Le shadow IA désigne les usages d’intelligence artificielle qui se développent dans l’entreprise sans être totalement identifiés, validés ou maîtrisés par l’organisation.

Le phénomène dépasse les salariés utilisant discrètement un assistant IA avec un compte personnel. L’IA peut aussi apparaître dans les logiciels professionnels à la faveur d’une mise à jour, d’une nouvelle fonctionnalité ou d’une extension.

Pour les DSI, le problème est donc le suivant : comment maîtriser une technologie dont on ne connaît pas toujours précisément la présence, les usages, et, pour les CSE, les effets sur le travail et la responsabilité des salariés ?

Qu’est-ce que le shadow IA ?

Le shadow IA désigne l’utilisation de systèmes ou de fonctionnalités d’intelligence artificielle dans l’entreprise en dehors, ou à la périphérie, des dispositifs formels de gouvernance, de sécurité et de contrôle de l’organisation.

C’est une nouvelle déclinaison du « shadow IT ».

Mais avec une différence importante : l’outil non maîtrisé n’est plus nécessairement un logiciel installé volontairement par un salarié.

L’IA peut être intégrée à un outil métier, une application collaborative, une extension de navigateur ou une plateforme déjà autorisée.

Le paradoxe est là : une entreprise peut officiellement encadrer l’IA tout en utilisant déjà davantage d’IA qu’elle ne le pense.

Pourquoi le shadow IA se développe-t-il en entreprise ?

Le premier moteur est évident : l’accessibilité.

Un salarié peut désormais accéder en quelques secondes à un assistant IA depuis son navigateur ou téléphone, parfois gratuitement et avec un compte personnel. Face à une tâche chronophage, la tentation est forte : résumer un document, analyser un fichier, reformuler un courrier ou produire une première version d’un livrable.

L’entreprise peut elle-même entretenir cette situation.

Elle attend des gains de productivité liés à l’intelligence artificielle sans avoir nécessairement déployé des solutions professionnelles adaptées à tous les métiers.

Les salariés comblent alors le vide.

Mais le shadow IA en entreprise ne vient pas uniquement des initiatives individuelles.

Il peut également résulter de l’écosystème numérique existant. Des fonctions d’IA sont progressivement ajoutées aux logiciels métiers, suites collaboratives et applications SaaS (pour Software as a Service, ou « logiciel en tant que service ») lors de mises à jour.

L’IA n’arrive donc pas toujours sous la forme d’un « projet IA » présenté par la DSI.

Elle peut entrer par une simple évolution fonctionnelle d'un logiciel déjà déployé, surtout en mode SaaS.

Shadow IA : quels sont les risques concrets ?

Le risque IA non déclarée touche simultanément le système d’information, les données, l’organisation du travail et le dialogue social.

Confidentialité : un salarié peut transmettre à un outil externe des données clients, des informations stratégiques, des documents internes ou des secrets d’affaires. RGPD : dès lors que des données personnelles sont traitées, l’utilisation de l’outil doit s’inscrire dans les obligations applicables en matière de protection des données. La CNIL recommande notamment d’évaluer les risques et la conformité lors du choix et de l’utilisation d’une solution d’IA générative. Sécurité du SI : comptes personnels, extensions de navigateur ou services externes peuvent contourner les dispositifs de gouvernance mis en place par la DSI. Responsabilité : l’absence de règles claires peut placer les salariés dans une zone d’incertitude entre recherche de productivité et respect des politiques internes. Conditions de travail : l’IA peut modifier les tâches, les compétences attendues, les processus de validation et la charge de travail sans que ces transformations soient identifiées comme un projet organisationnel. Dialogue social : une transformation diffuse est beaucoup plus difficile à discuter collectivement qu’un projet technologique clairement identifié.

Le risque serait donc de réduire le shadow IA à une question de conformité. Le sujet est aussi organisationnel.

Comme pour l’IA agentique et ses effets sur le travail, la question centrale devient progressivement : qui décide réellement de la manière dont le travail est effectué ?

