Dans les directions des systèmes d'information que nous rencontrons, le constat revient souvent : chaque semaine, on découvre qu'un salarié a utilisé son compte personnel sur un assistant grand public. Le marché appelle cela le shadow AI, et la première réponse est souvent défensive : bloquer et surveiller. Nous pensons que la cause est ailleurs, dans l'offre IA de l'entreprise. Quand l'assistant interne est bridé ou moins bon que celui que chacun utilise chez soi, les équipes vont sur ChatGPT avec leur compte personnel. Cet article définit le terme, explique ce qui le fait naître, puis montre comment le faire reculer : regarder ce que les équipes font des outils d'IA que l'entreprise leur donne, et couvrir ce qui manque.
Le shadow AI : définition et causes
Qu'est-ce que le shadow AI ?
Le terme désigne l'usage, par les salariés, d'outils d'intelligence artificielle que l'entreprise ne fournit pas : un assistant grand public consulté depuis un compte personnel, parfois payé de sa poche, ou une application d'IA installée sur son téléphone. Il est construit sur le modèle du shadow IT et vient du monde de la sécurité. On y range parfois deux autres cas : l'agent construit par une équipe métier sans déclaration, et la fonction d'IA activée dans un logiciel métier sans que personne ne la rattache à un budget. Ces deux cas tournent le plus souvent sur des outils que l'entreprise administre, ce qui permet de les retrouver. Les comptes personnels échappent à tout ce qu'elle administre.
Pourquoi les salariés passent-ils par leurs comptes d'IA personnels ?
Parce que l'entreprise ne leur fournit pas l'IA dont ils ont besoin. Soit il n'y a pas d'assistant d'entreprise, soit il arrive tard, il est bridé ou moins bon que la version grand public, et personne n'a montré aux équipes à quoi il sert. Deux mécanismes creusent l'écart. Plusieurs équipes avancent en parallèle, chacune sur son périmètre : le même besoin se retrouve traité sur trois outils, et un quatrième, personnel, comble les trous. La facture est éclatée entre licences, consommation de modèles et fonctions d'IA incluses dans les logiciels métier, si bien que personne ne voit qu'un outil payé sert peu. Les salariés concernés cherchent à mieux faire leur travail avec ce qui marche ; ils ne cherchent pas à contourner une règle. Leur choix renseigne sur l'offre interne, à condition de le lire.
Ce que l'entreprise perd sans mesure de l'usage
Que perd une entreprise qui ne voit pas ses usages IA ?
D'abord la capacité de mesurer le retour sur investissement. 30 à 50 % des initiatives IA ne rapportent pas ce qu'elles devraient : Gartner compte au moins 30 % de preuves de concept abandonnées, et plus de 80 % des entreprises interrogées par McKinsey ne voient pas encore d'effet de l'IA générative sur leur résultat opérationnel. Sans vue d'ensemble, impossible de savoir de quel côté de cette statistique se trouvent vos propres projets. Vient ensuite le coût complet de l'IA, licences et consommation comprises : il reste illisible tant que les usages ne sont pas consolidés tous outils confondus. Le gaspillage suit le même chemin : il ne se voit pas, donc il ne se coupe pas.
Que révèle le shadow AI ?
Il dit où la demande existe et où l'offre interne ne la sert pas. Une licence payée qui ne sert pas et un compte personnel ouvert tous les jours décrivent souvent le même problème : une IA d'entreprise qui ne répond pas au besoin. Nous posons alors une question : qu'est-ce que l'entreprise ne propose pas, pour que les équipes aillent chercher dehors ? Sa réponse est un livrable à part entière de l'audit : la demande non servie. Elle se lit dans ce que les équipes font des outils d'IA de l'entreprise, là où elles abandonnent (tâches lâchées en cours, questions répétées, équipes qui ne reviennent pas), et se confirme en entretien.
Faut-il bloquer les outils que l'entreprise ne fournit pas ?
Le blocage seul déplace le problème. Les usages continuent sur des équipements personnels, hors de toute vue, et l'entreprise perd l'information sur le besoin. Le shadow AI recule quand l'IA de l'entreprise devient plus simple et plus utile que le compte personnel. Il faut pour cela savoir ce que vos équipes font des outils que vous leur donnez, corriger ce qui les fait décrocher et ouvrir les usages qui manquent. Une politique d'usage a sa place dans ce dispositif. Elle tient mieux quand l'entreprise propose une vraie alternative, et quand ses règles s'appuient sur des faits mesurés.
Mesurer ce que vos équipes font de l'IA que vous leur donnez
Comment mesurer l'usage de vos outils d'IA sans rien installer ?
Nous partons des journaux et des exports que vous produisez déjà, sur les plateformes que vous administrez : Azure OpenAI et modèles internes, Dust, Copilot, agents sur mesure. Sans rien installer sur les postes et sans réinstrumentation : remise d'exports ou connexion en lecture seule, la modalité exacte est arbitrée en réunion de cadrage. Idun Cockpit, notre outil de mesure, consolide ces journaux en une seule lecture de tous les outils d'IA que vous mettez à disposition : cas d'usage détectés avec retour sur investissement estimé, licences réellement utilisées, gaspillage identifié, coût complet de l'IA. Il montre aussi où ces outils déçoivent : les impasses, les connaissances manquantes, les équipes qui abandonnent. C'est là que le shadow AI a le plus de chances de prendre le relais. Un point d'indépendance compte autant que la méthode : aucun produit Idun n'est recommandé dans les livrables. L'analyse sert votre décision, elle ne pousse pas un outil.
