Interdire n’empêche pas forcément d’utiliser
Un salarié doit résumer un document, traduire un mail ou comparer deux fichiers. L’outil interne est lent, inaccessible ou n’existe pas. Il ouvre alors un service qu’il connaît déjà avec son compte personnel.
Le Work Trend Index 2026 présenté par Microsoft en Norvège le 9 septembre indique notamment une forte progression des usages IA et pointe l’usage d’outils privés, souvent appelé shadow AI, comme un sujet de sécurité. Ce signal mérite autre chose qu’un simple rappel au règlement.
Cherche ce que les gens essaient de faire
Si dix personnes contournent la règle pour la même tâche, tu as probablement deux problèmes. Un risque de sécurité, oui. Mais aussi un besoin de travail qui n’a pas de solution correcte.
Répondre uniquement par une interdiction peut déplacer l’usage sans le rendre visible. Le collègue qui a gagné vingt minutes hier ne renonce pas forcément à ce gain parce qu’une affiche dit « IA interdite ».
La gouvernance fonctionne mieux quand elle donne un chemin acceptable. Quel outil utiliser ? Avec quel compte ? Quelles données peut-on y mettre ? Que faire pour un cas sensible ?
Encadrer l’usage ne veut pas dire surveiller tout le monde
Si un outil reçoit des données personnelles de clients ou de collaborateurs, le RGPD continue de s’appliquer. La CNIL recommande notamment de ne transmettre que les informations que l’on est autorisé à partager et, pour les données personnelles ou les documents sensibles, de choisir un mode de déploiement adapté au risque.
Et repérer le shadow AI ne donne pas carte blanche pour surveiller les salariés en continu. Un dispositif de contrôle doit rester justifié, proportionné et porté à la connaissance des personnes, avec consultation des représentants du personnel lorsque les règles applicables l’exigent.
Repères juridiques : CNIL : IA générative en entreprise · CNIL : contrôle de l’activité des personnes employées.
Si la réponse tient dans une procédure de douze pages et nécessite trois validations, le shadow AI a encore de beaux jours devant lui.
Je traiterais les usages cachés comme une source d’information. Pas pour surveiller individuellement les personnes, mais pour repérer les tâches qui poussent au contournement.
Ensuite, on peut fournir une solution encadrée, former sur un cas réel et expliquer le risque avec des exemples concrets. La sécurité devient alors une manière de rendre l’usage soutenable, pas seulement une barrière.
Signal de départ : Microsoft Norge, 9 septembre 2026. Le lien pointe vers la source utilisée pour cet article.