Posez la question franchement à votre équipe : qui a déjà utilisé une IA pour rédiger un mail client, résumer un compte-rendu, ou débloquer un tableau Excel ? Vous serez surpris du nombre de mains. Le shadow AI, c’est exactement ça : l’IA entre dans votre entreprise par le bas, poste par poste, sans que personne l’ait décidé.
Ce n’est pas un problème de discipline, c’est un signal. Vos équipes ont trouvé un outil qui leur fait gagner du temps. Le tort serait de le nier, ou de croire qu’une note de service suffit à le régler.
Pourquoi ça arrive, et pourquoi c’est logique
Le shadow AI apparaît pour la même raison que le shadow IT avant lui : l’outil officiel manque, ou il est trop lent à arriver. Un commercial qui doit répondre à trente mails par jour va utiliser ce qui l’aide, gratuitement, en deux clics. Il ne pense pas à mal. Il fait son travail plus vite.
Le décalage vient du fait que la direction découvre l’usage après coup, souvent au moment où un client demande où sont traitées ses données, ou quand un incident révèle qu’un fichier sensible est passé par un service que personne n’avait validé.
Le vrai risque n’est pas celui qu’on affiche
Quand on parle de shadow AI, on brandit vite l’AI Act. Mais pour une PME, le danger immédiat n’est pas là. Il est dans les données.
Une IA grand public gratuite traite ce que vous lui donnez sur des serveurs que vous ne maîtrisez pas, parfois hors de l’Union européenne, parfois en réutilisant vos saisies. Le jour où un salarié y colle un extrait de contrat, une liste de clients ou un dossier RH, cette donnée sort de votre périmètre. Sans trace, sans contrat de traitement, sans moyen de savoir qui l’a envoyée.
Côté RGPD, vous êtes responsable de traitements dont vous ignorez jusqu’à l’existence. Côté savoir-faire, vous alimentez potentiellement un service tiers avec ce qui fait votre valeur. Aucune de ces deux fuites ne se voit sur un tableau de bord. Elles se découvrent quand il est trop tard.
Interdire ne marche pas
Le réflexe classique, c’est la note de service : « l’usage des IA génératives est interdit ». Ça ne règle rien. Les gens continuent, mais en cachette, et vous perdez le peu de visibilité qu’il vous restait. Vous avez transformé un problème gérable en angle mort total.
L’alternative qui fonctionne tient en trois mouvements. Donner un outil sûr pour les usages fréquents, encadré et hébergé correctement. Dire clairement, en une page, ce qui peut y passer et ce qui ne doit jamais sortir de la maison. Et expliquer pourquoi, parce qu’une règle comprise est une règle suivie.
Comment on cadre ça en mission
Quand on intervient en pôle IA externalisé, le shadow AI fait partie du premier relevé. On recense les usages réels, y compris ceux dont la direction n’avait pas idée. On classe ce qui est anodin, ce qui est sensible, ce qui est interdit. Puis on propose un usage cadré : un outil validé pour les cas courants, une règle simple sur les données, et une acculturation courte des équipes pour que la règle tienne.
L’objectif n’est jamais de fliquer, c’est de récupérer la maîtrise. Une équipe qui sait quoi utiliser et pourquoi ne contourne pas. Elle travaille plus vite, dans un cadre que vous contrôlez.
Le cadre réglementaire, lui, est traité à part et sans dramatiser, dans notre article dédié à ce que l’AI Act change vraiment pour une PME. Et pour la question sœur des fichiers Excel qui portent des processus critiques, voyez le shadow IT en PME.
Pour aller plus loin
- Pôle IA externalisé : cadrer les usages IA sans monter d’équipe
- Souveraineté des données et IA en PME : où passent vos données, et comment garder la main
- AI Act et PME 2026 : le volet réglementaire, remis à sa juste place
- Shadow IT en PME : le fichier Excel qui fait tourner l’entreprise : le même mécanisme, une génération plus tôt