Shadow AI en PME : risques, charte IA et solutions

Qu’est-ce que le shadow AI ?

Le shadow AI est la version IA du shadow IT : des outils adoptés par les équipes sans validation de la direction ni du service informatique. Dans les entreprises que nous avons auditées, il a pris la forme de versions gratuites de ChatGPT, de Gemini ou de Claude, ou d’outils de transcription de réunions.

Le problème tient au cadre absent : la direction ne sait pas quels outils sont utilisés, ni avec quelles données.

Ce que nous constatons dans nos audits

Sur plus de dix audits IA menés depuis 2024, Optimia a trouvé, dans toutes les entreprises auditées, des salariés qui utilisaient déjà des outils d’IA hors de tout cadre défini par la direction. Ces audits ont eu lieu dans la finance, le financement participatif immobilier, la promotion immobilière, les ESN, les bureaux d’études, les biotechnologies, la santé et le transport. Faute de formation, ces salariés saisissaient très souvent des données clients et des données personnelles dans des outils grand public.

Une charte dans environ une entreprise auditée sur cinq

Avant l’audit d’Optimia, environ 20 % des entreprises auditées disposaient d’une charte d’usage de l’IA. Sans charte, chaque salarié risque de décider seul de ce qui peut être confié à un outil.

Quels sont les risques du shadow AI ?

Le shadow AI expose l’entreprise à une fuite de données et à un manquement au RGPD, et il lui masque ce qui circule.

Vos données peuvent servir à entraîner les modèles

Les versions grand public, gratuites ou payantes, n’offrent pas les garanties des offres professionnelles. Selon les éditeurs eux-mêmes :

Conditions relevées le 6 octobre 2026 sur les pages officielles d’OpenAI, de Google et d’Anthropic (voir aussi ses conditions d’utilisation grand public et ses offres commerciales). Les noms des offres ChatGPT figurent sur la page tarifs d’OpenAI. Pour Google Workspace, la source est le centre de confidentialité de l’IA générative de Google.

Google conseille elle-même, dans sa page de confidentialité de Gemini, de ne pas saisir d’informations confidentielles qu’on ne voudrait pas voir relues par un réviseur.

Que devient un texte collé dans ChatGPT, et que vaut « pas d’entraînement » ?

Dans une offre grand public, le texte peut servir à l’entraînement. Une offre entreprise écarte l’entraînement par défaut, mais c’est une promesse contractuelle : demandez l’accord de traitement, la durée de conservation et les sous-traitants. Pour des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, l’hébergeur doit être certifié (article L. 1111-8 du Code de la santé publique) : consultez un juriste.

Aucun contrat ne protège l’entreprise

Quand un salarié colle des données personnelles dans un outil lié à son compte personnel, aucun contrat ne lie l’entreprise à l’éditeur. Or l’article 28 du RGPD exige un contrat avec tout sous-traitant qui traite des données personnelles pour votre compte. Les offres professionnelles prévoient ce contrat sous le nom d’accord de traitement des données, inclus dans les conditions ou à signer selon l’éditeur (OpenAI, Google, Anthropic). La qualification de l’éditeur pour une version gratuite relève d’un juriste.

Les transcriptions enregistrent aussi vos interlocuteurs

Un outil de transcription invité à une réunion enregistre tous les participants, clients et candidats compris. Le RGPD impose de les informer de ce traitement. Encore faut-il que l’entreprise connaisse l’outil qu’un salarié a ajouté sans validation.

Vous ne savez pas ce qui circule

Sans inventaire, l’entreprise ne peut ni mesurer ses risques ni montrer les mesures prises au titre de l’article 4 du règlement européen sur l’IA (AI Act). Cet article, applicable depuis février 2025, demande de favoriser la maîtrise de l’IA par le personnel. Notre analyse de l’article 4 de l’AI Act en PME détaille cette obligation.

