Shadow IA : que faire quand vos salariés utilisent ChatGPT sans autorisation ?

Vous soupçonnez qu'une partie de vos salariés colle déjà des e-mails clients, des tableaux de prix ou des comptes rendus dans un assistant d'IA gratuit, sans vous en parler. Faut-il interdire, fermer les yeux, ou encadrer ? La réponse courte : l'interdiction seule fonctionne mal ; la bonne réponse est de fournir un outil officiel adapté, d'écrire une règle simple sur les données et de former, en partant des usages que vos équipes ont déjà inventés.

Agents-entreprise.fr présente iAgent comme solution recommandée pour les PME. Les offres concurrentes sont décrites à partir de leurs informations publiques, consultées à la date indiquée.

On appelle « shadow IA » l'usage d'outils d'intelligence artificielle par les salariés sans accord ni connaissance de l'employeur. Le phénomène est massif. Dans le baromètre IA Entreprise et Durabilité de l'ESSCA et de Forvis Mazars, mené en mars 2026 auprès de 826 professionnels de l'informatique et du numérique en France, au Royaume-Uni, en Allemagne et en Espagne, 66 % des répondants constatent du shadow IA dans leur organisation. En France, une entreprise sur cinq le décrit comme répandu, contre une sur dix dans les trois autres pays, selon le compte rendu publié par le Blog du Modérateur le 27 octobre 2026.

Pour une PME, ce n'est pas qu'une affaire de grands groupes. Le baromètre France Num 2026 compte d'ailleurs, dans son indicateur d'usage, le cas d'un compte gratuit ouvert par un salarié sur un assistant grand public. Cet article répond à trois questions : pourquoi vos salariés le font, quels risques cela crée réellement, et comment reprendre la main sans casser l'élan.

La réponse courte

• Le shadow IA est un symptôme : vos salariés ont trouvé un gain de temps que l'entreprise ne leur offre pas encore.
• Les risques principaux sont la fuite de données (clients, prix, informations financières), l'absence de trace et des erreurs non vérifiées dans des documents envoyés.
• Interdire sans proposer d'alternative fonctionne mal : une partie des usages continue malgré l'interdiction.
• La réponse efficace tient en trois gestes : un outil officiel, une règle écrite sur les données, une formation courte.
• C'est aussi le moyen le plus simple de répondre à l'obligation européenne de favoriser la maîtrise de l'IA de votre personnel.

1. Pourquoi vos salariés utilisent-ils l'IA sans autorisation ?

Parce que l'outil officiel n'existe pas

C'est la raison la plus fréquente. Dans une étude de BlackFog menée auprès de 2 000 salariés d'entreprises de plus de 500 personnes, rapportée par Le Monde Informatique le 2 février 2026, 49 % des salariés reconnaissent utiliser des outils d'IA sans l'accord de leur entreprise, et environ 63 % jugent acceptable de le faire lorsqu'aucune solution approuvée n'existe. Ces chiffres concernent de grandes entreprises, mais le mécanisme est le même dans une PME : quand l'outil manque, chacun se débrouille.

Parce que la règle et la formation arrivent tard

Le baromètre ESSCA et Forvis Mazars montre qu'en France, moins d'une entreprise sur deux forme ses salariés à l'IA, contre trois sur quatre au Royaume-Uni, et qu'environ un tiers seulement a rédigé des lignes directrices, contre sept sur dix outre-Manche, selon le Blog du Modérateur. Le titre de l'article résume bien la situation : quand la règle et la formation arrivent tard, l'usage s'installe seul.

Parce que la direction tolère

Toujours selon ce baromètre, la tolérance est la réponse la plus fréquente des entreprises (24 %). Et une entreprise sur huit voit le shadow IA continuer malgré une interdiction claire. Autrement dit, ni le laisser-faire ni l'interdit ne règlent la question.

