Shadow AI : la faute n'est pas au salarié qui copie ses données dans ChatGPT

Le Journal du Net rapporte une hausse de 400 % du Shadow AI en un an, selon l'édition 2026 du Data Breach Investigations Report de Verizon, qui le place au troisième rang des comportements à risque non malveillants en entreprise. Près d'un salarié sur deux utilise régulièrement l'IA sur son matériel professionnel, et les deux tiers d'entre eux le font avec un compte personnel, pour y coller du code source ou des données de l'entreprise.

Un salarié ne contourne pas une règle, il comble un vide

Face à ce chiffre, le réflexe naturel est de pointer le salarié fautif. C'est une erreur d'analyse. Ce salarié ne cherche pas à enfreindre une politique de sécurité, il cherche simplement à gagner du temps sur une tâche. Si l'entreprise ne lui a jamais donné d'outil IA officiel, testé et utilisable au quotidien, il ira chercher la solution la plus rapide disponible : un compte gratuit, ouvert en deux minutes, sans validation ni cadre.

Le Shadow AI n'est donc pas un problème de discipline individuelle. C'est le symptôme d'une direction qui a laissé un besoin réel sans réponse organisée, et qui découvre le risque après coup plutôt que de l'avoir anticipé.

Interdire ne règle rien, cadrer si

Bloquer les accès ne fait que déplacer l'usage vers le smartphone personnel, hors de tout contrôle. La seule réponse qui tienne est de fournir un outil légitime, dans une logique Zero Trust : accès vérifié, données tracées, usage assumé plutôt que caché.

Concrètement, cela suppose de :

• Choisir un outil IA d'entreprise validé par la direction, pas laissé à l'initiative individuelle
• Définir ce qui peut ou non transiter dans un prompt, en particulier données clients et code source
• Former les équipes à cet outil plutôt que de se contenter d'une note interdisant les autres

Cadrer l'IA en entreprise, c'est aussi choisir les bons chantiers d'automatisation avant qu'ils ne se fassent sans supervision. C'est le sujet de notre article pilier Automatisation IA en PME : par où commencer, ce que ça coûte, et pourquoi la plupart des projets n'arrivent jamais en production.