Shadow AI : ce que l’IA cachée de vos équipes vous apprend

Selon l’étude Okta « AI Agents at Work 2026 », relayée par Économie Matin le 30 mai 2026, 30,8 % des salariés français utilisent des outils d’IA que leur hiérarchie n’a pas approuvés. C’est le taux le plus bas des pays étudiés : il atteint 52 % au niveau mondial et 67 % aux États-Unis.

Cas illustratif, sans nom de client : une entreprise de rénovation de 18 salariés demande à chacun, pendant une semaine, ce qu’il fait avec l’IA. L’inventaire remonte 11 usages chez 9 personnes. Le dirigeant en connaissait 3.

Ce que l’usage caché dit de votre entreprise

Quand un salarié colle un texte dans un outil gratuit, il vous montre une tâche lente, répétitive ou pénible et le moyen qu’il a trouvé pour l’alléger. Mis bout à bout, ces gestes forment l’inventaire le plus honnête des tâches qui pèsent dans votre entreprise.

L’étude Okta chiffre aussi le flou : 5,8 % des salariés français utilisent des outils non approuvés de façon régulière, et 59,3 % des organisations françaises ont subi au moins un incident de sécurité lié à l’IA en douze mois. Côté règles, 37 % des dirigeants et 38 % des salariés jugent la politique d’usage de leur entreprise « très claire ».

Les dirigeants aussi utilisent l’IA sans le dire. Une enquête Censuswide pour Sharp Europe, relayée par TPE Actu le 8 juillet 2026, a interrogé 2 500 dirigeants de PME européennes de 50 à 250 salariés, dont 250 en France : 46 % des dirigeants français utilisent l’IA sans en informer leurs collaborateurs.

Pourquoi l’interdire ne règle rien

Une interdiction déplace l’usage vers le téléphone personnel. Le salarié garde sa tâche lente et son outil, et vous ne voyez plus ce qui se passe.

Les règles d’usage (outils autorisés, données interdites, relecture humaine) se posent dans une charte. Les huit décisions qu’elle tranche et la procédure qui la rend opposable sont dans l’article sur la charte IA, qui rappelle aussi que la cour d’appel de Paris a suspendu, le 21 mai 2026, deux outils d’IA déployés sans consultation du CSE.

La CNIL, dans ses questions-réponses sur le déploiement de l’IA générative, conseille de partir d’un besoin concret, puis de définir les usages autorisés et interdits selon les risques : ne pas fournir de données personnelles, ne pas confier de prise de décision à l’outil. L’inventaire vous donne ce besoin concret, avec des noms et des fréquences.

L’inventaire en une semaine, avec amnistie

Le lundi, réunissez l’équipe et annoncez l’amnistie : pendant cette semaine, toute réponse reste sans conséquence. Si vous sanctionnez une seule réponse, les autres salariés tairont les leurs. Commencez par votre propre liste, devant tout le monde : les autres suivront.

Voyez ensuite chaque personne avec quatre questions :

1. Quel outil utilisez-vous ?
2. Pour quelle tâche ?
3. Combien de fois par semaine ?
4. Quelles données collez-vous dedans ?

Notez les réponses dans un tableau d’une ligne par usage. Grâce à la quatrième question, vous séparez l’usage anodin (reformuler un courriel interne) de celui qui expose des clients. Dans l’entreprise de rénovation du cas illustratif, 9 personnes sur 18 ont au moins un usage, 11 au total.

Trier en trois colonnes

Chaque ligne du tableau va dans l’une de ces trois colonnes :

• Garder tel quel : l’usage ne touche aucune donnée sensible et l’auteur relit son texte. Chercher des idées de titres, reformuler un courriel interne.
• Encadrer : l’usage est utile et touche des données ou part vers l’extérieur. Il reçoit des règles écrites et un compte professionnel.
• Sortir de l’outil grand public : l’usage manipule des données personnelles ou confidentielles par contrat, ou produit un texte qui part chez un client sans relecture.

Un texte qui part chez un client sans relecture peut contenir une hallucination, c’est-à-dire un fait faux affirmé avec l’assurance d’un fait vrai. Si quelqu’un relit, il attrape l’erreur ; sans relecture, le client la reçoit. La page ChatGPT seul détaille ce qu’un outil grand public couvre, et ce qu’il laisse à votre charge.

Dans l’entreprise de rénovation du cas illustratif, un commercial colle des fiches clients (nom, adresse, téléphone, code du portail) pour rédiger les courriers de début de chantier. Cet usage va en troisième colonne sans discussion : un code de portail donne accès au domicile d’un client. Avant de confier ces fiches à un prestataire, posez les questions de cet article sur les données clients.

Des usages les plus fréquents aux premiers projets

Reprenez les lignes qui reviennent le plus souvent et passez-les à la même grille que dans l’état des lieux IA d’une PME : le volume (combien de fois par mois), les données (lesquelles traversent l’outil) et la douleur (ce que la tâche coûte à la personne). Un usage fréquent, sur des données que vous maîtrisez et qui lasse la personne qui le fait, fait un bon premier projet.

Dans l’entreprise de rénovation, trois usages reviennent :

• L’assistante rédige les relances de devis non signés : 40 relances par mois, 15 minutes chacune à la main.
• Les deux conducteurs de travaux dictent leurs notes de chantier et font remettre en forme le compte rendu : environ 25 comptes rendus par mois.
• Le commercial colle les fiches clients pour les courriers de début de chantier : troisième colonne.

Vous chiffrez les relances tout de suite : 40 relances de 15 minutes font 10 heures par mois à la main. Une fois l’IA branchée sur le logiciel de devis, il reste environ 3 heures de relecture.

Pour les comptes rendus de chantier, chronométrez trois comptes rendus faits à la main : vous obtenez le temps de remise en forme avant de chiffrer. Ces tâches se retrouvent partout dans le bâtiment, et la page artisans du bâtiment en décrit d’autres.

Ce que le copier-coller ne fera jamais

Un outil grand public vit dans un onglet : il ne lit pas votre logiciel de devis, ignore quels devis restent non signés et ne range pas la relance dans la fiche du client. Le salarié fait le va-et-vient à la main, et ce va-et-vient mange une bonne part des 15 minutes.

Un projet branche l’IA sur le logiciel métier. Elle repère les devis non signés, rédige chaque relance et la dépose en brouillon ; l’assistante relit, puis la relance part du logiciel, avec un historique et une personne qui en répond. Avant tout, il faut un accès aux données du logiciel de devis (une API ou un export) : demandez-le à l’éditeur dès la première semaine.

Un compte personnel gratuit garde vos échanges selon des règles que vous ne choisissez pas. Un projet vous laisse fixer l’hébergement des données et leur durée de conservation. Pour Livia, le produit que j’ai construit, j’ai retenu un serveur dédié par client, hébergé dans l’Union européenne, et une purge automatique 30 jours après résiliation confirmée, jetons d’accès Google et Microsoft compris.

Par où commencer cette semaine

Trois actions tiennent dans la semaine qui vient.

1. Annoncez l’amnistie, listez vos propres usages, puis posez les quatre questions à chaque personne.
2. Triez le tableau en trois colonnes et sortez sans attendre les usages de la troisième.
3. Chiffrez l’usage le plus fréquent de la deuxième colonne : volume, temps à la main, temps de relecture estimé.

Si vous voulez de l’aide pour trier et chiffrer, réservez le point de départ : trente minutes, gratuites, sans engagement. Je passe vos usages en revue avec vous et je vous dis lesquels méritent un projet.