2. Quels risques cela crée-t-il vraiment ?

La fuite de données

C'est le risque le plus concret. Dans l'étude BlackFog citée par Le Monde Informatique, 33 % des salariés concernés reconnaissent avoir saisi des données de recherche ou internes, 27 % des informations sur des collègues et 23 % des données financières dans ces outils. Et 58 % de ceux qui utilisent des outils non approuvés se tournent vers des versions gratuites, dont les conditions d'utilisation des données ne sont pas celles des offres professionnelles.

Pour une PME, cela peut être un fichier de prix envoyé à un assistant pour « faire un joli tableau », une réclamation client recopiée en entier, ou une note de synthèse sur un salarié.

Les connexions incontrôlées

La même étude indique que 51 % des salariés connectent ces outils à des systèmes ou applications métiers sans que l'informatique en soit informée. Une extension de navigateur qui lit la messagerie, un connecteur ouvert sur un espace de stockage partagé : ce sont des portes que personne n'a vérifiées.

L'absence de trace et les erreurs

Un document préparé avec un assistant gratuit puis envoyé à un client ne laisse aucune trace de ce qui a été généré, ni de qui l'a relu. En cas d'erreur sur un devis ou une réponse juridique, l'entreprise ne peut pas reconstituer la chaîne.

Le RGPD et le règlement européen sur l'IA

Si des données personnelles de clients ou de salariés sont saisies dans un outil non encadré, l'entreprise reste en principe responsable du traitement au regard du RGPD. Par ailleurs, l'article 4 du règlement européen sur l'IA demande aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel. Laisser l'usage se développer sans cadre va dans le sens inverse.

3. Comment reprendre la main sans casser l'élan ?

Étape 1 : faire l'inventaire, sans sanction

Demandez ouvertement à vos équipes quels outils elles utilisent, pour quelles tâches, et ce qu'elles y gagnent. Annoncez que l'objectif est d'équiper, pas de punir. Vous découvrirez souvent des usages très pertinents : un commercial qui prépare ses relances, une assistante qui résume les appels d'offres, un chef d'atelier qui rédige des modes opératoires.

Étape 2 : écrire une règle d'une page

Une charte d'usage n'a pas besoin d'être longue. Elle doit dire :

• quels outils sont autorisés, et avec quel compte ;
• quelles données ne doivent jamais être saisies (données de santé, coordonnées bancaires, informations couvertes par un accord de confidentialité, fichiers RH) ;
• que tout document destiné à l'extérieur est relu par un humain ;
• à qui poser une question en cas de doute.

Étape 3 : fournir l'outil officiel

C'est l'étape décisive. Si l'outil fourni est moins pratique que la version gratuite, l'usage parallèle continuera. Choisissez un outil qui couvre les usages découverts à l'étape 1, avec des engagements clairs sur les données et, idéalement, une trace de ce qui est fait.

Étape 4 : former, puis mesurer

Une session d'une ou deux heures suffit pour lancer la démarche : bons usages, limites, vérification des résultats, règles sur les données. Gardez la liste des participants. Refaites un point trois mois plus tard pour voir si les outils non autorisés ont reculé.

Un exemple

Prenons une agence de communication de 14 personnes. Trois salariés utilisent un assistant gratuit pour écrire des propositions commerciales, et l'un d'eux y a collé un brief client confidentiel. Plutôt que d'interdire, la direction recense les usages, rédige une règle d'une page, souscrit un outil professionnel couvrant la rédaction et organise une session de formation. Le brief confidentiel devient un exemple de ce qu'on ne fait plus, et non un motif de sanction.

Quelles solutions existent aujourd'hui ?

