Shadow AI, défini
L'IA fantôme désigne l'utilisation d'outils et services d'IA par les employés sans la connaissance, l'approbation ou la supervision des équipes IT et sécurité.
C'est l'évolution à l'ère de l'IA de l'informatique fantôme, couvrant les chatbots grand public, les comptes personnels sur assistants IA, les fonctionnalités IA intégrées dans des SaaS approuvés, et les agents IA autonomes.
La caractéristique principale du shadow AI n’est pas l’outil, mais l’absence de supervision. Le même chatbot peut être une IA sanctionnée dans une entreprise et du shadow AI dans une autre. Ce qui compte, c’est que l’informatique et la sécurité sachent qu’il est utilisé, aient examiné la gestion des données et puissent voir les flux entrants.
Shadow AI est rarement malveillant. Les employés utilisent l'IA parce qu'elle accélère le travail, et la plupart ignorent qu'un paragraphe collé peut constituer un transfert de données vers un tiers non vérifié. C'est pourquoi la réponse moderne est la découverte, la politique et le coaching plutôt que la punition. La version courte de cette définition se trouve dans Aona's glossaire de gouvernance IA, et une version interactive avec quiz d’auto-évaluation est disponible sur qu’est-ce que le shadow AI, l’explication interactive.
Dernière mise à jour : juillet 2026
Toutes les statistiques de cette page indiquent leur source et année en ligne, et proviennent des pages de statistiques sourcées d’Aona. Ce guide est une information générale pour les équipes de sécurité, informatique et gouvernance, pas un conseil juridique.
Différences entre shadow AI et shadow IT
L’ombre IA hérite du problème central de l’ombre IT, technologie utilisée sans approbation, mais change sa vitesse, sa forme et sa visibilité. La traiter comme une ombre IT ordinaire explique pourquoi tant d’organisations la sous-estiment.
Faites défiler horizontalement pour comparer toutes les colonnes.
| Dimension | Shadow IT | IA fantôme |
|---|---|---|
| Ce que cela couvre | Logiciels, services cloud et appareils non approuvés | Outils IA non approuvés, comptes IA personnels, fonctionnalités IA dans SaaS approuvés, et agents IA |
| Comment les données sortent | Fichiers stockés ou synchronisés dans des applications non autorisées | Données collées ou téléchargées dans des requêtes, puis traitées et parfois conservées par des modèles tiers |
| Vitesse d'exposition | S'accumule sur des semaines ou des mois | Une seule requête peut exposer des données sensibles en quelques secondes |
| Visibility | Apparaît dans les journaux réseau, les achats et les notes de frais | Souvent invisible : les outils gratuits dans le navigateur, les comptes personnels et les fonctionnalités intégrées ne laissent aucune trace d'achat |
| Réponse typique | Bloquer l'application ou sanctionner une alternative | Découverte plus politique, DLP et coaching, car le blocage total pousse l'usage vers les appareils personnels |
La différence pratique réside dans l’unité d’exposition. Le shadow IT fuit des données par le lieu de stockage des fichiers. Le shadow AI fuit des données par ce que les gens tapent et téléchargent, une requête à la fois, vers des services qui peuvent les conserver, apprendre d’elles ou les traiter dans une autre juridiction.
À quoi ressemble le shadow AI en pratique
Six schémas expliquent la majorité de l’ombre IA en entreprise. Aucun ne requiert une mauvaise intention, et plusieurs peuvent survenir dans un logiciel déjà approuvé par l’entreprise.
Collage de données sensibles dans ChatGPT
Un employé colle des dossiers clients, contrats, données financières ou code source dans ChatGPT sur un compte gratuit ou personnel pour les résumer ou réécrire. Les données quittent l'entreprise en une requête, sans journal et sans accord de traitement des données.
Comptes personnels Copilot et assistants
Le personnel utilise des abonnements personnels Microsoft Copilot, Claude ou Gemini pour des documents professionnels car l'entreprise n'a pas délivré de licences. Le contenu professionnel passe par des conditions d'utilisation grand public au lieu d'un accord entreprise.
Fonctionnalités IA dans SaaS approuvés
Les fournisseurs activent des assistants IA dans des logiciels approuvés avant l'arrivée de l'IA. Les outils de design, CRM, RH et réunions envoient désormais du contenu à des fournisseurs de modèles jamais évalués en sécurité.
Agents IA et connecteurs MCP
Les employés configurent des agents autonomes, GPT personnalisés ou connecteurs MCP avec accès permanent aux emails, fichiers ou systèmes internes. Un agent non évalué peut lire et agir sur bien plus de données qu'une seule requête.
Assistants et preneurs de notes IA pour réunions
Des preneurs de notes IA non validés rejoignent les appels et enregistrent des discussions pouvant inclure données clients, termes d'accord ou sujets RH, puis stockent les transcriptions sur des infrastructures non évaluées.
Extensions navigateur IA
Des extensions gratuites qui résument, traduisent ou complètent automatiquement peuvent lire le contenu complet de chaque page consultée par un employé, y compris consoles d'administration internes et dossiers clients.