Pourquoi le shadow IA est-il un angle mort pour les DSI ?

La DSI savait déjà que le shadow IT existait. Le shadow IA rend le problème plus difficile à circonscrire.

Des comptes personnels

Un salarié peut utiliser un service externe depuis son navigateur ou son portable sans installation sur son poste professionnel.

Des extensions de navigateur

Certaines fonctions d’IA peuvent être ajoutées directement aux environnements de travail numériques sans apparaître comme un nouveau logiciel métier autonome.

Le BYOD (pour « Bring Your Own Device », ou en français « Prenez vos appareils personnels ») et les usages hybrides

La frontière entre outils professionnels et personnels peut encore se brouiller lorsque les salariés utilisent leurs propres équipements ou leurs comptes personnels.

L’IA intégrée aux logiciels existants

C’est probablement le point le plus important.

Une cartographie des logiciels ne constitue plus nécessairement une cartographie des usages IA.

Une application connue et validée par la DSI peut évoluer et intégrer de nouvelles capacités : génération de texte, résumé automatique, analyse de documents, recommandation, transcription ou automatisation.

Le système d’information devient alors évolutif.

La question n’est plus seulement : « Quels logiciels utilisons-nous ? »

Elle devient : « Quelles fonctions algorithmiques sont effectivement actives, pour quels salariés et pour quelles tâches ? »

Pourquoi le shadow IA est-il aussi un angle mort pour les CSE ?

Le CSE rencontre une difficulté comparable.

Traditionnellement, un projet informatique est identifiable : nouveau logiciel, nouveau système de gestion, changement d’outil métier, automatisation d’un processus.

Le shadow IA fragmente cette logique.

Une multitude de petites évolutions peuvent, cumulées, transformer profondément le travail sans qu’un « grand projet IA » soit jamais présenté.

Or, l’article L.2312-8 du Code du travail prévoit, dans les entreprises concernées, l’information-consultation du CSE sur les questions intéressant notamment les conditions d’emploi et de travail ainsi que sur l’introduction de nouvelles technologies et certains aménagements importants modifiant les conditions de santé, de sécurité ou de travail.

L’article L.2312-38 prévoit par ailleurs une information préalable sur les traitements automatisés de gestion du personnel et une information-consultation préalable concernant les moyens ou techniques permettant un contrôle de l’activité des salariés.

Cela ne signifie pas que chaque nouvelle fonction d’IA déclenche automatiquement une consultation.

L’enjeu consiste à apprécier les usages réels et leurs conséquences concrètes sur l’organisation et les conditions de travail.

C’est précisément pourquoi la construction d’un véritable dialogue social technologique devient importante : attendre qu’un projet soit officiellement baptisé « IA » peut conduire à intervenir trop tard.

CSE et DSI : comment détecter le shadow IA en entreprise ?

La première réponse n’est pas d’interdire. Elle consiste à rendre visible l’invisible.

1. Cartographier les usages, pas seulement les logiciels

La cartographie des usages IA peut rechercher :

les outils officiellement déployés ; les fonctionnalités IA intégrées aux outils métiers ; les services externes utilisés par les salariés ; les extensions et interfaces connectées au système d’information ; les catégories de données potentiellement transmises ; les métiers et processus concernés.

Cette cartographie doit aussi regarder le travail réel.

Un outil peut être officiellement marginal et devenir indispensable dans la pratique.

À l’inverse, une fonctionnalité achetée par l’entreprise peut être très peu utilisée.

2. Construire des règles d’usage compréhensibles

Une charte IA ou numérique peut préciser quels outils peuvent être utilisés, pour quelles données et dans quelles conditions.

Mais une charte ne suffit pas si les salariés ne disposent d’aucune alternative professionnelle adaptée.

Interdire les outils gratuits tout en exigeant les gains de productivité associés à l’IA risque simplement de déplacer les usages dans l’ombre.

C’est l’un des principaux effets rebonds du shadow IA : plus l’écart entre le travail prescrit et les outils réellement nécessaires est important, plus les pratiques invisibles peuvent se développer.

