Les employés synthétisent des contrats à l'aide d'un compte de chatbot personnel, connectent un assistant IA à un espace de stockage partagé ou créent leur propre agent pour une tâche récurrente. Aucune de ces opérations n'est passée par le service informatique, le service chargé de la protection des données ou l'équipe de gouvernance. C'est ce qu'on appelle l'« IA fantôme », et elle est devenue un risque mesurable : 22 % des organisations signalent déjà l'utilisation non autorisée ou « fantôme » de l'IA comme un incident lié à l'IA.
L'étude BARC de 2026 intitulée « The State of Data and AI Governance », qui s'appuie sur une enquête mondiale menée auprès de 234 responsables des données, de l'IA, de l'informatique et des affaires, met également en évidence un écart régional. Dans la région EMEA, 29 % des organisations signalent des incidents liés à l’IA fantôme, contre 18 % en Amérique du Nord. Cet article examine les facteurs à l’origine de cet écart, les risques liés à l’IA fantôme et la manière dont les organisations peuvent la placer sous contrôle réglementaire sans freiner les utilisateurs.
Qu'est-ce que l'IA « fantôme » ?
Le « Shadow AI » désigne l'utilisation d'outils, de modèles ou d'agents d'IA au sein d'une organisation sans l'accord, la visibilité ou la supervision du service informatique et de l'équipe de gouvernance. Cela inclut les chatbots publics utilisant des données de l'entreprise, les fonctionnalités d'IA activées dans des logiciels existants, les extensions de navigateur, les assistants de codage et, de plus en plus, les agents que les employés créent eux-mêmes et connectent aux systèmes de l'entreprise.
L'IA fantôme est une forme récente d'informatique fantôme, mais le risque qu'elle présente est de nature différente. L'informatique fantôme concerne les applications non approuvées. Avec l'IA fantôme, le point crucial réside dans ce qu'il advient des données : du contenu collé dans une ligne de commande, des fichiers téléchargés pour être résumés, ou encore un agent qui lit, écrit et agit sur les systèmes de l'entreprise sans que personne ne surveille ses activités.
Quelle est l'ampleur du phénomène de l'IA « fantôme » ? Les chiffres
L'étude du BARC apporte des chiffres concrets sur un problème dont on ne parle souvent qu'à titre anecdotique :
- 22 % des organisations ont signalé avoir été confrontées à une IA non autorisée ou « fantôme » au cours des douze derniers mois.
- 17 % des personnes interrogées citent l'utilisation de l'IA « fantôme » comme l'un des trois principaux obstacles à une gestion efficace des données et de l'IA.
- 29 % contre 18 % : les entreprises de la région EMEA signalent des incidents liés à l'IA fantôme nettement plus souvent que celles d'Amérique du Nord.
Ces chiffres constituent probablement une estimation minimale. Selon le BARC, l’« IA fantôme » est un problème que les organisations commencent tout juste à prendre en compte. Un incident n’est signalé que lorsqu’une personne le remarque.
La tendance est à la hausse. Les travailleurs du savoir utilisent l'IA au quotidien : l'analyse de documents est déjà le cas d'utilisation de l'IA le plus répandu, avec 62 % des organisations qui y ont recours. Et la prochaine vague concerne les agents.
« Compte tenu de la tendance généralisée chez les travailleurs du savoir de tous horizons à déployer leurs propres agents, nous pensons que l’IA « fantôme » deviendra un problème omniprésent dans les mois à venir. De nombreux agents fonctionnent de manière indépendante, ce qui engendre des risques en matière de gouvernance et génère une dette technique. » BARC, « The State of Data and AI Governance », 2026
Mettez en place un socle de données fiable pour permettre une automatisation pilotée par l'IA et une prise de décision sûre. Téléchargez le livre blanc pour découvrir comment faire de la gouvernance des données une capacité stratégique — et tirer pleinement parti de l'automatisation évolutive et de l'IA.
Pourquoi la région EMEA signale davantage d'incidents liés à l'IA « fantôme » ?
BARC interprète la part plus importante d'incidents liés à l'IA « fantôme » dans la région EMEA comme le signe d'une visibilité et d'un contrôle centralisés plus faibles. Les données structurelles de l'étude corroborent cette interprétation. Sur presque tous les aspects de la gouvernance organisationnelle, la région EMEA est à la traîne par rapport à l'Amérique du Nord :
| Dimension de la gouvernance | Amérique du Nord | EMEA |
|---|---|---|
| Structures de gouvernance centralisées | 79% | 50% |
| Institutionnalisation du leadership et de la responsabilité en matière d'IA | 52% | 26% |
| Normes de sécurité formalisées et conformité | 51% | 26% |
| Exigences formalisées en matière d'architecture d'entreprise | 35% | 11% |
| Incidents liés à l'IA « Shadow » au cours des 12 derniers mois | 18% | 29% |
Sans une responsabilité centralisée, personne n'a une vue d'ensemble de la situation
Lorsque la gouvernance est organisée de manière centralisée ou par le biais d’un centre d’excellence, il existe un organisme unique qui sait quels outils d’IA sont approuvés, qui les utilise et avec quelles données. La moitié des entreprises de la région EMEA ne disposent pas d’une telle structure. Dans un cadre décentralisé, chaque service prend ses propres décisions, et l’utilisation de l’IA qui n’est enregistrée par personne reste invisible.
