Shadow AI : vos salariés utilisent leur propre compte ChatGPT, que faire ?

Un commercial colle une proposition dans son ChatGPT personnel pour la reformuler. Une comptable y dépose un export de factures pour le résumer. Une responsable des ressources humaines fait relire un compte rendu d’entretien par Claude, sur son téléphone. Ces trois scènes sont des exemples, mais elles se jouent chaque jour : en France, 67 % des salariés qui utilisent l’IA passent par des outils que leur entreprise ne leur fournit pas, souvent sans le lui dire. Dans les PME, c’est 77 % (OpinionWay pour Cegid, septembre 2026).

Ce n’est pas une faute des salariés : c’est le signe qu’ils y trouvent un gain. Mais ce gain se paie de risques que l’entreprise ne voit pas, et il reste dans des comptes qui ne lui appartiennent pas.

Le shadow AI, c’est quoi exactement ?

Le shadow AI, ou « IA fantôme », désigne l’usage au travail d’outils d’IA que l’entreprise n’a ni choisis ni encadrés : un compte ChatGPT, Claude ou Gemini personnel, gratuit ou payé par le salarié, une application installée sur son téléphone, une extension de navigateur. Le terme vient du shadow IT, l’informatique de l’ombre. Microsoft parle aussi de BYOAI, pour Bring Your Own AI : 78 % des utilisateurs d’IA au travail apportent leurs propres outils, 80 % dans les petites et moyennes entreprises.

Ce n’est pas un usage occasionnel : 61 % des cadres qui utilisent l’IA passent par des comptes personnels au moins une fois par semaine, et 38 % tous les jours (YouGov pour Microsoft France, janvier 2026).

Pourquoi vos salariés passent par leur propre compte ?

• L’entreprise ne fournit rien : seuls 39 % des salariés français disposent d’outils d’IA professionnels fournis par leur employeur.
• L’outil fourni est moins utile : générique ou bridé, il ne connaît ni vos offres, ni vos clients, ni votre façon d’écrire. Le compte personnel, lui, est déjà ouvert sur le téléphone.
• Personne n’a dit ce qui est permis : 63 % des salariés français déclarent que leur entreprise n’a mis en place aucune formation aux outils d’IA.
• Ils préfèrent ne pas en parler : 52 % des utilisateurs hésitent à reconnaître qu’ils se servent de l’IA pour leurs tâches les plus importantes.

Les sept risques réels

1. Des données qui sortent, et qui peuvent entraîner les modèles

Sur un compte personnel, c’est le salarié qui règle la confidentialité, pas l’entreprise. Sur ChatGPT Free, Plus ou Pro, l’utilisation des conversations pour améliorer les modèles est activée par défaut. Sur Claude Free, Pro et Max, elle dépend depuis septembre 2025 d’un réglage laissé à chaque utilisateur, et les conversations sont alors conservées jusqu’à cinq ans. Les offres professionnelles des mêmes éditeurs, elles, n’utilisent pas vos contenus pour entraîner leurs modèles par défaut. En 2023, des ingénieurs de Samsung avaient collé du code source interne dans ChatGPT : l’entreprise a interdit ces outils dans la foulée.

2. Le RGPD, sans contrat ni registre

Dès qu’une consigne donnée à l’IA contient un nom, un email, un dossier client ou salarié, c’est un traitement de données personnelles, et votre entreprise en reste responsable. Avec un compte personnel, aucun contrat avec l’éditeur n’encadre ce traitement (article 28 du RGPD), aucune ligne ne figure au registre (article 30), et vous ne maîtrisez ni le lieu de traitement, souvent aux États-Unis, ni la durée de conservation. Si une personne vous demande ce que vous avez fait de ses données (articles 15 à 17), vous ne pouvez pas répondre. Le détail : IA et RGPD : les points à vérifier.

3. Le secret des affaires et vos engagements de confidentialité fragilisés

Pour être protégée au titre du secret des affaires, une information doit faire l’objet de « mesures de protection raisonnables » (Code de commerce, article L151-1). Des tarifs, une stratégie ou le contrat d’un client qui circulent dans des comptes personnels affaiblissent cet argument. Ils peuvent aussi enfreindre les clauses de confidentialité que vous avez signées avec vos clients.

