Fermer les yeux sur les outils d’IA que les salariés utilisent sans validation est, selon le coauteur d’un baromètre européen, la position la plus fragile pour une entreprise. La France ressort comme le pays où cette pratique est le plus souvent décrite comme répandue, et où le cadre interne manque le plus.
- Sur 826 professionnels interrogés dans quatre pays, deux tiers constatent du Shadow AI dans leur organisation.
- En France, une entreprise sur cinq le décrit comme répandu, contre une sur dix dans les trois autres pays.
- La tolérance est la réponse la plus fréquente : 24 % des cas.
- Une interdiction générale tient mal : le phénomène continue malgré elle dans une entreprise sur huit.
Plan de l'article
Que mesure ce baromètre ? #
La deuxième édition du Baromètre IA Entreprise et Durabilité a été menée en mars 2026 auprès de 826 professionnels de l’IT et du digital en France, au Royaume-Uni, en Allemagne et en Espagne. L’ESSCA en présente les grandes lignes : l’IA s’installe vite, les règles suivent moins vite.
Le Shadow AI désigne l’usage par les salariés d’outils d’IA sans supervision de leur entreprise. Deux tiers des répondants le constatent. Dans le même temps, moins d’une organisation sur deux a formalisé des lignes directrices éthiques, et 28 % des personnes interrogées estiment que leur entreprise connaît bien l’AI Act.
Une précision de lecture s’impose : l’enquête porte sur des professionnels de l’IT et du digital. Elle décrit ce qu’ils observent dans leur organisation, pas un relevé des outils réellement utilisés par tous les salariés.
Pourquoi la France ressort-elle en tête ? #
Dans un entretien accordé au Blog du Modérateur, Dejan Glavas, professeur à l’ESSCA et coauteur du baromètre avec Laurent Inard (Forvis Mazars), avance deux pistes. Il les présente comme des explications possibles, non comme une démonstration.
La première est l’encadrement. Moins d’une entreprise française sur deux forme ses salariés à l’IA, contre trois sur quatre au Royaume-Uni. Environ un tiers a rédigé des lignes directrices éthiques, contre sept sur dix outre-Manche. Sa formule résume le constat : « Quand la règle et la formation arrivent tard, l’usage s’installe seul. »
À lire Fermeture pour congés : ce que les entreprises doivent savoir pour planifier efficacement
La seconde est l’offre interne. Plus de quatre entreprises françaises sur dix n’ont toujours pas d’outil pour interroger leurs documents internes avec l’IA. Le salarié qui en a besoin va le chercher ailleurs.
Pourquoi fournir un outil interne ne suffit-il pas ? #
Le phénomène persiste même quand l’employeur met ses propres outils à disposition. Trois raisons remontent de l’enquête : l’habitude, parce que l’assistant personnel a été adopté avant l’outil maison ; la performance, l’outil fourni étant généralement jugé moins bon ; le confort, les outils internes étant plus lents ou moins pratiques.
Pour un manager, la conclusion est concrète. Un rappel au règlement ne remplace pas un outil qui soutient la comparaison avec le marché. Avant de sanctionner, mieux vaut demander à l’équipe ce que l’outil officiel ne sait pas faire.
Faut-il interdire, tolérer ou encadrer ? #
Tolérer revient à savoir et à laisser faire. C’est la réponse la plus fréquente, avec 24 % des cas. Dejan Glavas y voit la position la plus fragile, car la question de la responsabilité de l’entreprise se pose le jour où des données sortent.
L’interdiction, elle, n’a de sens que si elle est précise. Il cite la saisie de données clients, d’éléments de paie ou d’un contrat en négociation dans un outil grand public : chacun comprend la règle et peut la suivre. Pour le reste, il plaide pour l’encadrement, c’est-à-dire dire quels usages sont permis, avec quels outils et sur quelles données.
Traduit en décisions de management, cela donne trois chantiers : une liste courte de données qui ne sortent jamais, un outil validé de bon niveau, et une formation qui part des tâches réelles de chaque métier plutôt que d’un module général. Ces trois pistes sont notre lecture de l’entretien, pas une recommandation chiffrée de l’étude.
Quels usages autorisés échappent encore aux règles ? #
La transcription des réunions arrive en tête des angles morts cités. Le baromètre indique que 80 % des entreprises interrogées utilisent les modèles de langage pour des tâches bureautiques. Or, en France, quatre répondants sur dix disent que le consentement à l’enregistrement est demandé de façon explicite et tracée. Pour quatre autres sur dix, il reste informel ou a disparu.
Une réunion contient des noms, des avis sur des personnes, parfois des secrets d’affaires. Prévenir les participants et recueillir leur accord relève d’abord du RGPD, rappelle le chercheur, mais aussi de la confiance entre collègues.
À lire Indicateur de performance : définition
Le recrutement est l’autre point sensible. Faire résumer ou classer des candidatures par une IA paraît anodin, alors que ces usages peuvent relever des systèmes à haut risque de l’AI Act. Une équipe RH a donc intérêt à recenser dès maintenant ce qu’elle confie à ces outils.
Que change l’AI Act pour le manager ? #
La Commission européenne indique que les obligations des systèmes à haut risque s’appliqueront à compter du 2 décembre 2027, et que les humains doivent être informés lorsqu’ils interagissent avec une machine. Le recrutement fait partie des exemples sensibles qu’elle mentionne.
Le texte a toutefois une limite, relevée par Dejan Glavas : il encadre des systèmes, leurs fournisseurs et ceux qui les déploient. Le salarié qui colle un document dans son assistant personnel relève surtout de la politique interne et du RGPD. Une charte d’usage reste donc le complément indispensable de la loi.
Questions fréquentes #
Qu’est-ce que le Shadow AI ?
C’est l’utilisation par des salariés d’outils d’IA sans supervision de leur entreprise, par exemple un assistant personnel employé pour une tâche professionnelle.
À lire Architecte d’intérieur : facteurs de salaire
Une entreprise peut-elle interdire ces outils ?
Le coauteur du baromètre juge qu’une interdiction générale tient mal, mais qu’une interdiction précise garde son sens, notamment pour les données clients, la paie ou un contrat en négociation.
Faut-il demander l’accord avant de transcrire une réunion ?
Dejan Glavas estime nécessaire de prévenir tous les participants et de s’assurer de leur accord explicite, le sujet relevant d’abord du RGPD. En cas de doute sur un cas précis, le délégué à la protection des données de l’entreprise reste l’interlocuteur à consulter.