Pourquoi le shadow AI se produit
L’ombre IA est une conséquence prévisible des incitations, non un problème de discipline. Cinq forces la poussent dans presque toutes les organisations.
L'IA fait vraiment gagner du temps
Les employés adoptent les outils IA car ils fonctionnent. Rédaction, résumé, codage et analyse sont nettement plus rapides, et sous pression, les gens utilisent tout ce qui aide.
L'IA grand public ne nécessite pas d'achat
La plupart des outils IA sont des applications gratuites ou peu coûteuses dans le navigateur, avec une inscription en quelques secondes. Pas de facture, pas d'installation, rien que les processus traditionnels d'approbation logicielle ne détectent.
L'approbation ne suit pas le rythme
De nouveaux outils et fonctionnalités IA sortent chaque semaine. Les cycles d'examen de sécurité conçus pour des achats annuels ne peuvent pas les évaluer aussi vite que les employés les découvrent.
Les interdictions totales se retournent contre elles
Quand les entreprises bloquent l'IA complètement, l'usage migre vers les téléphones personnels et comptes domestiques, où l'organisation n'a aucune visibilité ni contrôle.
L'IA arrive dans les outils approuvés
Même les employés qui essaient de respecter les règles finissent par utiliser de l’IA non contrôlée, car les fournisseurs intègrent des fonctionnalités d’IA dans des produits SaaS approuvés bien avant l’existence de ces fonctionnalités.
Les trois risques qui font du shadow AI un problème de sécurité
Le risque d’ombre IA se concentre en trois zones. Chacune existe parce que des données franchissent une frontière organisationnelle sans revue, accord ou enregistrement.
Fuite de données
Les informations sensibles saisies dans les requêtes ou téléchargements de fichiers quittent le contrôle de l’organisation et peuvent être conservées par le fournisseur d’IA ou utilisées pour l’entraînement des modèles. 48 % des employés ont saisi des informations non publiques de l’entreprise dans des outils d’IA, selon le Cisco AI Readiness Index (2024).
Violations de conformité
Le traitement de données réglementées par des services d’IA non approuvés enfreint les règles de confidentialité et sectorielles, car aucun accord de traitement des données, contrôle de résidence ou piste d’audit n’existe. Les amendes prévues par le règlement européen sur l’IA peuvent atteindre jusqu’à 7 % du chiffre d’affaires annuel mondial pour les systèmes d’IA interdits (Règlement 2024/1689).
Perte de propriété intellectuelle
Le code source, les feuilles de route produit, les termes des contrats et les méthodes propriétaires collés dans des outils d’IA externes peuvent sortir définitivement de l’entreprise, sans moyen de prouver leur destination ni de les récupérer.
Ces risques se cumulent dans l’incident lui-même : les violations impliquant des outils d’IA sont plus difficiles à détecter et contenir que les violations classiques. Les violations de données impliquant des outils d’IA coûtent en moyenne plus de 6,5 millions de dollars, selon le IBM Cost of a Data Breach Report (2025).
Statistiques sur le shadow AI
Dix chiffres sourcés quantifiant l’adoption, l’exposition et la préparation à la gouvernance de l’ombre IA. Chaque statistique est une phrase complète avec sa source et son année, prête à être citée.
- 55%
55 % des employés utilisent des outils d’IA non approuvés au travail, selon le Salesforce State of IT Report (2024).
- 78%
78 % des employés qui utilisent l’IA au travail ont apporté leurs propres outils plutôt que d’utiliser ceux fournis par l’employeur, selon le Microsoft WorkLab AI at Work Report (2025).
- 52%
52 % des employés déclarent qu’ils ne diraient pas à leur manager qu’ils ont utilisé l’IA pour accomplir une tâche professionnelle, selon le Microsoft WorkLab AI at Work Report (2025).
- 48%
48 % des employés ont saisi des informations non publiques de l’entreprise dans des outils d’IA, selon le Cisco AI Readiness Index (2024).
- 46%
46 % des employés ont collé des données confidentielles de clients dans un chatbot d’IA public, selon le Cyberhaven AI Data Security Report (2024).
- 158+
L’entreprise moyenne utilise activement plus de 158 outils d’IA parallèles, selon le Gartner AI Governance Survey (2025).
- $6.5M+
Les violations de données impliquant des outils d’IA coûtent en moyenne plus de 6,5 millions de dollars, selon le IBM Cost of a Data Breach Report (2025).
- 67%
67 % des RSSI déclarent que leur organisation a connu au moins un incident de sécurité lié à un outil d’IA non autorisé au cours des 12 derniers mois, selon le ISACA State of AI Security Survey (2025).
- 23%
Seules 23 % des organisations disposent d’un cadre formel de gouvernance de l’IA, selon le Deloitte AI Governance Global Survey (2025).
- 60%
60 % des organisations n’ont pas de politique formelle d’utilisation de l’IA, selon l’IBM Institute for Business Value (2025).
La liste complète des statistiques sur le shadow AI, avec catégories et méthodologie, est disponible sur statistiques shadow IA 2026 page.
