Une étude révèle la forte prévalence du Shadow AI en France

Une étude menée en mars 2026 auprès de 826 professionnels de l'informatique et du numérique en France, au Royaume-Uni, en Allemagne et en Espagne révèle que 66 % des personnes interrogées constatent la présence de Shadow AI dans leur organisation. En France, un cinquième des entreprises décrit le Shadow AI comme une pratique répandue, contre un dixième dans les trois autres pays.

Les facteurs à l'origine de l'écart français en matière d'IA

Selon Dejan Glavas, coauteur du Baromètre de l'IA en entreprise et en matière de durabilité avec Laurent Inard, cet écart peut s'expliquer par deux facteurs : la réglementation et l'offre interne. En France, moins de la moitié des entreprises forment leurs salariés à l'IA, contre trois sur quatre au Royaume-Uni. Environ un tiers des entreprises françaises disposent de lignes directrices éthiques écrites, contre sept sur dix au Royaume-Uni.

Les préférences des salariés alimentent le Shadow AI

Par ailleurs, plus de quatre entreprises françaises sur dix ne proposent toujours pas d'outils permettant d'interroger les documents internes avec l'IA, ce qui pousse les salariés à chercher des solutions externes. Dejan Glavas explique que les employés continuent souvent d'utiliser des solutions d'IA non validées par habitude, pour leur efficacité et par facilité d'usage. Les outils validés arrivent souvent après que les salariés ont déjà adopté d'autres solutions, et les outils fournis par l'entreprise sont parfois jugés moins efficaces ou plus lourds à utiliser.

Les défis de la réglementation et la tolérance

Dejan Glavas estime qu'une interdiction générale du Shadow AI n'est pas efficace, puisqu'une entreprise sur huit déclare que le Shadow AI se poursuit malgré une interdiction claire. La réponse la plus fréquente des entreprises est la tolérance, qui concerne une entreprise sur quatre. Il souligne que des interdictions ciblées, comme celle de saisir des données clients, des éléments de paie ou des contrats en cours de négociation dans des outils publics, sont plus réalisables et plus faciles à comprendre pour les salariés.

L'IA au quotidien et les risques pour la vie privée

Les usages admis de l'IA, comme la transcription de réunions, sont souvent sous-estimés. Quatre entreprises sur cinq utilisent des modèles de langage pour des tâches de bureau, notamment la rédaction de synthèses, de comptes rendus de visioconférences et l'aide à la rédaction d'e-mails. En France, quatre répondants sur dix indiquent que le consentement explicite à l'enregistrement est demandé et suivi, tandis que pour quatre autres sur dix, il reste informel ou a disparu, les enregistrements devenant presque systématiques. Cela soulève des inquiétudes liées au RGPD et à la confiance entre collègues.

L'IA dans le recrutement et le développement de code

Dejan Glavas souligne également l'usage de l'IA dans le recrutement. Bien que cela puisse sembler anodin, ces usages peuvent relever des systèmes à haut risque au sens de la loi sur l'IA. Plus de la moitié des entreprises qui développent des logiciels déclarent qu'au moins un quart de leur code est assisté par l'IA, ce qui peut entraîner des gains de productivité, mais aussi une dette technique et une possible perte de compétences pour les équipes.

Les nouvelles obligations et limites de la loi sur l'IA

Depuis le 2 août 2026, les entreprises sont soumises à de nouvelles obligations au titre de la loi sur l'IA, notamment des exigences de transparence. Toutefois, le cadre réglementaire présente une limite dans son champ d'application : il régit principalement les systèmes, les fournisseurs et les déployeurs, laissant largement aux politiques internes des entreprises les règles relatives aux usages des assistants personnels par les salariés et à la conformité au RGPD.

Élaborer une politique d'IA complète

Pour construire un cadre complet, Dejan Glavas recommande de commencer par un inventaire des usages de l'IA, classés selon les données concernées et selon que les résultats influencent ou non des décisions concernant des personnes. Cette approche permet de établir des listes d'usages autorisés, conditionnellement autorisés et interdits. Une révision régulière et l'association des représentants des salariés sont également nécessaires pour suivre le rythme rapide d'évolution des technologies d'IA.

Risques liés aux agents d'IA et gouvernance

Les agents d'IA, capables d'accomplir des tâches avec une intervention humaine limitée, se répandent de plus en plus dans les entreprises. Dejan Glavas met en garde : ils pourraient compliquer davantage la régulation de l'IA, car l'agent agit de manière autonome et prend des décisions sans intervention humaine directe. Il recommande d'utiliser des dispositifs de contrôle, comme la limitation des droits d'accès, la journalisation des actions et la validation humaine avant toute décision irréversible. Des cadres de gouvernance comme le NIST AI Risk Management Framework et les normes ISO sont également proposés comme références.