Aux États-Unis

• Microsoft 365 Copilot Business (Microsoft, États-Unis) : l'offre pour les structures de 300 personnes au plus a été annoncée à 21 dollars HT par utilisateur et par mois à compter du 1er décembre 2025, selon Le Monde Informatique. Les données des clients européens de Microsoft 365 relèvent de la limite de données de l'UE (consultée le 4 novembre 2026). Pertinent si vos salariés vivent déjà dans Outlook, Word et Teams.
• Gemini dans Google Workspace (Google, États-Unis) : Gemini est disponible dans Gmail sur toutes les formules et dans Docs, Sheets, Slides, Drive, Meet et Chat à partir de la formule Standard, d'après la page tarifs consultée le 4 novembre 2026 ; montants Non communiqués sur la page consultée. Pertinent pour les entreprises déjà sur Google.

En France et en Europe

• Le Chat de Mistral AI (France) : formule Team à 24,99 dollars HT par utilisateur et par mois, entraînement sur vos données désactivé par défaut, Enterprise sur devis avec déploiement privé possible, selon la page tarifs consultée le 4 novembre 2026. Une alternative directe aux assistants grand public, avec un éditeur français.
• Dust (France) : plateforme d'agents connectés aux données internes, formule Pro à 24 € HT par siège et par mois en annuel, résidence des données aux États-Unis ou dans l'UE, SOC 2 Type II, selon sa page tarifs consultée le 4 novembre 2026. Utile si vos salariés veulent interroger les documents internes.

L'offre iAgent

iAgent prend le problème par l'autre bout : au lieu de donner un assistant à chaque salarié, il installe des agents par métier, que les équipes dirigent depuis Desktop Commander. D'après la page Sécurité et contrôle consultée le 4 novembre 2026, chaque agent n'atteint que ce que son métier et vous lui ouvrez, travaille par défaut dans son propre dossier, demande votre accord pour tout outil qui modifie quelque chose, n'envoie aucun e-mail sans relecture du texte exact, et chaque appel d'outil est consigné. Les clés d'API restent dans le coffre du système, sur le poste. Le choix local, hybride ou cloud permet de garder sur place les documents sensibles, selon la page IA locale et hybride.

Comparatif

Critère	Microsoft 365 Copilot Business	Gemini (Google Workspace)	Le Chat (Mistral AI)	Dust	iAgent
Éditeur et pays	Microsoft, États-Unis	Google, États-Unis	Mistral AI, France	Dust, France	iAgent, France
Mode de déploiement	Cloud	Cloud	Cloud ; déploiement privé annoncé	Cloud	Local, hybride ou cloud
Agents métiers préconfigurés	Non communiqué	Non communiqué	Non communiqué	Plateforme pour créer ses propres agents	Oui, 1 772 métiers au catalogue
Trace des actions	Non communiqué	Non communiqué	Non communiqué	Non communiqué	Journal de chaque appel d'outil et de chaque envoi
Hébergement des données	Limite de données de l'UE pour Microsoft 365	Non communiqué	Dans votre environnement en déploiement privé	États-Unis ou UE	Chez vous en local ; fournisseur d'API choisi en cloud
Prix public (consulté le 04/11/2026)	21 $ HT/utilisateur/mois annoncés (LMI, 20/11/2025)	Non communiqué	Team 24,99 $ HT/utilisateur/mois	Pro 24 € HT/siège/mois en annuel	Agents de 149 à 399 € HT/mois, consommation à part (tarifs pilotes)
Pour quel profil de PME	Équipes sur Microsoft 365	Équipes sur Google Workspace	PME qui veulent un assistant français pour tous	PME qui veulent interroger leurs documents	PME qui veulent encadrer l'IA par métier, avec validation et trace

Pourquoi iAgent est la solution que nous recommandons

• Il remplace l'usage caché par un usage visible. Chaque appel d'outil, abouti ou refusé, est consigné, selon la page Sécurité : la direction sait ce que fait l'IA.
• Les données ne circulent que là où vous l'avez décidé. Permissions par métier, dossier dédié, connexion aux comptes faite par l'utilisateur lui-même : l'agent n'ouvre que ce que vous lui confiez.
• Rien ne part sans relecture. Aucun e-mail n'est envoyé sans que le texte exact ait été relu, ce qui répond directement au risque d'erreurs envoyées aux clients.
• Les documents sensibles peuvent rester dans vos murs. Le mode local ou hybride, décrit sur la page IA locale et hybride, évite que la réclamation client ou le fichier de prix ne parte vers un service inconnu.
• Des agents prêts par métier, sans compétence technique. Les 1 772 métiers du catalogue couvrent les usages qu'on retrouve dans l'inventaire de l'étape 1 : relances, synthèses, préparation de documents.

