Shadow AI : quand les salariés devancent leur employeur

67 % des répondants français déclarent utiliser des solutions d’IA « qui ne leur sont pas fournies par leur employeur, sans l’en informer ». Dans les entreprises de taille intermédiaire, 81 % des utilisateurs d’IA disent la même chose. Les chiffres viennent d’un sondage OpinionWay pour Cegid, repris le 8 septembre par Comarketing-News.

Le phénomène a un nom : le « shadow AI », l’usage d’outils d’IA en dehors de tout cadre posé par l’entreprise. Concrètement, des contrats, des fichiers clients ou des comptes rendus passent par des comptes personnels, chez des fournisseurs avec lesquels l’entreprise n’a rien signé.

Ce que dit l’étude, et ce qu’elle ne dit pas

L’étude s’intitule « Le moment de vérité de l’IA en entreprise ». OpinionWay a interrogé 2 004 salariés de bureau en France, en Allemagne, en Espagne et au Portugal, et en a présenté les résultats le 26 août à La REF, la rencontre annuelle du Medef. Pour la France, la reprise retient :

• 70 % des salariés de bureau ont déjà utilisé une IA dans leur travail, 25 % régulièrement ;
• 37 % ont bénéficié d’une formation à l’IA proposée par leur employeur ;
• 41 % travaillent dans une entreprise dotée d’une fonction consacrée à l’IA, entièrement ou partiellement, mais une personne ou une équipe y travaille à temps plein « dans seulement 22 % des cas ».

L’édition 2025 du même sondage, menée auprès de 2 035 salariés dans les quatre mêmes pays, donnait 58 % d’utilisateurs en France. La progression est de douze points en un an.

Deux réserves. Cegid est un éditeur de logiciels de gestion qui commercialise lui-même des fonctions d’IA : c’est une étude d’éditeur, pas une statistique publique. Et ni la page d’OpinionWay ni la reprise ne donnent les dates de terrain, le mode de recueil ou la taille de l’échantillon français. Pour le 67 %, on ignore même s’il porte sur l’ensemble des répondants ou sur les seuls utilisateurs d’IA.

La statistique publique mesure autre chose. Selon l’Insee, 18 % des entreprises d’au moins dix salariés déclaraient en 2025 utiliser au moins une technologie d’IA (Insee Première n° 2120). L’un interroge des dirigeants sur l’équipement de leur entreprise, l’autre des salariés sur leurs usages : les deux chiffres ne se comparent pas. Ils rendent seulement plausible l’idée qu’une bonne part de l’usage se fait sans décision de l’entreprise.

Ce qui sort avec un copier-coller

Les données : RGPD et secret des affaires

L’entreprise reste responsable des données personnelles que ses salariés traitent dans leur travail, et doit en assurer la sécurité (RGPD, art. 32). Lorsqu’elle confie des données à un prestataire, le RGPD exige un contrat qui encadre ce que celui-ci peut en faire (art. 28). Avec un compte personnel, ce contrat n’existe pas : ce sont les conditions d’utilisation acceptées par le salarié pour lui-même qui s’appliquent.

Le secret des affaires pose un problème plus discret. Une information n’est protégée que si son détenteur l’entoure de « mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret » (Code de commerce, art. L. 151-1). Si aucune règle écrite ne dit ce qu’on peut confier à un outil externe, l’entreprise aura moins d’arguments le jour où elle devra démontrer ces mesures.

Les réponses : qui vérifie ?

Un assistant d’IA peut produire une réponse fausse et parfaitement rédigée. Quand l’usage est caché, personne ne sait qu’il faut la vérifier. Un autre sondage OpinionWay, commandé par l’éditeur RH Factorial (1 028 employés de bureau, en ligne, du 21 au 27 janvier 2026), relève que 26 % des répondants reconnaissent présenter comme leur propre travail un contenu largement produit par l’IA. 56 % estiment être laissés à se « débrouiller seuls ».

Interdire ne suffit pas

La tentation est de bloquer les outils grand public. C’est défendable pour certains postes. Mais une interdiction sans alternative ne supprime pas le besoin : elle rend l’usage invisible, ce qui est précisément le problème décrit par le « sans l’en informer ».

Ce qu’un employeur peut poser

Un outil autorisé, sous contrat. Avant de choisir, vérifiez ce que le fournisseur fait des données saisies, notamment s’il s’en sert pour entraîner ses modèles, et exigez le contrat de l’article 28.

Une charte courte. La CNIL conseille d’« encadrer l’utilisation d’un système d’IA générative par des politiques ou chartes internes » et d’« interdire la fourniture de certaines données confidentielles » ou personnelles. Une page suffit : les données qu’on ne saisit jamais, les usages admis, l’obligation de relire, et le fait de signaler qu’un document transmis a été produit avec une IA.

La valeur juridique de cette charte dépend de la façon dont elle est adoptée. Dans les entreprises d’au moins cinquante salariés, le règlement intérieur est obligatoire (Code du travail, art. L. 1311-2). Une note qui fixe des obligations générales et permanentes en matière de discipline est considérée comme une adjonction à ce règlement (art. L. 1321-5) et suit la même procédure, avis du CSE compris (art. L. 1321-4). Une charte envoyée par simple courriel informe les équipes ; elle ne permet guère de sanctionner.

Une formation. Le règlement européen sur l’IA demande aux fournisseurs et aux déployeurs de prendre « des mesures pour favoriser le développement de la maîtrise de l’IA » de leur personnel (art. 4, dans sa rédaction issue du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). C’est une obligation de moyens : le texte précise qu’il n’impose pas de garantir un niveau de maîtrise donné pour chaque personne. L’entreprise qui met un outil à disposition de ses équipes en est le déployeur (art. 3, point 4). Nous avons détaillé cette nouvelle rédaction dans notre article sur les droits d’accès à donner à un agent IA.

Avec 37 % de salariés formés par leur employeur, selon le sondage Cegid, la marge est large. Notre journée ChatGPT et Claude au quotidien consacre un module aux réflexes à adopter : vérifier les résultats, repérer les données sensibles, rester conforme au RGPD. Pour rédiger la charte elle-même, c’est l’objet de notre offre de conseil. DTJ Training n’est pas certifié Qualiopi et sa déclaration d’activité est enregistrée sous le numéro 32800278480. Aucun financement OPCO ou France Travail n’est mobilisable aujourd’hui.

Avant d’écrire la moindre ligne, posez une question à vos équipes : quels outils utilisez-vous, et pour quoi faire ? Annoncez d’emblée que la réponse n’entraînera aucune sanction. Sans cette garantie, vous retrouverez chez vous le « sans l’en informer » du sondage.

Sources

• Comarketing-News, « IA : les salariés ont pris de l’avance sur leur entreprise », 8 septembre 2026.
• OpinionWay pour Cegid, « Le moment de vérité de l’IA en entreprise », présentation à La REF, 26 août 2026 (opinion-way.com).
• OpinionWay pour Cegid, « L’adoption de l’intelligence artificielle par les salariés de bureau », édition 2025 (opinion-way.com).
• GPO Magazine, sondage OpinionWay pour Factorial, 12 février 2026.
• Insee Première n° 2120, 21 juillet 2026.
• CNIL, « Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative », 18 juillet 2024.
• Règlement (UE) 2016/679 (RGPD), art. 28 et 32.
• Code de commerce, art. L. 151-1 ; Code du travail, art. L. 1311-2, L. 1321-4 et L. 1321-5 (Légifrance).
• Règlement (UE) 2024/1689, art. 3 et 4, modifié par le règlement (UE) 2026/1744.