L’inventaire doit aussi couvrir les applications que des salariés développent eux-mêmes. Sur les 15 entreprises de 20 à 150 salariés que nous avons accompagnées sur Claude, nous constatons souvent que des salariés vont trop vite : ils codent des applications reliées par API à des services externes, sans prévenir la direction des systèmes d’information, ce qui ouvre un risque de failles de sécurité.

Shadow AI en société de gestion : que demandent DORA et le RGPD ?

DORA impose aux sociétés de gestion entrant dans son champ (article 2 ; les petits gestionnaires de FIA visés à l’article 3, paragraphe 2, de la directive 2011/61/UE en sont exclus) un registre des accords avec leurs prestataires tiers de services TIC (article 28, paragraphe 3), et le RGPD un contrat avec tout sous-traitant. À notre avis, un outil d’IA grand public utilisé sans contrat est un prestataire absent de ces registres. Pour y remédier, documentez d’abord l’inventaire des usages, puis la charte et son registre des actifs IA, enfin les contrats. L’inventaire des usages passe avant tout achat d’outil.

Optimia réalise aussi des audits de gouvernance, distincts de l’audit classique : ils recensent tous les cas d’usage d’une société, vérifient s’ils sont conformes et posent les bonnes pratiques liées à l’AI Act, au RGPD, à DORA et à l’hébergement des données de santé. L’audit classique en parle pour que vous sachiez quels règlements existent et quelles actions mener, et nous pouvons vous accompagner sur ces actions.

Pourquoi interdire ChatGPT ne règle rien

Interdire l’IA déplace le problème sans le traiter : le besoin reste, et l’usage risque de passer sur des outils personnels, hors de toute visibilité.

Le choix de l’outil encadré dépend de vos contraintes humaines, de sécurité et de souveraineté. Quand Claude fait partie des outils envisagés, notre article Claude en entreprise : Team ou Enterprise compare ses offres professionnelles.

Après l’audit, les assistants et automatisations repérés pendant l’immersion sont installés dans l’outil d’IA générale que vous avez choisi (Copilot, ChatGPT ou Claude) : ce sont les gains rapides, détaillés dans notre article sur l’audit IA. Quand les exigences de sécurité sont élevées, la réponse peut être sur mesure. Pour une entreprise de biotechnologie qui recevait des centaines de courriels par semaine, nous avons développé un agent IA qui oriente chaque courriel vers la bonne personne et prépare un brouillon de réponse. Le temps de traitement des courriels a baissé de 40 %.

À quoi sert une charte IA d’entreprise, et que doit-elle contenir ?

Une charte IA d’entreprise fixe ce que les équipes peuvent utiliser et avec quelles données, et renvoie vers un registre des actifs IA, c’est-à-dire la liste des outils et des usages d’IA que l’entreprise a déclarés.

Nous recommandons qu’une charte indique :

• les outils autorisés, et la marche à suivre pour en faire valider un nouveau ;
• les données qui ne doivent jamais y entrer, comme les données clients nominatives ou les données personnelles ;
• les bonnes pratiques d’usage, à commencer par la relecture et la vérification des réponses ;
• le registre des actifs IA, et la personne qui le tient à jour ;
• la conséquence d’un manquement, selon le règlement intérieur.

Dans notre accompagnement Claude, la charte des usages est posée dès la première semaine, avec le registre des actifs IA et la nomination d’un référent IA.

Si votre profession est soumise au secret professionnel, la révélation d’une information secrète est punie d’un an d’emprisonnement et de 15 000 € d’amende (article 226-13 du Code pénal) : faites valider vos outils avec votre ordre.

Une charte seule ne suffit pas. À notre avis, une charte sans formation risque de rester lettre morte : c’est la combinaison de la charte, de l’outil et de la formation qui permet de sortir du shadow AI.

Comment savoir quelles IA vos salariés utilisent vraiment ?

Commencez par demander : un entretien ou un questionnaire sans visée disciplinaire fait remonter les usages. Si votre licence Microsoft inclut Defender for Cloud Apps, la documentation Microsoft décrit le repérage des applications d’IA générative, puis leur blocage. Ce blocage passe par les connexions réseau gérées : les appareils non gérés et les réseaux personnels y échappent, comme le précise la page Microsoft sur le blocage.

