. Posez d'abord le cadre (outil autorisé, charte), et pour un cas précis, consultez votre conseil en droit social.
Faut-il bloquer l'accès à ChatGPT sur le réseau de l'entreprise ?
Le blocage technique peut se défendre pour des postes très sensibles, mais il pousse souvent l'usage vers les téléphones personnels, où vous n'avez plus aucune visibilité. Il est plus efficace de proposer un outil professionnel équivalent et de bloquer ensuite, si nécessaire, les seuls services non autorisés.
Sources
- CNIL : Comment déployer une IA générative ? Premières précisions (18 juillet 2024)consulté le 13 octobre 2026
- CNIL : Questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024)consulté le 13 octobre 2026
- Anthropic : Mes données sont-elles utilisées pour entraîner les modèles ? (page affichant le 18 août 2026)consulté le 13 octobre 2026
- OpenAI : Enterprise privacy (page mise à jour le 8 janvier 2026)consulté le 13 octobre 2026
- Ministère de l'Économie : Baromètre France Num 2026 (communiqué du 28 septembre 2026)consulté le 13 octobre 2026
- Commission européenne : AI Literacy : questions & answers (article 4 de l'AI Act)consulté le 13 octobre 2026
Dernière vérification des informations : 13 octobre 2026.