Cette page est en noindex, les liens sont nofollow et l’article n’est lié depuis aucune page du site.
L’IA s’est installée dans le quotidien des salariés plus vite que les règles censées l’encadrer. C’est ce que montre la deuxième édition du Baromètre IA Entreprise et Durabilité, menée en mars 2026 auprès de 826 professionnels de l’IT et du digital en France, au Royaume-Uni, en Allemagne et en Espagne. Selon l’étude, 66 % des répondants constatent du Shadow AI, c’est-à-dire l’usage d’outils d’IA non validés par leur entreprise.
Coauteur du baromètre avec Laurent Inard (Forvis Mazars), Dejan Glavas, professeur de finance et IA à l’ESSCA School of Management, revient sur ces angles morts et sur les règles à poser.
Des outils validés qui peinent à rivaliser
Pour Dejan Glavas, l’outil validé arrive souvent après l’habitude. Parmi les répondants qui constatent un Shadow AI répandu alors que leur entreprise fournit ses propres outils, trois raisons reviennent. L’habitude vient en tête, car les salariés avaient adopté un assistant avant que leur employeur en propose un. Suivent la performance, l’outil fourni étant généralement jugé moins bon, et le confort d’usage, des outils internes étant parfois plus lents ou moins pratiques.
Selon lui, un outil validé qui soutient la comparaison avec ceux du marché fait reculer le Shadow AI plus sûrement qu’un rappel au règlement. Le phénomène est plus marqué en France, où une entreprise sur cinq le décrit comme répandu, contre une sur dix dans les trois autres pays. Il avance deux pistes. D’abord, l’encadrement : moins d’une entreprise française sur deux forme ses salariés à l’IA, contre trois sur quatre au Royaume-Uni. « Quand la règle et la formation arrivent tard, l’usage s’installe seul », résume-t-il. Ensuite, l’offre interne : plus de quatre entreprises françaises sur dix n’ont pas encore d’outil pour interroger leurs documents internes avec l’IA.
Sur l’interdiction, le constat est sévère. Une entreprise sur huit constate que le Shadow AI continue malgré une interdiction claire, tandis que la tolérance est la réponse la plus fréquente, avec 24 %. Dejan Glavas juge cette position « la plus fragile », car l’entreprise sait et laisse faire, avec une question de responsabilité qui se pose le jour où des données sortent. Il estime que l’interdiction garde son sens lorsqu’elle est précise, par exemple pour les données clients, les éléments de paie ou un contrat en négociation. Pour le reste, il plaide pour un encadrement : dire quels usages sont permis, avec quels outils et sur quelles données, puis fournir un outil validé de bon niveau.
Des usages acceptés, mais peu encadrés
La transcription des réunions arrive en tête des usages sous-estimés. Quatre entreprises sur cinq utilisent des modèles de langage pour la bureautique, notamment pour les résumés, les comptes rendus de visioconférences et la rédaction de mails. En France, quatre répondants sur dix indiquent que le consentement à l’enregistrement est demandé de façon explicite et tracée, tandis que pour quatre autres sur dix, il reste informel ou a disparu.
Une réunion contient des noms, des avis sur des personnes, parfois des secrets d’affaires, ce qui relève d’abord du RGPD, le règlement européen sur les données personnelles. Le recrutement est un autre cas cité : faire classer des candidatures par une IA paraît anodin, mais ces usages peuvent relever des systèmes à haut risque de l’AI Act. Le code, enfin, pose la question de la dette technique et des compétences. Plus de la moitié des entreprises qui développent déclarent qu’au moins un quart de leur code est assisté par l’IA, un gain de productivité qui peut s’accompagner d’une dette technique lorsque la relecture prend du retard.
Sur le cadre légal, Dejan Glavas considère que le texte fait bien ce pour quoi il a été écrit. Depuis le 2 août 2026, il impose d’informer une personne qu’elle échange avec une machine et de rendre identifiables les contenus générés par l’IA. Les règles applicables aux systèmes à haut risque, comme le recrutement, s’appliqueront en décembre 2027. Sa limite, selon lui, tient à son objet : l’AI Act encadre les systèmes et ceux qui les fournissent ou les déploient, alors qu’un salarié qui colle un document dans son assistant personnel relève surtout de la politique interne et du RGPD. Moins de trois répondants sur dix disent que leur entreprise connaît bien le texte.
Agents et cadre de gouvernance
Les agents IA, capables d’enchaîner des tâches avec une intervention humaine limitée, compliquent encore l’exercice, car « l’agent agit ». Avec un assistant, le salarié lit une réponse avant de s’en servir ; avec un agent, le mail part, le fichier est modifié, la commande est passée. Plus d’une entreprise sur trois utilise déjà des agents autonomes en France, selon le baromètre, et près de la moitié des entreprises européennes en utilisent ou en testent.
Les moyens de contrôle existent, estime le professeur. Les développeurs parlent de harnais, c’est-à-dire de limites fixées à l’agent : droits d’accès réduits, journal de ses actions et validation humaine avant toute décision irréversible. Il conseille de tenir un registre des agents, avec un responsable pour chacun, dès le premier déploiement, et cite des référentiels comme le NIST AI Risk Management Framework ou les normes ISO 42001, 42005 et 23894. Avec Laurent Inard, il recommande de partir des pratiques réelles, en commençant par un inventaire anonyme des outils utilisés, puis de classer les usages en trois listes : ce qui est permis, ce qui l’est sous conditions et ce qui est interdit. Étant donné la rapidité des évolutions, il estime important de prévoir des clauses de révision.