4. Les outils de l’entreprise boudés

Quand le compte personnel reste plus pratique, l’outil officiel n’est pas adopté : les licences payées dorment, et certains salariés paient leur abonnement de leur poche. Une étude du MIT l’a montré en 2025 : dans plus de 90 % des entreprises étudiées, des salariés utilisent régulièrement des outils d’IA personnels, alors que 40 % seulement ont acheté un abonnement officiel. Les gains existent, mais personne ne les voit, ne les mesure ni ne les partage avec le reste de l’équipe.

5. Un savoir qui part avec le salarié

Les consignes qui marchent, les modèles de réponse, l’historique des échanges : tout reste dans le compte personnel. Le jour où le salarié quitte l’entreprise, ce savoir part avec lui, et vos données restent dans son historique, hors de votre portée.

6. Des réponses fausses qui partent sans relecture

Un outil qui ne connaît pas vos règles invente avec assurance : un prix, une clause, une référence juridique. Or 31 % des salariés français se servent déjà de l’IA pour prendre des décisions importantes dans leur travail. Sans règle de relecture, l’erreur part chez le client.

7. Une sécurité que personne ne gère, et une preuve impossible à donner

Pas d’authentification imposée, pas de compte fermé au départ du salarié, aucune trace. Selon IBM, une organisation sur cinq a déjà subi une violation de données due au shadow AI, et celles où il est très présent ont payé en moyenne 670 000 dollars de plus par violation. Gartner prévoit que plus de 40 % des organisations connaîtront d’ici 2030 un incident de sécurité ou de conformité lié à des outils d’IA non autorisés. Et le jour où un client, dans un questionnaire ou un appel d’offres, vous demande quels outils d’IA vous utilisez et avec quelles règles, vous n’avez rien à montrer.

Pourquoi interdire ne marche pas ?

Une interdiction sans alternative déplace les usages vers les téléphones et les comptes personnels : les gains restent, le contrôle disparaît. Équiper, en revanche, fonctionne. Selon Netskope, entre octobre 2024 et octobre 2025, la part des utilisateurs d’IA passant par des comptes personnels est tombée de 78 % à 47 %, pendant que celle des comptes fournis par l’entreprise passait de 25 % à 62 %.

Vos salariés ne quittent leur compte personnel que pour un outil plus utile que lui. Tout se joue là.

La réponse : des assistants plus utiles que le compte personnel

Des assistants réglés pour votre entreprise, dans un cadre bien réglé

Un ChatGPT personnel ne sait rien de vous. Un assistant réglé pour une équipe connaît vos offres, vos prix, votre ton et vos procédures, et il travaille dans un cadre que vous avez fixé. Ce cadre, que les spécialistes appellent le harnais, tient en cinq réglages :

• des comptes professionnels, sous contrat avec l’éditeur, où vos contenus ne servent pas à entraîner les modèles ;
• la confidentialité et les droits : qui accède à quoi, ce qui est conservé, ce qui se ferme au départ d’un salarié ;
• les consignes données à l’IA, écrites pour chaque métier : les ventes, le service client, l’administration ;
• vos documents de référence (offres, prix, modèles, procédures), tenus chez vous, hors de l’outil d’IA, qui n’en reçoit qu’une copie : vous changez d’outil sans rien perdre ;
• les règles d’usage : ce qu’on peut confier à l’IA, ce qui n’y entre jamais, ce qu’une personne relit avant envoi.

Le salarié obtient alors de meilleures réponses avec l’outil de l’entreprise qu’avec le sien : il n’a plus de raison de garder son compte personnel, et vos données restent sous contrat. ChatGPT, Claude, Copilot ou Mistral Vibe font l’affaire ; Mistral Vibe, de Mistral AI, offre une option européenne.

Un Cerveau entreprise, pour que la connaissance reste chez vous

Pour commencer, les documents de référence d’un assistant suffisent. Quand cette connaissance doit servir toute l’entreprise, le Cerveau entreprise prend le relais : les fondamentaux de votre entreprise (offres, prix, règles, priorités, ton) et la connaissance de chacun de vos domaines métiers, mis par écrit et tenus à jour par un responsable domaine métier. Vos équipes s’en servent, vos assistants et vos agents s’y appuient : tout le monde part des mêmes règles. Quand un salarié s’en va, ce qu’il a appris reste dans l’entreprise. Le Cerveau entreprise vous appartient, indépendant de tout outil et de tout modèle d’IA. Pour aller plus loin : Pourquoi vos agents IA ont besoin d’une mémoire et de règles communes.

