Les outils d'IA en entreprise dépassent les politiques de gouvernance qui les encadrent
Entre 40 et 65 % des salariés en entreprise déclarent utiliser des outils d'intelligence artificielle non approuvés par leur département informatique, selon les données croisées du rapport IBM "Cost of a Data Breach 2025" et du "Cloud and Threat Report 2026" de Netskope. Cette dernière source précise que 47 % des utilisateurs de l'IA générative en contexte professionnel y accèdent via des comptes personnels non gérés par l'entreprise, court-circuitant ainsi l'ensemble des contrôles de données internes. Plus de la moitié de ces employés reconnaissent y avoir saisi des informations sensibles : données clients, projections financières, processus propriétaires. Ce phénomène a un nom dans l'industrie : le "shadow AI", soit l'usage non supervisé et non encadré d'outils d'IA, qui se déploie en parallèle des politiques de gouvernance que les équipes IT et conformité peinent à formaliser.
Résumé et traduction réalisés par Le Fil IA à partir de MarkTechPost. Lire l'article original →
Ce qui rend ce phénomène particulièrement difficile à endiguer, c'est son moteur : les employés ne contournent pas les règles par malveillance, mais par efficacité. Déboguer du code en le collant dans ChatGPT, produire un résumé pour le conseil d'administration depuis Claude, générer des comptes-rendus de réunion à partir de transcriptions internes, ces usages répondent exactement aux attentes de performance de l'entreprise. Moins de 20 % des employés concernés estiment faire quelque chose d'incorrect. Et 56 % déclarent manquer d'orientations claires. Une politique que les salariés comprennent mais ignorent systématiquement n'est pas un cadre de gouvernance : c'est un simple document de décharge de responsabilité.
L'incident Samsung de 2023 reste la référence la plus citée dans ce domaine, et pour cause. En l'espace de vingt jours après que l'entreprise eut levé son interdiction interne de ChatGPT, trois fuites de données distinctes ont eu lieu : un ingénieur a collé du code source lié aux procédés de fabrication de semi-conducteurs pour corriger des erreurs, un autre a soumis un programme d'identification de défauts d'équipements, et un troisième a transmis des transcriptions de réunions internes pour en extraire les points d'action. Dans les trois cas, Samsung avait levé son interdiction via une simple note de service fixant une limite à 1 024 caractères, sans aucun mécanisme d'application au niveau réseau ni système de classification des contenus au niveau des terminaux. La leçon structurelle n'était pas propre à ChatGPT : elle tenait au fait qu'une politique sans enforcement technique n'est qu'une aspiration. En 2026, c'est toujours le défi central de la gouvernance IA en entreprise : les outils ont une longueur d'avance sur les règles censées les encadrer.
Les entreprises européennes sont doublement exposées : les fuites de données via le shadow AI relèvent du RGPD, et l'AI Act impose des obligations de gouvernance formelles que le shadow AI contourne structurellement.