Que donnent les journaux et que donnent les entretiens ?
Les journaux donnent le factuel : quels usages, à quelle fréquence, à quel coût, avec quel taux d'erreur. Les entretiens donnent l'intention et le contexte : pourquoi cet usage existe, pour quel processus, avec quelle contrainte. Les entretiens de cadrage avec la direction des systèmes d'information et les directions métier sont une étape obligatoire de la mission : l'outil ne les remplace pas, il les rend factuels. C'est la combinaison des deux qui fait l'audit. Une analyse purement automatique passerait à côté du contexte ; des entretiens seuls resteraient des impressions.
Et les IA grand public en comptes personnels ?
Nous ne collectons pas cette donnée, et Idun Cockpit ne la voit pas. Un assistant consulté depuis un compte personnel échappe aux plateformes que vous administrez : prétendre le mesurer supposerait de regarder les postes de travail ou le trafic réseau, et nous ne faisons ni l'un ni l'autre. Nous nommons cet angle mort et nous le traitons par la question de l'offre interne : qu'est-ce que vous ne proposez pas, pour que les équipes aillent chercher dehors ? La réponse est un livrable de l'audit ; elle ne prétend pas être une mesure.
Des usages, jamais des personnes
Comment l'analyse respecte-t-elle les collaborateurs ?
La crainte d'un suivi individuel est légitime, chez les représentants du personnel comme chez les dirigeants. Notre réponse tient en une phrase : nous analysons des usages, jamais des personnes. Concrètement : pseudonymisation et agrégation par conception, le statut exact du traitement étant validé avec votre délégué à la protection des données. Lecture seule, aucune écriture dans vos systèmes. Aucun accès aux données avant la signature : l'avant-vente se fait en entretien. Pas de scan des postes de travail. Zéro réinstrumentation imposée : nous consommons les journaux existants. Les étapes de validation françaises, délégué à la protection des données et consultation du comité social et économique, se préparent d'autant mieux que le dispositif est conçu ainsi dès le départ.
Où la donnée est-elle traitée ?
Par défaut, l'analyse s'exécute dans notre environnement situé dans l'Union européenne, sur supports chiffrés, à partir des exports fournis. Si votre délégué à la protection des données ou votre politique de sécurité l'exige, la chaîne s'exécute dans votre périmètre et la donnée ne sort pas de chez vous. La modalité est arbitrée en réunion de cadrage. Un réseau isolé reste possible au titre du déploiement sur site. Cette souplesse répond aux exigences juridiques fréquentes sans transformer la mission en projet d'infrastructure.
Du constat à la décision : rationaliser le parc IA
Comment passer de la mesure aux arbitrages ?
La restitution dit quoi industrialiser en premier, quoi couper et qui former sur quoi. Elle repère aussi les doublons : un même cas d'usage détecté sur trois outils appelle une seule implémentation. Pour le shadow AI, l'arbitrage porte sur l'offre IA de l'entreprise : améliorer l'assistant en place, le remplacer, ou ouvrir l'usage qui manque. Les arbitrages de licences se calent sur les renouvellements. L'ensemble se projette dans une feuille de route, avec un rapport prêt pour le comité de pilotage. Côté coûts, quatre leviers cumulables portent l'optimisation : routage de modèle, mise en cache, compression du contexte, coupe du gaspillage. Visé : -30 à -50 % de coût sur les usages ciblés et 2 à 4 fois moins d'erreurs.
Quelle place pour la conformité dans cette démarche ?
Un argument de fond, qui vient après la valeur. Le règlement européen sur l'intelligence artificielle fixe des obligations selon le niveau de risque de chaque système, ce qui suppose de savoir lesquels on utilise ; l'échéance sur les systèmes à haut risque est repoussée à décembre 2027. Une mesure des usages construite pour piloter la valeur sert ce besoin par la même occasion pour les outils que l'entreprise met à disposition : leur inventaire existe, à jour et documenté. Aborder le sujet par la valeur plutôt que par l'obligation change la dynamique interne : les équipes coopèrent plus volontiers avec une démarche qui améliore leur outillage qu'avec un exercice défensif.
Par où commencer ?
Trois signaux justifient de lancer une analyse : un renouvellement de licences à arbitrer, des coûts IA illisibles pour la direction financière, un responsable IA récemment nommé qui doit faire l'inventaire. Pour le shadow AI, le signal est plus simple : un assistant d'entreprise que les équipes délaissent au profit de leur ChatGPT personnel. Le parcours démarre par un rendez-vous de découverte de 30 minutes, suivi du cadrage avec la direction des systèmes d'information et les directions métier, puis de l'analyse à partir de vos journaux et de la restitution. Notre page services détaille la mission : l'audit de l'usage réel de l'IA, puis Idun Cockpit à l'abonnement si vous le gardez. Pour situer notre façon de travailler, notre page agence IA présente le cabinet et sa méthode.