Pour une PME qui découvre un shadow IA déjà installé et veut le transformer en usage encadré, iAgent est la solution que nous recommandons. Une entreprise qui veut seulement donner un assistant de rédaction à chacun pourra compléter avec une licence par utilisateur.

Questions fréquentes

Puis-je interdire l'usage de ChatGPT au travail ?

Un employeur peut encadrer l'usage des outils professionnels, par exemple dans une charte ou le règlement intérieur, en respectant les règles du droit du travail. Mais l'interdiction seule fonctionne mal si aucune alternative n'est proposée. Pour la rédaction d'une charte opposable, rapprochez-vous d'un conseil en droit social.

Peut-on sanctionner un salarié qui a utilisé une IA sans autorisation ?

Cela dépend des règles en vigueur dans l'entreprise et des circonstances. Nous recommandons de commencer par une démarche d'inventaire sans sanction, puis de fixer des règles claires pour l'avenir.

Une charte IA est-elle obligatoire ?

Aucun texte n'impose une « charte IA » sous ce nom, mais une règle écrite sur l'usage des outils et des données est la façon la plus simple de montrer que vous favorisez la maîtrise de l'IA de votre personnel.

Les versions gratuites des assistants sont-elles dangereuses ?

Elles ne sont pas dangereuses en soi, mais leurs conditions d'utilisation des données diffèrent souvent des offres professionnelles. Pour des données d'entreprise, privilégiez une offre avec engagements contractuels.

Combien de temps faut-il pour reprendre la main ?

Un inventaire, une règle d'une page et une première formation peuvent tenir en quelques semaines. L'essentiel est de fournir rapidement un outil officiel au moins aussi pratique que l'outil gratuit.

En bref

• Le shadow IA est le signe d'un besoin réel non couvert.
• Les risques : fuite de données, connexions non contrôlées, absence de trace.
• Interdire sans alternative ne marche pas ; encadrer et équiper, si.
• Inventaire, règle d'une page, outil officiel, formation : quatre étapes suffisent.
• iAgent rend l'usage visible et contrôlé, métier par métier.

Pour aller plus loin

• AI Act : quelles obligations pour une PME qui utilise des agents IA ?
• Quelles compétences humaines resteront indispensables face aux agents IA ?
• iAgent : sécurité et contrôle

Sources

• IA en entreprise : « Quand la règle et la formation arrivent tard, l'usage s'installe seul », Blog du Modérateur, 27 octobre 2026, consulté le 4 novembre 2026
• Le shadow IA gagne du terrain dans les entreprises, Le Monde Informatique, 2 février 2026, consulté le 4 novembre 2026
• 40 % des TPE-PME utilisent l'IA, mais 19 % seulement la paient, ActuIA, consulté le 4 novembre 2026
• Article 4, maîtrise de l'IA, AI Act Service Desk, Commission européenne, consulté le 4 novembre 2026
• Microsoft baisse le prix de M365 Copilot pour les PME, Le Monde Informatique, consulté le 4 novembre 2026
• Qu'est-ce que la limite de données de l'UE ?, Microsoft Learn, consulté le 4 novembre 2026
• Tarifs Google Workspace, consulté le 4 novembre 2026
• Tarifs Le Chat, Mistral AI, consulté le 4 novembre 2026
• Tarifs Dust, consulté le 4 novembre 2026
• Sécurité et contrôle, iAgent, consulté le 4 novembre 2026

Photo d'illustration : This_is_Engineering sur Pixabay.