Il existe, dans presque toutes les entreprises, un usage de l'intelligence artificielle que personne n'a décidé et que personne ne mesure. Un salarié ouvre ChatGPT dans son navigateur, colle un extrait de tableur, un e-mail client ou un bout de contrat, et obtient en quelques secondes une réponse utile. Rien dans ce geste n'est malveillant. Mais l'entreprise ne l'a ni autorisé, ni vu, ni tracé. C'est ce qu'on appelle le shadow AI : l'IA de l'ombre, celle qui s'installe par le bas, sans passer par la direction informatique. Et c'est aujourd'hui l'un des angles morts les plus importants de la sécurité des données.
Un phénomène massif, et largement invisible
Le shadow AI n'est pas un cas isolé, c'est la norme. Selon l'enquête GenAI Workforce Survey de Deloitte UK, menée auprès de 25 000 actifs britanniques et publiée en septembre 2026, 63 % des personnes interrogées déclarent utiliser l'IA générative pour leur travail, et près d'un utilisateur sur trois (31 %) le fait sans que son employeur le sache. Autrement dit, pour un tiers des usages, l'entreprise n'a aucune idée de ce qui se passe.
Côté technique, le constat est encore plus net. Dans son Enterprise GenAI Security Report 2025, l'éditeur LayerX, qui observe l'activité réelle depuis le navigateur, estime que les organisations n'ont aucune visibilité sur 89 % de l'usage de l'IA en interne, et que plus de 70 % des connexions à des outils comme ChatGPT se font depuis des comptes personnels, y compris sur des appareils de l'entreprise. Quand la connexion passe par un compte personnel, elle échappe à l'annuaire de l'entreprise, aux règles de sécurité et à toute journalisation.
Reste la question qui fâche : qu'est-ce qui sort vraiment ? Le même rapport observe que près de 18 % des utilisateurs collent des données dans un outil d'IA, et que plus de la moitié de ces collages contiennent des informations qui peuvent être qualifiées de données d'entreprise. Un copier-coller suffit à faire partir, en un instant, bien plus d'informations qu'une personne n'en taperait à la main : extraits de fichiers clients, lignes de code, passages de contrat. La donnée quitte le périmètre de l'entreprise, et elle ne revient pas.
Pourquoi c'est un angle mort, pas une négligence
Le réflexe serait de blâmer les salariés. Ce serait une erreur d'analyse. Le shadow AI prospère parce que l'outil est utile, gratuit, à portée de navigateur, et parce que l'entreprise n'a souvent rien proposé d'équivalent. Les équipes ne cherchent pas à contourner une règle, elles cherchent à travailler plus vite. Le problème n'est pas l'intention, c'est l'absence de visibilité et de garde-fou.
Pour l'entreprise, l'enjeu est d'abord juridique. Le RGPD rend le responsable de traitement comptable des données personnelles qu'il manipule, et son article 5 impose le principe de minimisation : ne traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire. Or reformuler un e-mail, traduire un message ou résumer un compte rendu n'exige presque jamais de connaître le nom réel d'un client, son IBAN ou son numéro de sécurité sociale. Ces informations partent pourtant avec le reste, parce que personne ne les a retirées.
Pourquoi les réponses classiques échouent
Face au shadow AI, trois réponses reviennent. Prises seules, aucune ne règle le problème.
Interdire l'IA. C'est la réaction la plus simple, et elle produit l'effet inverse de celui recherché. Interdire ne fait pas disparaître l'usage : il bascule sur les comptes personnels, hors de tout contrôle, et devient précisément du shadow AI. L'entreprise perd sur les deux tableaux : elle se prive du bénéfice de l'outil et elle perd toute visibilité sur ce qui sort. Nous développons ce point dans notre analyse dédiée : faut-il interdire ChatGPT en entreprise.
Bloquer au pare-feu ou sur le poste. Les outils de filtrage réseau ou de surveillance du poste (EDR) savent dire qu'une connexion part vers un service d'IA. Mais ils raisonnent en adresses, en domaines et en processus, pas en contenu de message. Ils voient qu'une conversation a lieu avec ChatGPT ; ils ne voient pas qu'un IBAN ou un fichier client vient d'y être collé. Et dès que le salarié passe par un compte personnel, ou par un nouveau service d'IA qui n'est pas encore sur la liste de blocage, le contrôle est aveugle. Bloquer les domaines connus, c'est jouer au chat et à la souris avec un catalogue qui grossit chaque semaine.
Demander aux équipes de faire attention. Sur le papier, c'est raisonnable : relire, retirer les noms, masquer les montants. En pratique, la vigilance ne survit pas à la pression du quotidien. On va vite, on oublie, et un fichier de plusieurs centaines de lignes décourage toute relecture. La CNIL recommande justement d'encadrer l'usage de l'IA générative et de définir clairement les données qui ne doivent pas y être saisies. C'est nécessaire, mais une charte ne vaut que si l'on dispose d'un moyen de la faire respecter au moment où la donnée part.
Reprendre le contrôle sans tout bloquer
Le vrai besoin n'est pas d'empêcher l'IA, c'est de garder la donnée sensible sur le poste et de retrouver de la visibilité sur l'usage. C'est exactement le rôle de Tacite-IA.