3. Faire du shadow IA un sujet de dialogue social

La gouvernance IA du CSE ne consiste pas à gérer techniquement le système d’information.

Elle consiste à questionner ses conséquences sur le travail :

• Quels métiers utilisent l’IA ?
• Quelles tâches sont automatisées ?
• Quels contrôles humains subsistent ?
• Les objectifs de productivité évoluent-ils ?
• Quelles nouvelles compétences deviennent nécessaires ?

Ces questions permettent de déplacer le débat de la technologie vers les conditions de travail.

Cette démarche est d’autant plus importante que les transformations réglementaires européennes continuent d’évoluer.

4. Examiner la pertinence d’une expertise

Lorsque les conditions légales sont réunies, le CSE peut envisager une expertise nouvelle technologie.

L’article L.2315-94 du Code du travail prévoit notamment le recours à un expert habilité en cas d’introduction de nouvelles technologies ou de projet important modifiant les conditions de santé, de sécurité ou les conditions de travail, dans le cadre prévu par l’article L.2312-8.

L’article L.2315-81 du Code du travail pérmet au comité social et économique faire appel à tout type d'expertise rémunérée par ses soins pour la préparation de ses travaux.

L’expertise peut alors permettre de dépasser l’inventaire technique pour analyser les systèmes, les usages et surtout leurs effets sur le travail.

Le même raisonnement vaut pour des phénomènes moins visibles comme l’IA et l’infobésité au travail : un outil peut simplifier une tâche individuellement tout en intensifiant collectivement les flux, les sollicitations et le rythme de travail.

À retenir

Le shadow IA n’est pas seulement une série d’outils interdits utilisés discrètement par des salariés.

C’est aussi le résultat d’une transformation numérique devenue diffuse, dans laquelle l’intelligence artificielle peut entrer dans l’entreprise par les usages individuels, les comptes personnels, les extensions ou les évolutions silencieuses des logiciels existants.

Pour la direction, l’enjeu est de retrouver la maîtrise du système d’information.

Pour le CSE, il est de retrouver la visibilité sur la transformation du travail.

Car une technologie peut devenir structurante pour l’activité bien avant d’avoir été officiellement reconnue comme un projet.

FAQ : shadow IA, CSE et DSI

Qu’est-ce que le shadow IA ?

Le shadow IA désigne les usages ou fonctionnalités d’intelligence artificielle présents dans l’entreprise sans être totalement identifiés, validés ou encadrés par ses dispositifs de gouvernance, de sécurité et de dialogue social.

Comment détecter le shadow IA en entreprise ?

Il faut croiser l’inventaire technique avec une cartographie des usages réels : outils externes, comptes personnels, extensions, fonctionnalités IA des logiciels existants, données traitées, métiers concernés et tâches réalisées.

Shadow IA et RGPD : quel est le risque ?

Lorsque des salariés transmettent des données personnelles à des systèmes d’IA, leur traitement doit respecter les règles applicables en matière de protection des données. La CNIL recommande notamment d’évaluer les risques et la conformité des solutions d’IA générative utilisées par l’entreprise.

Quel est le rôle du CSE face au shadow IA ?

Le CSE doit notamment examiner les conséquences des technologies sur l’organisation, les conditions de travail, la santé et la sécurité. L’introduction de nouvelles technologies peut relever de l’information-consultation prévue par l’article L.2312-8 lorsque les conditions légales sont réunies.

Le CSE peut-il demander une expertise sur un système d’IA ?

Oui, dans les cas prévus par le Code du travail. Les articles L.2315-94 et L.2315-81 permetent notamment au CSE de recourir à un expert.

Besoin d’analyser les usages IA de votre entreprise ?

Identifier le shadow IA nécessite de croiser système d’information, usages réels et conséquences sur les conditions de travail.

DevEx Consulting accompagne les représentants du personnel dans l’analyse des transformations liées à l’IA et aux systèmes d’information. Retrouvez les modalités et champs d’intervention de l’expertise IA et systèmes informatiques.