Shadow AI : quand l’ignorance de vos salariés devient votre responsabilité
Vos collaborateurs utilisent l’IA. Très probablement sans vous le dire, très probablement avec leur compte personnel gratuit, et très probablement avec des données qui n’auraient jamais dû quitter votre entreprise.
Ce n’est pas une hypothèse. Selon l’étude AI Agents at Work 2026 d’Okta, 52 % des employés dans le monde reconnaissent utiliser des outils IA non approuvés par leur employeur. En France, seuls 10 % des salariés peuvent se référer à une charte interne ou à un interlocuteur dédié sur les usages IA selon l’Observatoire Impact AI. Le reste navigue à vue, dans un vide organisationnel que l’entreprise elle-même a créé par inaction.
Le problème n’est pas comportemental, il est juridique et il vous appartient.
Car si vos salariés ignorent les risques, c’est vous qui en supportez les conséquences : en tant qu’employeur, en tant que responsable de traitement, en tant que garant du secret des affaires. Le shadow AI n’est pas un problème informatique que votre DSI règle en bloquant quelques URLs. C’est une accumulation silencieuse de responsabilités sur quatre régimes juridiques distincts (RGPD, AI Act, droit du travail, secret des affaires) qui peuvent se déclencher simultanément à partir d’un seul incident.
Cet article vous explique pourquoi, et ce que vous pouvez faire avant que cela arrive.
Shadow AI : ce que recouvre vraiment le terme et pourquoi la définition change votre exposition
Le shadow IT, autrement dit l’usage d’outils informatiques non approuvés en entreprise, est un phénomène connu depuis les années 2000. Le shadow AI en est la version accélérée, démultipliée par la facilité d’accès aux outils : un compte Gmail suffit pour ouvrir ChatGPT, Gemini ou Mistral. Aucune installation, aucune validation IT, aucune trace dans le registre des traitements.
Mais tous les usages shadow AI ne se ressemblent pas, et la distinction importe juridiquement.
Le shadow AI actif, c’est le collaborateur qui choisit délibérément un outil non référencé parce qu’il le juge plus performant ou plus rapide que les outils mis à disposition. Il saisit un résumé de réunion, un projet de contrat, des données clients, et obtient en quelques secondes ce qu’il cherchait. Il ne mesure pas ce qu’il vient de transmettre.
Le shadow AI passif est plus insidieux : l’IA s’intègre sans que le collaborateur en ait pleinement conscience. Une extension de navigateur, un plugin de traitement de texte, un outil de transcription audio activé par défaut : les données partent vers des serveurs tiers sans geste délibéré de l’utilisateur.
Le shadow AI par agent est le cas le plus récent et le moins documenté dans les politiques internes : les extensions de développement comme Cursor ou Windsurf transmettent silencieusement du code source et des variables d’environnement vers des LLM tiers, en dehors de tout navigateur, sans log visible pour l’équipe IT.
Ce que ces trois formes ont en commun : l’employeur n’a rien autorisé, et pourtant il est responsable.
Quatre régimes juridiques, une seule direction
RGPD : vous êtes responsable de traitement, même pour ce que vous n’avez pas autorisé
C’est le point que beaucoup de dirigeants contestent instinctivement : comment être responsable de ce qu’on n’a pas décidé ? La réponse du RGPD est sans ambiguïté.
En tant qu’employeur, vous êtes responsable de traitement pour l’ensemble des données personnelles traitées dans le cadre de l’activité de votre entreprise, y compris celles que vos collaborateurs transmettent à des outils tiers sans votre accord. Le règlement ne conditionne pas la responsabilité à la connaissance ou à l’autorisation : il la lie à la finalité et au contexte professionnel dans lequel le traitement intervient.