La méthode en cinq étapes

1. Faire l’inventaire, sans sanction

Rencontrer les équipes, regarder les outils réellement utilisés, y compris ceux que personne n’a déclarés. L’objectif est de savoir, pas de punir : ceux qui utilisent déjà l’IA sont vos meilleurs alliés pour la suite.

2. Choisir l’outil et le régler

Partir de ce que vous avez déjà (Microsoft 365, Google Workspace), de vos contraintes sur les données et du coût des licences. Puis régler les comptes professionnels, la confidentialité et les droits.

3. Écrire une charte d’usage

Une ou deux pages, pas plus : les outils autorisés, les données qui n’y entrent jamais (personnelles, confidentielles, stratégiques), qui relit quoi avant envoi, comment signaler un contenu généré.

4. Régler un assistant par équipe, puis former

Un assistant par métier, nourri de vos documents de référence et vérifié sur des cas réels, puis une prise en main par équipe. C’est aussi ce que demande l’AI Act au titre de la maîtrise de l’IA : prendre des mesures pour que chacun maîtrise l’IA qu’il utilise, à la mesure de son usage. Voir AI Act : ce qui change pour les PME et les ETI.

5. Mesurer et garder la preuve

Combien de personnes se servent de l’outil chaque semaine, combien de temps il fait gagner, et un registre des outils en service : c’est ce que demandera un donneur d’ordre.

Dans une ETI, un sujet de gouvernance

Plus l’entreprise est grande, plus les usages se multiplient par service, avec des outils différents. Le sujet devient une question de cohérence : les mêmes règles pour tous, une même façon de répondre aux clients, un registre tenu à jour par un responsable nommé.

Ce que nous proposons

• L’Audit des usages IA dresse l’inventaire des usages, y compris non déclarés, et livre le registre, les écarts techniques, une charte d’usage, un plan de correction et un dossier de preuves, sous cinq jours ouvrés.
• Le Setup assistant IA met en place l’outil choisi avec vous, règle un assistant par équipe sur vos documents de référence, écrit la charte d’usage et prend en main chaque équipe, en 2 à 3 semaines.
• Le Cerveau entreprise met par écrit vos fondamentaux et la connaissance de vos domaines métiers, pour vos équipes comme pour leurs assistants et leurs agents.

Chaque offre est chiffrée sur devis, après un Rendez-vous de cadrage gratuit.

Sources

• OpinionWay pour Cegid, « Le moment de vérité de l’IA en entreprise », 2 006 salariés en France, en Espagne, au Portugal et en Allemagne, communiqué du 3 septembre 2026 : en France, 67 % des utilisateurs d’IA recourent à des outils non fournis par leur entreprise (77 % dans les PME, 81 % dans les ETI), 39 % disposent d’outils professionnels, 63 % n’ont reçu aucune formation, 31 % s’en servent pour des décisions importantes.
• YouGov pour Microsoft France, 657 cadres et dirigeants, janvier 2026, communiqué du 12 février 2026 : 61 % des utilisateurs d’IA passent par des comptes personnels au moins une fois par semaine, 38 % tous les jours.
• Microsoft et LinkedIn, Work Trend Index 2024, 31 000 personnes dans 31 pays : 78 % des utilisateurs d’IA apportent leurs propres outils (80 % dans les PME), 52 % hésitent à le reconnaître pour leurs tâches les plus importantes.
• MIT NANDA, « The GenAI Divide : State of AI in Business 2025 », juillet 2025, présenté par Fortune.
• Netskope, Cloud and Threat Report 2026, données d’octobre 2024 à octobre 2025.
• IBM, Cost of a Data Breach Report 2025, 600 organisations, violations de mars 2024 à février 2025.
• Gartner, prévision de novembre 2025 sur les incidents liés au shadow AI d’ici 2030, présentée par Infosecurity Magazine.
• OpenAI, Data Controls FAQ ; Anthropic, Updates to our consumer terms, août 2025.
• Bloomberg, Samsung interdit l’IA générative à ses salariés après une fuite, 2 mai 2023.
• Règlement (UE) 2016/679 (RGPD), articles 15 à 17, 28 et 30, texte officiel ; Code de commerce, article L151-1 (secret des affaires) ; règlement (UE) 2024/1689 sur l’intelligence artificielle, article 4 (maîtrise de l’IA), réécrit par le règlement (UE) 2026/1744, texte officiel.