Shadow AI dans les PME : quand les collaborateurs utilisent leurs propres outils d’IA

Ce que montrent les études

• Très répandu : dans le Work Trend Index 2024 de Microsoft et LinkedIn (31 000 personnes interrogées dans 31 pays), 75 % des travailleurs du savoir ont déclaré utiliser l’IA au travail. 78 % des utilisateurs d’IA apportent leurs propres outils d’IA.
• Comptes personnels : selon une analyse de Cyberhaven (2024), la plus grande partie de l’utilisation de ChatGPT au travail passait par des comptes personnels plutôt que par des comptes d’entreprise.
• PME suisses : dans l’étude 2025 d’AXA sur le marché du travail des PME, environ un tiers des PME interrogées utilisent déjà l’IA et un bon tiers supplémentaire la teste. Seul un tiers environ des PME utilisant l’IA disposent de directives claires sur la protection des données à ce sujet.

Les chiffres proviennent d’enquêtes et d’analyses de différents acteurs et ne sont pas directement comparables. Mais la tendance est claire : l’IA est utilisée, que l’entreprise l’encadre ou non.

Pourquoi une interdiction aide rarement

Une interdiction générale de l’IA ne fait souvent que déplacer l’utilisation vers le téléphone personnel ou le navigateur privé – là où l’entreprise ne voit plus rien du tout. Il est plus efficace de permettre l’utilisation et de la sécuriser.

Quatre étapes vers un usage encadré de l’IA

1. Inventaire : demandez ouvertement à l’équipe quels services d’IA sont utilisés et pour quoi. Sans chercher de coupable.
2. Définir les services autorisés : choisir un ou deux services avec compte professionnel et contrat. Clarifier où les données sont traitées.
3. Des règles claires : une page suffit. Qu’est-ce qui peut y entrer, et qu’est-ce qui n’y entre jamais (données clients, coordonnées bancaires, numéros AVS, mots de passe, données de santé) ? Plus de détails dans le guide Vos collaborateurs peuvent-ils saisir des données clients dans ChatGPT ? – ou directement avec le modèle de charte IA gratuit.
4. Intercepter les erreurs : sous pression, on oublie les règles. AImori vérifie les saisies sur les sites d’IA localement dans le navigateur et avertit avant l’envoi. Par stratégie, il redirige en outre vers les services autorisés : sur les autres sites d’IA connus apparaît un message ou une page de blocage avec un bouton vers l’outil autorisé. Via Intune ou par stratégie de groupe, l’extension est rapidement installée sur tous les postes de travail, sans serveur et sans comptes utilisateurs.