Shadow AI en TPE : le vrai risque n'est pas ce qui fuit, c'est ce qui part

Le Shadow AI, ou IA fantôme (on dit aussi shadow IA), c'est l'usage d'outils d'intelligence artificielle au travail en dehors de tout cadre fixé par l'entreprise : des comptes personnels, des réglages que personne n'a vérifiés, des usages que personne ne connaît.

Dans une TPE, le vrai risque n'est pas seulement ce qui fuit vers l'IA, c'est tout ce qui part avec vos salariés : les méthodes qui marchent, les consignes, le contexte accumulé dans des comptes qui ne vous appartiennent pas. Interdire ne règle presque rien, une charte seule non plus. Ce qui règle le problème, c'est de donner à l'IA une place dans l'entreprise : un compte d'équipe, un espace partagé, quelques règles simples, et une équipe formée.

Dans les entreprises où j'interviens comme dans les salles où je donne mes conférences, je fais souvent le même constat. Il n'y a pas de compte professionnel configuré. Soit l'IA n'est pas utilisée, soit certains l'utilisent avec leur compte perso. Pas d'administration, pas de projets partagés, pas de consignes communes réutilisables. Ce n'est pas de la négligence : les outils sont arrivés plus vite que les règles. Résultat, l'entreprise n'a pas de vue d'ensemble sur ce qui se passe.

C'est quoi, le Shadow AI, dans une TPE ?

Le mot vient de l'informatique des grandes entreprises. On parlait de shadow IT pour les logiciels que les salariés installaient sans l'accord du service informatique. Le Shadow AI, c'est la même chose avec l'IA : résumer un document, rédiger un mail client ou analyser un tableau avec l'assistant de son choix, sur son compte à soi.

En France, c'est massif. Une enquête d'IntoTheMinds publiée en octobre 2026, menée auprès de 500 actifs qui utilisent l'IA générative au travail, montre que 57,2 % d'entre eux ne passent que par des comptes personnels. Et ce n'est pas d'abord un problème de grandes entreprises, bien au contraire : 67,3 % des utilisateurs sont dans ce cas dans les structures de 2 à 10 salariés, et 70,8 % entre 11 et 50 salariés, contre 47,6 % dans les entreprises de 501 à 1 000 salariés.

Les chiffres varient d'une étude à l'autre, parce qu'elles ne mesurent pas la même chose. L'étude d'Okta place la France au taux le plus bas des pays étudiés, avec 30,8 %. Le baromètre de l'ESSCA et de Forvis Mazars, mené auprès de professionnels de l'informatique et du numérique, trouve au contraire qu'une entreprise française sur cinq décrit la pratique comme répandue, contre une sur dix dans les trois autres pays étudiés. Je ne vais pas choisir le chiffre qui m'arrange. Ce que montre l'enquête la plus détaillée, c'est que les petites structures sont nettement plus concernées que les grandes.

Pourquoi le mot « shadow » colle mal aux petites entreprises ?

« Shadow », c'est l'ombre. Le mot suppose quelqu'un à qui l'on cache quelque chose : la direction informatique. Dans une entreprise de six personnes, il n'y a pas de direction informatique, et souvent pas de règle du tout.

Le problème n'est donc pas que les gens se cachent. C'est que l'IA n'a pas de maison dans l'entreprise. Chacun bricole dans son coin, avec ses outils, ses réglages et ses habitudes. Personne n'a tort individuellement. Collectivement, l'entreprise ne construit rien.

Qu'est-ce que l'entreprise perd vraiment ?

On pense d'abord aux données : un devis, un fichier client ou un compte-rendu collé dans un outil grand public dont personne n'a vérifié les réglages. C'est un vrai sujet, et j'y reviens plus bas. Mais il y a un deuxième risque, beaucoup moins visible.

• Les méthodes. La consigne qui produit enfin un bon devis, celle qui donne le bon ton aux mails clients : elles vivent dans l'historique d'une seule personne.
• Le contexte. Les assistants retiennent de plus en plus de choses sur leur utilisateur : son métier, ses clients, ses façons de faire. Dans un compte perso, tout ce contexte appartient à la personne, pas à l'entreprise.
• Le jour du départ. Un salarié qui s'en va part avec son compte et tout ce qu'il y a construit. Personne ne peut le récupérer, puisque personne n'y a jamais eu accès.
• Le travail en double. Trois personnes réinventent la même chose, chacune de son côté, sans le savoir.

J'ai écrit un guide pour transférer sa mémoire de ChatGPT vers Claude. Il montre la quantité de contexte qui peut s'accumuler dans un seul compte au fil des mois : un profil, des projets, des consignes. Dans une entreprise, ce contexte-là a un nom : c'est du savoir-faire, et un compte personnel l'emporte avec lui.

Interdire ou écrire une charte, est-ce que ça marche ?

Les deux réflexes les plus courants sont d'interdire, ou de rédiger une charte. L'enquête d'IntoTheMinds a mesuré les deux.

L'interdiction d'abord : parmi les salariés dont l'entreprise interdit certains outils, 69,2 % utilisent quand même un compte personnel. Interdire ne fait pas disparaître l'usage, ça le rend invisible.

La charte ensuite : là où l'entreprise n'a rien mis en place, 75,7 % des utilisateurs ne passent que par des comptes personnels. Avec une charte écrite seule, ils sont encore 74,7 %. Une charte seule ne change presque rien. Ce qui fait vraiment bouger les choses, c'est d'équiper et de former : 47,2 % avec une formation mais sans outil officiel, 41,2 % avec un outil officiel mais sans formation, et seulement 19,1 % quand l'entreprise fournit un outil officiel et forme ses équipes.

