IA de l’ombre (shadow AI) : ce que révèle une étude mondiale menée auprès de 48 000 personnes

La shadow AI est la version la plus simple d’un vieux problème sous un nouveau nom : un salarié qui colle un email client, un brouillon de contrat ou un tableau de chiffres dans une interface de chat IA publique et gratuite pour aller plus vite — sans aucun contrôle de l’entreprise sur ce qui a été partagé, où c’est allé, ni si la réponse obtenue en retour était même correcte. Il est tentant de croire que c’est marginal. Les données disent l’inverse.

Une étude menée auprès de 48 000 personnes dans 47 pays

L’étude Trust, attitudes and use of Artificial Intelligence: A global study 2025, pilotée par l’université de Melbourne en collaboration avec KPMG, a interrogé plus de 48 000 personnes dans 47 pays. Ses constats sur l’usage en entreprise sont assez précis pour agir dessus : près de la moitié des salariés admettent utiliser l’IA d’une façon qui contrevient à la politique de leur entreprise, y compris en téléversant des informations sensibles dans des outils publics gratuits ; plus de la moitié ne déclarent pas avoir utilisé l’IA et ont présenté un contenu assisté par IA comme entièrement le leur ; et seuls 47 % déclarent avoir reçu une quelconque formation à l’IA.

Ce que ça veut dire pour une entreprise sans politique IA écrite

Le risque n’est pas seulement des données qui fuitent dans le pipeline d’entraînement d’un outil tiers. Ce sont les angles morts qui vont avec : un travail relu ou validé en supposant qu’une personne l’a produit, sans trace qu’un outil d’IA soit intervenu, aucun moyen de retracer quelles données sont sorties de l’entreprise, et — selon la même étude — à peine deux lieux de travail sur cinq disposant d’une quelconque consigne écrite. Une entreprise sans politique n’évite pas l’exposition en ne la nommant pas ; elle se contente de ne pas la mesurer.

• →Rédigez une politique d’une page sur quelles données peuvent aller dans quel outil — la longueur n’est pas le sujet, l’existence et la clarté le sont.
• →Nommez un petit nombre d’outils autorisés avec une vraie garantie contractuelle sur les données, plutôt que de laisser chacun choisir l’outil gratuit le plus rapide.
• →Formez les équipes — l’étude montre que seuls 47 % ont reçu une formation à l’IA, un chiffre directement corrélé à l’usage non autorisé.
• →Donnez aux équipes un chemin autorisé et réellement rapide pour les usages IA courants — l’usage caché existe largement parce que le chemin autorisé est plus lent, ou n’existe pas.