Des bases de données insuffisantes poussent les employés à trouver des solutions de contournement
La deuxième différence concerne les données elles-mêmes. 40 % des entreprises de la région EMEA citent la qualité insuffisante des données comme l’un des principaux obstacles à la gouvernance des données et de l’IA (contre 15 % en Amérique du Nord), et 35 % mentionnent le cloisonnement des données (contre 17 % en Amérique du Nord). À notre avis, cela est directement lié à l’IA « fantôme ». Lorsque l’accès officiel aux données est lent, incomplet ou bloqué par des silos, les employés empruntent la voie la plus rapide : ils copient les données dans n’importe quel outil à leur disposition.
Il convient toutefois de faire une mise en garde. Une proportion plus élevée d'incidents signalés peut également signifier que davantage d'incidents sont détectés. Les chiffres structurels indiquent toutefois clairement l'existence d'une lacune en matière de gouvernance plutôt qu'une amélioration de la détection.
L'étude du BARC intitulée « The State of Data and AI Governance » s'appuie sur une enquête mondiale menée auprès de responsables des données, de l'IA, des technologies de l'information et des dirigeants d'entreprise. Elle met en évidence ce qui distingue les leaders de l'IA du reste du marché, et identifie les mesures permettant de transformer la gouvernance d'un simple exercice de conformité en un modèle opérationnel garantissant une évolution à grande échelle de l'IA en toute confiance.
Les risques liés à l'IA « fantôme »
L'« IA fantôme » se limite rarement à un seul incident. Elle ouvre la voie à d'autres types d'incidents recensés par l'étude :
- Violations de la confidentialité des données : des données personnelles ou confidentielles se retrouvent dans des outils échappant au contrôle de l'entreprise. 23 % des entreprises ont signalé une violation de la confidentialité des données liée à l'IA au cours des douze derniers mois.
- Résultats biaisés ou erronés : 23 % des répondants ont signalé des résultats biaisés ou préjudiciables, et 21 % des résultats erronés générés par l'IA qui sont parvenus aux utilisateurs finaux ou aux clients. Les outils non approuvés fonctionnent sans les contrôles de qualité ni les étapes de vérification qui s'appliquent à l'IA approuvée.
- Lacunes en matière de conformité : 77 % des organisations affirment que l'évolution du cadre réglementaire, notamment la loi européenne sur l'IA et le RGPD, a un impact modéré ou significatif sur leur gouvernance de l'IA. Les utilisations de l'IA qui n'ont pas été déclarées ne peuvent être ni évaluées, ni documentées, ni signalées.
- Dette technique : les agents développés en dehors des structures de gouvernance s'intègrent aux processus sans que personne n'en assume la responsabilité, n'en assure la maintenance ou ne procède à leur audit.
Pourquoi l'interdiction des outils d'IA ne résout pas le problème
La première réaction face à l’IA « fantôme » consiste souvent à interdire les outils d’IA publics. Cette mesure s’avère rarement efficace à long terme. L’IA est déjà utilisée dans 97 % des entreprises, et les employés y ont recours car elle leur fait gagner du temps. Une interdiction supprime la solution autorisée, alors que le besoin demeure. Son utilisation se déplace alors vers les appareils privés et les comptes personnels, où elle est encore plus difficile à détecter.
L’« IA fantôme » est un symptôme. Elle montre que la voie réglementée vers l’IA et les données est plus lente que la voie non réglementée. La solution durable consiste à faire en sorte que la voie réglementée soit la plus simple : une IA approuvée, ayant accès à des données fiables, soumise à des règles claires et dotée de contrôles fonctionnant en arrière-plan.
Cinq étapes pour maîtriser l'IA fantôme
1. Rendre l'utilisation de l'IA visible
Commencez par dresser un inventaire : quels outils, fonctionnalités et agents d’IA sont utilisés, par qui et avec quelles données ? Incluez les fonctions d’IA intégrées aux logiciels approuvés ainsi que les agents connectés aux systèmes de l’entreprise via des API ou des comptes de service. Les outils de détection du trafic réseau, les extensions de navigateur et les connexions SaaS sont utiles, mais l’inventaire ne restera à jour que si les équipes peuvent enregistrer facilement toute nouvelle utilisation de l’IA, sans craindre de conséquences.
2. Proposer un parcours réglementé plus rapide
Mettez à disposition des outils et des agents d'IA approuvés, capables de traiter les données dont les collaborateurs ont réellement besoin. Lorsqu'un assistant approuvé peut accéder à des données d'entreprise sélectionnées et à jour via des interfaces régulées, il n'y a guère de raison de copier ces données dans un outil externe. C'est là que la qualité et l'intégration des données sont déterminantes : un parcours régulé reposant sur des données de mauvaise qualité ou cloisonnées sera contourné.
