Deux tiers de vos équipes utilisent une IA interdite

En fournissant un outil autorisé qui fait le travail au moins aussi bien que celui qu’on veut interdire. C’est la seule mesure qui réduise le volume plutôt que de le rendre invisible, et toutes les autres reviennent à décider si vous préférez un risque que vous voyez ou un risque que vous ne voyez pas.

Le chiffre qui cadre le sujet vient d’une enquête menée en avril 2026 auprès de 1 250 cadres d’entreprises de plus de 500 millions de dollars de revenus, hors métiers techniques. 66 % ont utilisé au travail un outil d’IA qu’ils pensaient interdit par leur propre entreprise, et plus d’un tiers y ont saisi des données clients.

Ce que le chiffre dit vraiment

Il ne dit pas que deux tiers des salariés sont indisciplinés. Il dit que la règle n’a pas tenu face à l’écart entre ce que le travail demande et ce que l’entreprise a fourni, et cet écart est documenté dans la même enquête : 72 % estiment mieux savoir se servir de l’IA pour leur métier que l’équipe chargée de la piloter chez eux.

Le détail le plus instructif est ailleurs, dans une réponse qu’on cite rarement. Près de la moitié déclarent préférer utiliser une IA sans le dire plutôt que de risquer qu’on le leur refuse, ce qui signifie que la demande d’autorisation est perçue comme un mécanisme de rejet et non comme un mécanisme d’arbitrage.

Cette perception a une conséquence méthodologique qu’il faut avoir en tête avant de commander un audit interne. Une organisation où l’on préfère ne pas demander est une organisation où l’on préfère aussi ne pas répondre honnêtement à un questionnaire, donc vos chiffres internes sous-estiment le phénomène, systématiquement et dans des proportions que vous ne pouvez pas estimer.

Pourquoi l’interdiction échoue, mécaniquement

Parce qu’une règle écrite en langue naturelle se contourne par une phrase en langue naturelle, ce qui est exactement le raisonnement que nous appliquons aux agents. Une limite qui tient est un droit non accordé, une action qui n’existe pas, une validation inscrite dans le produit, jamais une consigne aussi bien rédigée soit-elle.

Le blocage réseau paraît être la version technique de la limite, et il n’en est pas une. Il empêche l’accès depuis le poste de travail, il n’empêche rien depuis le téléphone personnel posé à côté du clavier, et il transforme un usage que vous pouviez voir dans vos journaux en un usage dont il ne reste aucune trace. Le volume ne baisse pas, votre visibilité disparaît.

Il reste des cas où le blocage est la bonne décision, et il faut les nommer pour ne pas passer pour naïf. Un poste manipulant des données de santé, un environnement client sous contrainte réglementaire, une phase de due diligence : là, le coût du contournement est assez élevé pour que l’interdiction produise l’effet attendu. Comme politique générale d’une ESN de trente personnes, elle ne produit que de l’angle mort.

Le risque réel, pour une ESN

Il n’est pas moral et il n’est pas théorique : c’est une clause de confidentialité que vous avez signée. Un dossier de compétences, un cahier des charges, une architecture client ou une grille tarifaire collés dans un outil grand public sortent du périmètre que vous avez garanti par écrit, et la responsabilité est la vôtre quelle que soit la personne qui a fait le copier-coller.

Le deuxième risque est celui des données personnelles, et il est plus large qu’on ne le croit. Un CV comporte un nom, un parcours, souvent une adresse et parfois beaucoup plus. Le traiter dans un service dont vous n’avez pas vérifié la localisation ni les conditions de réutilisation est un transfert que vous n’avez ni documenté ni fait figurer dans votre registre.

Le troisième est plus insidieux et rejoint un sujet que nous avons déjà traité. Un salarié qui colle un document dans un outil grand public y colle aussi ce que ce document contient, y compris ce qu’il n’a pas lu, et un texte peut porter des instructions destinées au modèle qui le lira. L’usage clandestin supprime précisément le cloisonnement qui rendait cette manipulation sans effet.

Ce qui marche, en trois décisions

Donnez un outil autorisé avant d’écrire la règle. L’ordre compte plus que le contenu. Une charte publiée sans alternative crée un choix entre désobéir et travailler moins bien, et vous connaissez déjà le résultat de ce choix.

Écrivez la liste de ce qui ne sort jamais, en trois lignes maximum. Les données nominatives de candidats, les documents portant le nom d’un client, les éléments financiers. Une liste courte est retenue et appliquée ; un document de douze pages est classé et oublié le jour de sa publication.

Rendez la demande d’exception facile et rapide. Si l’autorisation d’essayer un outil prend trois semaines et passe par un comité, vous avez construit la machine à usage clandestin décrite plus haut. Un délai de quarante-huit heures et une réponse motivée changent le comportement bien davantage qu’une sanction annoncée.

Ces trois décisions ont un point commun : aucune ne repose sur la surveillance. C’est délibéré, parce qu’une politique de surveillance sur ce sujet précis a un coût social élevé, un rendement faible, et qu’elle vous met en position d’avoir à consulter le CSE sur un dispositif de contrôle avant même d’avoir réglé le problème d’origine.

Comment mesurer l’usage sans surveiller les gens

La question arrive toujours, parce qu’une direction qui découvre le sujet veut d’abord savoir où elle en est. Il existe une façon honnête de le faire, et elle ne passe pas par la lecture des journaux de navigation.

Commencez par ce que votre système d’information vous dit déjà sans effort. Les domaines contactés depuis le réseau de l’entreprise, agrégés et non nominatifs, donnent une image du volume et de la variété des outils utilisés, sans désigner personne. C’est suffisant pour dimensionner le problème et pour choisir quel outil autoriser en premier, ce qui est la seule décision que la mesure doit éclairer.

Complétez par une question posée franchement, en expliquant qu’elle ne servira pas à sanctionner. « De quel outil vous serviriez-vous si tout était permis » obtient des réponses là où « utilisez-vous des outils interdits » n’en obtient aucune, et les deux questions cherchent la même information. La première vous donne en plus la raison, c’est-à-dire ce qui manque dans ce que vous fournissez.

Ce qu’il faut éviter mérite d’être nommé, parce que la tentation est réelle. Un dispositif nominatif de contrôle de l’usage des outils par les salariés relève de l’information et de la consultation du CSE avant sa mise en place, et déclencher cette procédure pour un problème que vous alliez de toute façon résoudre en fournissant un outil est un mauvais échange. La mesure sert à choisir, pas à établir des responsabilités individuelles.

Le lien avec l’obligation de formation

L’article 4 de l’AI Act impose depuis le 2 février 2025 un niveau suffisant de maîtrise de l’IA aux personnes qui l’utilisent pour le compte de l’entreprise, et c’est une obligation de résultat sans format imposé. Ce cadre change la lecture du sujet, parce qu’il déplace la question de la discipline vers la compétence.

Une organisation où deux tiers des salariés utilisent des outils que personne n’a validés n’est pas seulement exposée à une fuite de données : elle est dans l’incapacité de démontrer qu’elle a formé qui que ce soit, puisqu’elle ne sait pas à quoi. L’obligation et le risque se traitent donc par le même geste, ce qui est rare et vaut d’être exploité.

C’est aussi l’argument le plus efficace en interne, quand il faut convaincre une direction que le sujet mérite un budget. Le shadow IA n’est pas un problème de règlement intérieur, c’est la preuve que vos équipes ont un besoin réel auquel personne n’a répondu, et le seul plan qui fonctionne consiste à y répondre.