Shadow AI en France : ce que les chiffres 2026 nous disent vraiment

Un usage qui s'est installé avant les règles

La deuxième édition du Baromètre IA Entreprise et Durabilité, menée en mars 2026 par l'ESSCA et Forvis Mazars auprès de 826 professionnels de l'IT et du digital en France, au Royaume-Uni, en Allemagne et en Espagne, confirme ce que beaucoup de dirigeants soupçonnaient : l'IA s'est installée dans le quotidien des équipes plus vite que les règles censées l'encadrer.

Le chiffre qui compte : 66 % des répondants constatent du shadow AI dans leur organisation, c'est-à-dire l'utilisation d'outils d'IA non validés par l'entreprise. Et la France se distingue de ses voisins européens par l'ampleur du phénomène.

Surtout, la réponse la plus fréquente des entreprises n'est ni l'interdiction ni l'encadrement : c'est la tolérance, dans 24 % des cas. Autrement dit, un quart des organisations laissent faire, sans cadre, sans visibilité, sans règle écrite. Ce n'est pas une stratégie. C'est une absence de décision.

La tolérance n'est pas une politique

Tolérer un usage, c'est en accepter les conséquences sans en maîtriser les conditions. Quand un collaborateur colle un extrait de contrat ou un dossier client dans un assistant grand public, l'entreprise ne sait ni où part la donnée, ni si elle sera conservée, ni si elle pourra servir à entraîner un modèle. Elle le découvrira le jour d'un contrôle, d'une réclamation ou d'un incident.

Le baromètre pointe un angle mort révélateur : certains usages pourtant largement acceptés, comme la transcription automatique des réunions, ne font l'objet d'aucune règle précise. Or une transcription capte des propos, des noms, des décisions, parfois des données personnelles, et les confie à un service tiers. C'est exactement le genre d'usage qui paraît anodin et qui pose les vraies questions.

Dejan Glavas, coauteur du baromètre, défend une position que nous partageons : mieux vaut encadrer les outils non validés que les interdire. L'interdiction ne supprime pas l'usage, elle le rend invisible. Et un usage invisible est un risque ingouvernable.

Pourquoi la France est plus exposée

Si le shadow AI est plus répandu en France que chez nos voisins, ce n'est pas parce que les salariés français seraient plus indisciplinés. C'est que la règle et la formation arrivent tard. Quand l'entreprise ne propose rien, les équipes se débrouillent seules, avec les outils gratuits à portée de navigateur. Elles ne font pas de la malveillance, elles font leur travail.

Ce décalage a un coût caché. Chaque mois de tolérance installe des habitudes : tel outil pour résumer, tel autre pour rédiger, tel autre pour transcrire. Plus on attend, plus il est difficile de faire évoluer ces pratiques, et plus la surface d'exposition s'étend sans que personne ne l'ait décidé.

Il y a aussi un enjeu réglementaire qui se rapproche. L'AI Act impose déjà aux organisations de veiller à la maîtrise de l'IA par les personnes qui l'utilisent. Une entreprise qui tolère des usages non encadrés et non formés aura du mal à démontrer qu'elle a pris ses responsabilités.

Les règles à poser, dans le bon ordre

Première règle : recenser avant de juger. Un questionnaire court et sans esprit de sanction suffit à cartographier les outils réellement utilisés, pour quelles tâches, avec quelles données. Deux semaines de travail, et l'entreprise sait enfin où elle en est.

Deuxième règle : offrir une alternative officielle. Un ou deux outils de référence, en version professionnelle, avec des garanties contractuelles sur la non-réutilisation des données. L'usage encadré doit être plus confortable que l'usage clandestin, sinon il ne s'imposera pas.

Troisième règle : écrire une charte courte. Une page, dans le langage des métiers, qui dit ce que l'on peut soumettre à un assistant, ce que l'on ne doit jamais y mettre, et l'obligation de vérifier toute production avant diffusion. Les cas particuliers comme la transcription des réunions doivent y figurer nommément.

Quatrième règle : former, et le tracer. Une session courte sur des cas réels du métier change davantage les comportements qu'une note de service. Et la trace des personnes formées constitue déjà un début de preuve au regard de l'AI Act.

Du constat au pilotage

Ce que dit le baromètre, en résumé, c'est que l'usage a pris le pas sur la gouvernance. Ce n'est pas une fatalité, mais c'est un point de départ. Les organisations qui s'en sortiront ne sont pas celles qui interdiront le plus, mais celles qui décideront le plus tôt : quels outils, pour quels usages, avec quelles limites, et qui en répond.

C'est exactement le chemin que nous parcourons avec les TPE, PME, collectivités et cabinets chez NovIA Secure : rendre visibles les usages réels, poser un cadre que les équipes peuvent appliquer, et inscrire le tout dans une démarche de gouvernance qui tient dans la durée. Du comprendre au faire, avant que l'usage ne décide à votre place.