Par où commencer pour encadrer le shadow AI en PME ?

Commencez par savoir ce qui est utilisé réellement, puis encadrez : nous recommandons cinq étapes dans cet ordre.

1. Faire l’inventaire des usages réels, outils et données compris. C’est le rôle d’un audit IA : chez Optimia, il combine immersion sur site, analyse des cas d’usage et feuille de route à 6, 12 et 24 mois.
2. Choisir un outil encadré, adapté à vos équipes et à vos exigences de sécurité.
3. Rédiger la charte d’usage et ouvrir le registre des actifs IA.
4. Former les équipes sur leurs propres cas d’usage, pour que l’outil officiel soit plus utile que l’outil caché. Dans notre accompagnement Claude, la quasi-totalité des salariés formés continuent d’utiliser Claude. C’est une observation de terrain, pas une mesure.
5. Confier le cadre à un référent, en interne ou sous la forme d’un directeur IA externalisé.

Qui peut vous aider à encadrer ChatGPT en PME, et pour quel budget ?

Selon le besoin, vous pouvez vous appuyer sur un référent interne (charte et formation), sur un juriste ou un cabinet RGPD (volet contractuel) ou sur un conseil en IA (inventaire des usages réels et choix de l’outil). Chez Optimia, les prix de l’audit immersion sont publics, et l’accompagnement Claude en six semaines est donné à titre d’exemple :

L’audit est conduit par Julien Johann ou par l’un des consultants Data IA d’Optimia ; les déplacements sont inclus dans le prix et nous intervenons partout en France. Parlons-en.

Comment choisir un consultant en IA : cinq questions avant de signer

Un consultant sérieux dit ce qu’il vend et d’où viennent ses chiffres. Posez-lui ces cinq questions :

1. Vous impose-t-il un outil ?
2. Touche-t-il des commissions ou revend-il des licences ?
3. Signe-t-il un accord de confidentialité avant de recevoir vos documents, et quand les supprime-t-il ?
4. D’où viennent ses chiffres ?
5. Quelles références cite-t-il, même anonymisées ?

Nous n’imposons jamais un outil : nous partons des contraintes évoquées plus haut, puis nous proposons l’outil adapté. Optimia a rejoint le Claude Partner Network, gratuit pour les sociétés de conseil et d’intégration qui proposent Claude à leurs clients. Pour nous, ses avantages sont l’accès à des ressources d’Anthropic pour poser nos questions et la certification de nos collaborateurs. Le statut de partenaire ne prouve pas l’indépendance : posez la question des commissions et de la revente de licences à tout prestataire, nous compris.

Nous signons un accord de confidentialité avant chaque audit et, de manière générale, avant chaque prestation. Selon les cas d’usage détectés, nous demandons de la documentation et des accès à vos outils ; ces éléments sont supprimés juste après la restitution.

Nos constats d’audit portent sur plus de dix audits menés depuis 2024, nos observations sur l’accompagnement Claude sur 15 entreprises de 20 à 150 salariés, et nos prix d’audit sont publics. L’audit n’engage pas pour la suite : il débouche sur une feuille de route que vous pouvez activer immédiatement en nous demandant une prestation (sessions de montée en compétence, développement sur mesure, mise en place d’outils d’IA, pilotage), ou confier à d’autres.

Nous ne citons aucun client par son nom, faute d’accord écrit à ce jour. Nous pouvons en revanche fournir une attestation ou un rapport utilisable dans un appel d’offres. Nos reconnaissances sont publiques, sur notre page À propos et dans notre rubrique News : le magazine Challenges a retenu Optimia dans sa sélection des 100 start-up où investir en 2026, nous figurons au Mapping 2026 des startups IA de France Digitale x Sopra Steria Ventures, et au Founders Program de Scaleway.