Ces chiffres portent sur de petits sous-groupes : lisez-les comme des ordres de grandeur. Les auteurs de l'enquête concluent d'ailleurs que la charte seule n'a pas d'effet significatif. Et je vends de la formation, donc vous pouvez vous méfier de ma conclusion : mais ce n'est pas moi qui ai mesuré ces chiffres.

La charte n'est pas inutile pour autant : elle pose les règles. Mais une règle sans outil ni formation reste sur le papier. Et l'outil seul ne suffit pas non plus : dans les entreprises qui déclarent fournir un accès officiel, 59,1 % des utilisateurs continuent d'employer un compte personnel.

Que dit la loi depuis l'été 2026 ?

Le règlement européen sur l'intelligence artificielle, l'AI Act, contient un article qui concerne toutes les entreprises qui utilisent l'IA : l'article 4, sur la maîtrise de l'IA. Il a été modifié cet été. Depuis le 27 juillet 2026, le texte dit que les entreprises qui utilisent ces outils « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel. Le texte précise qu'il n'impose pas un niveau donné à chaque personne.

Il n'y a pas de seuil d'effectif : une entreprise de trois personnes qui utilise ChatGPT pour travailler est concernée. Cet article n'a pas d'amende qui lui soit propre, et chaque pays fixe ses sanctions. Et depuis le mois d'août 2026, les autorités nationales peuvent contrôler cette obligation. Je ne suis pas juriste : pour un cas précis, parlez-en à votre conseil.

Ce que je retiens, en formateur : on ne peut pas développer la maîtrise de l'IA de son équipe sans savoir qui utilise quoi. Le Shadow AI rend cette obligation difficile à tenir, parce qu'on ne forme pas les gens à des usages qu'on ne connaît pas.

À quoi ressemble une IA qui a sa place dans l'entreprise ?

Pas besoin d'un grand projet. Il faut cinq choses :

• Un compte d'équipe plutôt que des comptes perso. ChatGPT, avec son offre Business, et Claude, avec son offre Team, proposent des espaces d'équipe dès deux utilisateurs, avec une administration, et sans entraînement des modèles sur vos contenus par défaut. Mistral, l'éditeur français, propose aussi une offre d'équipe pour Vibe, son assistant (anciennement Le Chat). Si vous êtes déjà sur Google Workspace ou Microsoft 365, regardez d'abord ce que votre abonnement inclut déjà en IA.
• Des espaces partagés. Des projets où les documents de référence, les consignes et les bons exemples sont accessibles à toute l'équipe, et plus seulement à celui qui les a créés.
• Des consignes communes. Le ton de la maison, le format des devis, la façon de présenter l'entreprise.
• Une règle simple sur les données. Ce qu'on ne met jamais dans l'outil, même d'équipe, sans avoir vérifié : données de santé, salaires, litiges, données clients nominatives.
• Une procédure de départ. Quand quelqu'un s'en va, son accès est retiré, et ce qu'il a construit dans les espaces partagés reste à l'équipe.

Le but n'est pas de surveiller vos équipes. C'est que ce qu'elles construisent reste dans l'entreprise.

Par où commencer cette semaine ?

Trois gestes, pas plus :

• Un inventaire de quinze minutes. Demandez simplement à chacun quels outils il utilise, pour quoi faire, et avec quel compte. Sans jugement : vous cherchez une photo de la situation, pas des coupables.
• Un premier espace partagé. Choisissez un outil d'équipe et mettez-y une seule chose utile à tous, par exemple la consigne qui produit vos devis.
• Un référent. Nommez la personne qui centralise les questions, et prévoyez de former l'équipe.

C'est la même logique que la méthode que je donne en conférence : une tâche, une heure, un vrai cas. On ne transforme pas une entreprise en un week-end, on lui donne de bonnes habitudes.

Je forme à l'IA, j'en vends, et je ne vais pas vous conseiller de tout fermer. Vos salariés qui utilisent l'IA dans leur coin vous rendent même service : ils ont déjà trouvé où elle fait gagner du temps. Il reste à transformer ces trouvailles individuelles en savoir d'entreprise. C'est le travail que je propose aux entreprises que j'accompagne : former l'équipe, installer l'espace commun, puis rester à côté dans la durée comme consultant IA. Le premier échange de 30 minutes est offert.

Questions fréquentes

Le Shadow AI est-il illégal ?

Non, utiliser un outil d'IA n'est pas illégal. Ce qui pose problème, c'est ce qu'on y met, comme des données personnelles de clients ou des informations confidentielles, et l'absence de cadre alors que l'AI Act demande de favoriser la maîtrise de l'IA de son personnel.

Faut-il interdire ChatGPT dans son entreprise ?

Rarement. Parmi les salariés soumis à une interdiction, 69,2 % utilisent quand même un compte personnel. Vous perdez la visibilité sans gagner en sécurité. Mieux vaut proposer un outil d'équipe et former.

Combien coûte un compte d'équipe ?

Chez Claude comme chez ChatGPT, comptez 20 à 25 dollars hors taxes par personne et par mois selon l'engagement, à partir de deux personnes. Pour une équipe de cinq, cela fait entre 100 et 125 dollars hors taxes par mois.

Que faire quand un salarié qui utilise l'IA quitte l'entreprise ?

Avec un compte d'équipe, l'administrateur retire l'accès, et ce qui a été mis dans les espaces partagés reste à l'équipe. Avec un compte perso, vous ne récupérez rien. D'où l'intérêt d'anticiper : avant un départ, demandez que les consignes et documents utiles soient versés dans l'espace commun.

Informations vérifiées le 30 octobre 2026.