Concrètement, cela signifie que lorsqu’un salarié saisit dans ChatGPT gratuit le nom, le numéro de téléphone ou la situation contractuelle d’un client pour rédiger un email commercial, c’est un traitement de données personnelles réalisé dans le cadre de son activité professionnelle. Vous n’avez pas conclu de contrat de sous-traitance avec OpenAI. Vous n’avez pas vérifié où les données sont hébergées ni dans quel pays elles sont transférées. Vous n’avez pas inscrit ce traitement dans votre registre. De plus les CGU de la version gratuite de ChatGPT prévoient explicitement que les données saisies peuvent être utilisées pour améliorer le modèle, ce qui exclut toute qualification de sous-traitant au sens de l’article 28 du RGPD.
La CNIL ne s’y est pas trompée. Dans son plan stratégique 2025-2028, le contrôle des usages IA en entreprise figure parmi ses priorités explicites. Les premières mises en demeure liées à des violations RGPD via IA ont été émises en 2026. Et les PME ne sont plus épargnées : 32% des contrôles menés en 2025 visaient des structures de taille intermédiaire, avec des amendes pouvant atteindre 20 000 euros via procédure simplifiée, sans publicité, sans formation restreinte, sans délai long.
L’absence de charte IA interne ne constitue pas une circonstance atténuante. Elle constitue une preuve supplémentaire de l’absence de mesures organisationnelles appropriées, ce que l’article 24 du RGPD impose pourtant à tout responsable de traitement.
AI Act : l’obligation de formation que personne n’a vue venir
Depuis le 2 août 2026, les obligations issues de l’article 50 de l’AI Act sont applicables. Parmi elles, une disposition que la plupart des PME n’ont pas encore intégrée : l’obligation de s’assurer que les personnes travaillant avec des systèmes d’IA disposent d’un niveau de compétence, de formation et d’autorité suffisant au regard du contexte dans lequel ces systèmes sont utilisés.
Cette obligation ne pèse pas sur le salarié mais sur vous.
En pratique, si vos collaborateurs utilisent des outils IA (qu’ils soient approuvés ou non) sans avoir reçu de formation sur les risques associés, sur le périmètre des données pouvant y être soumises, sur les limites de ces outils, vous êtes hors conformité AI Act. Le shadow AI rend cette preuve impossible à apporter : comment démontrer que vous avez encadré des usages que vous ignoriez ?
La charte IA interne n’est pas seulement un document RH. Elle est, depuis août 2026, un élément de conformité réglementaire à part entière.
Droit du travail : la sanction disciplinaire qui se retourne
Imaginons qu’un incident survienne. Un salarié a transmis des données confidentielles à un outil IA non approuvé. Vous souhaitez engager une procédure disciplinaire. Votre juriste vous pose alors la question qui fâche : aviez-vous explicitement interdit cet usage ?
Sans règlement intérieur mis à jour, sans charte IA opposable, sans communication formelle sur les outils autorisés, la faute disciplinaire est difficile à caractériser. La jurisprudence en droit du travail exige que l’obligation violée ait été portée à la connaissance du salarié de manière claire et préalable. Un usage que l’entreprise n’a jamais encadré est un usage que l’entreprise a implicitement toléré.
Le vide de gouvernance ne protège donc pas l’employeur d’une double contrainte : il ne peut ni se dédouaner de la responsabilité juridique externe (RGPD, AI Act), ni exercer pleinement son pouvoir disciplinaire interne. Les deux directions se ferment simultanément.
Secret des affaires : la directive 2016/943 et le piège des CGU
La directive sur la protection du secret des affaires, transposée en droit français, conditionne la protection d’une information confidentielle à l’existence de mesures raisonnables prises par son détenteur pour en préserver le caractère secret. Ce critère est central : une entreprise qui ne peut pas démontrer qu’elle a mis en place des mesures de protection actives s’expose à voir la qualification de secret des affaires écartée en cas de litige.
Or les CGU des outils IA gratuits sont, sur ce point, particulièrement défavorables. La plupart prévoient une licence large sur les données soumises, incluant leur utilisation à des fins d’amélioration du modèle. Une donnée stratégique (notamment plan de développement, structure tarifaire, ou encore données client couvertes par un NDA) saisie dans un outil gratuit sort du périmètre de maîtrise de l’entreprise dès la validation de la requête.