L'analyse se fait entièrement sur l'ordinateur du salarié, sans IA générative. Les noms de personnes sont repérés par un modèle qui tourne en local, et les données structurées comme l'IBAN, le numéro de sécurité sociale, l'e-mail ou le numéro de carte sont détectées par des règles précises et des clés de contrôle (la clé d'un IBAN, par exemple). Aucun message ni fichier n'est envoyé à nos serveurs pour être analysé : rien ne sort du poste.
Concrètement, dans Chrome et Edge, face à ChatGPT, Claude, Copilot, Gemini et d'autres assistants : au moment de l'envoi, une fenêtre montre les données repérées et propose d'envoyer la version où elles sont remplacées par des balises cohérentes. Le message reste compréhensible pour l'assistant, mais l'identité du client ne quitte plus l'entreprise. Les fichiers Word, Excel, PowerPoint, PDF ou texte, et même les captures d'écran glissées dans l'assistant, sont traités sur le poste : une copie anonymisée part à la place de l'original.
Surtout, le shadow AI cesse d'être invisible. Une console donne enfin à la direction informatique de la visibilité sur l'usage de l'IA, à partir de compteurs anonymes : combien d'envois ont été traités, combien de données sensibles ont été remplacées, sans jamais voir le contenu des messages ni l'identité des personnes. On mesure le phénomène et son évolution, sans transformer le garde-fou en outil de surveillance.
Pour voir ce que cela donne en pratique, la démonstration interactive montre un message traité en direct :
Voir la démonstration interactive
Les objections, traitées franchement
« Nous allons perdre du temps. » Le contrôle s'exécute au moment du copier-coller, en une étape : le salarié voit ce qui a été repéré et valide. C'est plus rapide qu'une relecture manuelle, et cela ne repose plus sur sa mémoire.
« Et si l'outil laisse passer une donnée ? » Il faut le dire clairement : Tacite-IA repère bien les données structurées grâce aux règles et aux clés de contrôle, et les noms grâce à un modèle local, mais aucun outil ne comprend tout contexte identifiant formulé librement. C'est pourquoi une relecture humaine et une charte écrite restent utiles. Tacite-IA n'est pas un filtre magique : c'est un garde-fou qui rattrape l'essentiel des oublis, là où la vigilance seule échoue.
« Les applications de bureau ne sont pas couvertes. » C'est exact, et nous le signalons dans la console plutôt que de le cacher. Une IA tapée dans une application de bureau, comme ChatGPT pour ordinateur, n'est pas contrôlée. Le périmètre couvert, la voie protégée, ce sont les navigateurs Chrome et Edge et les assistants de code comme Claude Code ou Cursor. C'est précisément là que passe l'essentiel du shadow AI décrit plus haut, puisque la majorité des usages se fait dans le navigateur.
Ce qu'il faut retenir
Le shadow AI n'est pas une faute des salariés, c'est l'état par défaut d'une entreprise qui n'a pas donné de cadre à l'IA. Interdire pousse l'usage dans l'ombre, bloquer au réseau ne voit pas la donnée dans un prompt, et compter sur la vigilance ne tient pas dans la durée. La bonne approche est de laisser l'IA servir, tout en gardant la donnée sensible sur le poste et en retrouvant une visibilité honnête sur l'usage.
Pour l'essayer sur vos propres postes, l'essai dure trois mois :
Essayer Tacite-IA pendant 3 mois
Preguntas frecuentes
Qu'est-ce que le shadow AI (IA fantôme) ?
C'est l'usage d'outils d'IA comme ChatGPT par des salariés sans que l'entreprise l'ait autorisé, vu ni tracé, le plus souvent depuis un compte personnel dans le navigateur. Selon l'enquête de Deloitte UK, près d'un utilisateur d'IA sur trois y recourt sans que son employeur le sache.
Pourquoi interdire ChatGPT ne règle-t-il pas le problème ?
Interdire ne supprime pas l'usage : il bascule sur les comptes personnels, hors de tout contrôle, et devient précisément du shadow AI. L'entreprise perd à la fois le bénéfice de l'outil et la visibilité sur ce qui sort. Mieux vaut encadrer l'usage et garder la donnée sensible sur le poste.
Comment avoir de la visibilité sur l'IA sans lire les messages des salariés ?
Un garde-fou local comme Tacite-IA alimente une console avec des compteurs anonymes : nombre d'envois traités, nombre de données sensibles remplacées. La direction informatique mesure le phénomène et son évolution, sans jamais voir le contenu des messages ni l'identité des personnes.
Fuentes
- Enterprise GenAI Security Report 2025. LayerX Security, 2025. Consultado el 12 de octubre de 2026.
- GenAI Workforce Survey : shadow AI. Deloitte UK, septembre 2026. Consultado el 12 de octubre de 2026.
- Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative. CNIL, 18 juillet 2024. Consultado el 12 de octubre de 2026.
- Règlement (UE) 2016/679 relatif à la protection des données (RGPD). EUR-Lex. Consultado el 12 de octubre de 2026.
ChatGPT es una marca de OpenAI, Copilot de Microsoft, Claude de Anthropic, Gemini de Google y Cursor de Anysphere. Los demás nombres de productos citados pertenecen a sus respectivos propietarios. Tacite-IA no está afiliado a ninguno de estos proveedores. Artículo informativo, que no constituye asesoramiento jurídico.