Comment détecter le shadow AI
Aucun contrôle unique ne voit toute l’ombre IA. Les programmes matures combinent quatre méthodes de détection, en privilégiant navigateur et endpoint, car c’est là que les prompts ont lieu.
Télémétrie du navigateur et du terminal
Observez l’utilisation de l’IA au moment de la saisie : quels outils d’IA les employés ouvrent, quelles catégories de données ils soumettent et quels comptes ils utilisent. C’est la seule couche qui voit l’usage de comptes personnels sur des appareils gérés.
Analyse du trafic réseau
Identifiez les connexions aux services et API d’IA connus au niveau du proxy ou de la passerelle web sécurisée. Efficace pour l’usage sur le réseau, mais aveugle aux appareils personnels et aux fonctionnalités d’IA intégrées dans les SaaS approuvés.
Revue des identités et OAuth
Auditez les applications, agents et intégrations d’IA connectés aux identités d’entreprise. Les autorisations OAuth révèlent les outils d’IA ayant un accès permanent aux emails, fichiers et calendriers sans avoir été examinés.
Revue de la posture SaaS
Inventoriez les fonctionnalités d’IA activées dans les produits SaaS sanctionnés et les sous-traitants associés, afin d’évaluer l’IA intégrée avec la même rigueur que les outils autonomes.
Demander aux employés de s'auto-déclarer ne remplace pas la télémétrie : 52 % des employés déclarent qu'ils ne diraient pas à leur manager qu'ils ont utilisé l'IA pour accomplir une tâche professionnelle, selon le Microsoft WorkLab AI at Work Report (2025). Aona's découverte de shadow IA cartographie les outils d’IA utilisés dans l’ensemble des effectifs, et la détection du shadow AI surveille en temps réel les requêtes risquées dans le navigateur.
Comment gouverner le shadow AI
L’objectif de la gouvernance de l’ombre IA n’est pas zéro IA, mais zéro IA non gouvernée. Cinq étapes mènent une organisation du point aveugle à un programme géré.
Découvrez l’usage réel
Commencez par des preuves, pas des suppositions. Cartographiez quels outils d’IA sont utilisés, par qui et avec quelles données, avant d’écrire des règles pour un paysage invisible.
Publiez une politique d’utilisation acceptable
Indiquez aux employés quels outils sont approuvés, quelles catégories de données sont interdites et comment demander un nouvel outil. Rédigez-la pour les employés, pas pour les auditeurs.
Approuvez les outils sur lesquels les employés comptent
Lorsqu’un outil largement utilisé passe la revue de sécurité, sanctionnez-le par un accord d’entreprise. Répondre à la demande avec une option gouvernée réduit réellement l’usage parallèle.
Appliquez la DLP au moment de la saisie
Empêchez les données sensibles d’entrer dans les outils d’IA grâce à des contrôles agissant dans le navigateur et sur le terminal, là où les requêtes sont saisies, plutôt qu’au seul niveau du réseau.
Coachez en temps réel et rapportez
Guidez les employés au moment d’une requête risquée, puis rapportez l’adoption, les incidents et les changements de comportement à la direction sécurité comme preuve d’audit.
Deux points de départ gratuits : le Modèle de politique d’usage acceptable de l’IA pour l’étape deux, et le modèle de plan de réponse aux incidents shadow AI pour le cas où des données sensibles sont déjà entrées dans un outil d’IA.
Une organisation australienne de santé a réduit les requêtes Shadow AI de 92,8 % en 30 jours
L'organisation avait approuvé Microsoft Copilot, mais le personnel utilisait également plus de sept plateformes IA non autorisées. Lors de l'inspection initiale, Aona a détecté 446 requêtes Shadow IA soumises en dehors de l'outil approuvé et 8 904 visites sur des expériences IA non autorisées. Après activation des garde-fous, les requêtes Shadow IA sont tombées à 32 en 30 jours.
Le client est anonymisé pour des raisons de confidentialité. Tous les détails, y compris la méthode de déploiement, sont disponibles dans les études de cas Aona.
Ressources associées sur le shadow AI
Ce guide est la référence longue. Ces pages couvrent la définition courte, l’explicateur interactif, la liste complète des statistiques et les modèles pour agir.
Définition du glossaire Shadow AI
Définition courte de shadow AI dans le glossaire de gouvernance IA d’Aona.
Ressource ouverte →
Interactif : est-ce du shadow AI ?
Une explication interactive rapide et un quiz d’auto-évaluation sur les scénarios de shadow AI.
Ressource ouverte →
Statistiques sur l’IA fantôme 2026
Liste complète et numérotée des statistiques sourcées sur l’IA fantôme derrière ce guide.
Ressource ouverte →
Modèle de politique d’usage acceptable de l’IA
Un modèle de politique gratuit et modifiable pour définir l’usage approuvé de l’IA par les employés.
Ressource ouverte →
Plan de réponse aux incidents Shadow AI
Un modèle pour réagir lorsqu’une donnée sensible a été saisie dans un outil d’IA.
Ressource ouverte →
Détection du Shadow AI avec Aona
Comment Aona détecte et guide l’usage risqué de l’IA en temps réel, dans le navigateur.
Ressource ouverte →