Le cas des consultants est ici particulièrement exposé. Un prestataire qui utilise son compte personnel ChatGPT pour traiter des données transmises sous NDA par son client engage simultanément sa propre responsabilité contractuelle et celle de la structure qui ne lui a fourni aucun cadre alternatif. Si l’entreprise cliente découvre l’incident, l’absence de politique IA chez le prestataire sera retenue comme circonstance aggravante, pas comme excuse.
Le vide de gouvernance ne protège personne, il crée une accumulation silencieuse
Les quatre régimes que nous venons de parcourir ont un point commun : aucun ne requiert un incident spectaculaire pour s’activer. Pas de fuite massive, pas d’attaque coordonnée, pas de plainte médiatisée. Un collaborateur qui soumet un compte-rendu de réunion à un outil gratuit, un consultant qui allège sa charge de travail avec ChatGPT, un développeur dont l’extension IDE transmet silencieusement du code propriétaire : chacun de ces gestes ordinaires peut suffire.
Ce qui aggrave l’exposition est justement leur banalité. Le shadow AI ne ressemble pas à une faute, et on aurait plutôt tendance à l’assimiler à de l’efficacité.
C’est là que réside le vrai risque pour un dirigeant de PME : non pas l’incident isolé et identifiable, mais l’accumulation silencieuse de traitements non conformes, d’obligations de formation non satisfaites, d’usages jamais encadrés et donc jamais sanctionnables. Non sanctionnables jusqu’au moment où un contrôle, un litige ou une rupture de contrat fait remonter l’ensemble à la surface simultanément.
Le droit ne distingue pas entre ce que vous saviez et ce que vous auriez dû savoir. Il distingue entre ce que vous avez fait et ce que vous n’avez pas fait.
Une charte IA interne ne résout pas tout. Elle ne garantit pas la conformité RGPD si le reste du dispositif est défaillant, elle ne remplace pas une analyse des risques, et elle n’immunise pas contre toute mise en cause. Mais elle fait une chose que rien d’autre ne peut faire à sa place : elle crée la preuve que vous avez agi. Qu’il existait des règles, qu’elles étaient connues, qu’elles étaient opposables. C’est cette preuve-là que la CNIL vérifie, que le juge prud’homal examine, que le client lésé recherche.
En 2026, ne pas avoir de charte IA n’est plus une lacune administrative. C’est un choix et il sera lu comme tel.
Conclusion
La question n’est pas de savoir si vos salariés utilisent des outils IA non approuvés. Les chiffres répondent à votre place : ils le font, massivement, avec la meilleure intention du monde.
La vraie question est celle-ci : depuis combien de temps et ce que cela vous a déjà coûté sans que vous le sachiez encore ?
Le shadow AI prospère dans les organisations où l’IA n’a pas de cadre. Donner ce cadre n’est pas une contrainte supplémentaire dans un environnement réglementaire déjà dense. C’est le seul levier qui vous permet, simultanément, de rester dans vos obligations RGPD et AI Act, de préserver votre pouvoir disciplinaire, et de protéger ce que votre entreprise a mis des années à construire.
Si vous souhaitez évaluer votre exposition actuelle ou mettre en place une charte IA adaptée à votre activité, contactez Celestial Guardian.
L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.
Rédigé par Anne-Sophie | Fondatrice de Celestial Guardian & Juriste en droit du numérique
Certifiée CIPP/E (IAPP) et forte de 15 ans d’expérience au cœur d’écosystèmes fortement réglementés, j’aide les entreprises du numérique et les dirigeants tech à sécuriser leurs usages : ingénierie contractuelle, conformité RGPD & AI Act et gouvernance opérationnelle. Une approche de terrain pour transformer la contrainte juridique en levier stratégique.