3. Définir les normes au niveau central, les mettre en œuvre au niveau local
L'étude montre quel modèle organisationnel est le plus efficace. 69 % des organisations ont mis en place soit un programme de gouvernance entièrement centralisé (31 %), soit un centre d'excellence (38 %) qui définit les normes de manière centralisée tandis que des équipes décentralisées se chargent de la mise en œuvre. Parmi les leaders en matière d'IA, 48 % ont recours à un centre d'excellence. Ce modèle laisse aux unités opérationnelles une marge de manœuvre pour innover dans le cadre de règles communes concernant les outils approuvés, les catégories de données et les procédures d'escalade.
4. Mettre en place des contrôles sur l'accès aux données, et pas seulement sur les outils
Les listes d’outils deviennent rapidement obsolètes. Les contrôles au niveau de la couche de données ont une durée de vie plus longue : qui peut utiliser quelles données à quelles fins d’IA, dans quelles conditions et avec quelle piste d’audit ? Aujourd’hui, 34 % des organisations ont recours à la gestion de la confidentialité et du consentement, et 32 % utilisent la gestion des identités et des accès ou des contrôles d’accès aux données à des fins de gouvernance. En ce qui concerne les agents, 33 % s’appuient sur la journalisation d’audit et 32 % sur la gestion des identités et des accès. C’est en étendant ces contrôles à toutes les charges de travail d’IA, qu’elles soient approuvées ou non, que l’on comble cette lacune.
5. Former le personnel et évaluer les progrès réalisés
41 % des organisations citent le manque de personnel qualifié ou de formation comme leur principal obstacle en matière de gouvernance, alors que seules 12 % d’entre elles évaluent le taux de réussite des formations suivies par leurs collaborateurs. Les collaborateurs qui comprennent pourquoi certaines données ne doivent pas être intégrées dans des outils publics et qui connaissent l’alternative approuvée constituent le moyen de contrôle le plus efficace contre l’IA fantôme. Il convient d’en assurer le suivi : les incidents liés à l’IA fantôme, les cas d’utilisation de l’IA enregistrés et le taux de réussite des formations doivent faire partie des indicateurs de gouvernance.
Comment SoftProject peut vous aider
Shadow AI réduit son empreinte lorsque le chemin d'accès aux données est le plus rapide. SoftProject met en place ce chemin sur une plateforme convergente :
- Connect : l'intégration, les processus ETL et la gestion des API permettent de regrouper les données provenant de tous les systèmes et offrent aux outils et agents d'IA une interface contrôlée, plutôt que des fichiers copiés.
- Confiance : gouvernance des données grâce au catalogue de données, à la gestion des données de référence et à la qualité des données, celles-ci deviennent faciles à trouver, fiables et classées, ce qui permet de savoir clairement quelles données peuvent être utilisées pour quelle application d'IA.
- Action : l'automatisation des processus et les workflows d'agents régis intègrent les validations, les règles d'accès et les pistes d'audit directement dans le processus.
Il en résulte une utilisation de l'IA qui est transparente, maîtrisée et suffisamment rapide pour que personne n'ait besoin de recourir à des solutions de contournement. Pour les organisations européennes, la souveraineté des données fait partie intégrante de ce même fondement. Pour comprendre comment l'« IA fantôme » s'inscrit dans une perspective plus large, consultez notre guide sur la mise en place d'un cadre de gouvernance de l'IA.
En tant que directeur des produits, Édouard Cante est chargé de l'orientation stratégique et du développement du portefeuille de produits de SoftProject. Fort d'une excellente connaissance du marché et d'un esprit d'innovation très marqué, il promeut des solutions centrées sur le client et veille à la compétitivité à long terme de l'entreprise.
FAQ Shadow AI
Qu'est-ce que l'IA « fantôme » ?
L'« IA fantôme » désigne l'utilisation d'outils, de modèles ou d'agents d'IA au sein d'une organisation sans l'accord, la connaissance ou la supervision du service informatique et de l'équipe de gouvernance. Parmi les exemples, on peut citer les chatbots publics utilisant des données de l'entreprise, les fonctionnalités d'IA activées dans des logiciels existants, les extensions de navigateur et les agents que les employés créent eux-mêmes et connectent aux systèmes de l'entreprise.
L'IA fantôme est-elle courante ?
Selon l'étude BARC de 2026 intitulée « The State of Data and AI Governance », 22 % des organisations ont signalé des cas d'IA non autorisée ou « fantôme » comme incidents liés à l'IA au cours des douze derniers mois, et 17 % la citent comme l'un de leurs trois principaux obstacles en matière de gouvernance. Dans la région EMEA, le taux d'incidents s'élève à 29 %, contre 18 % en Amérique du Nord.
Pourquoi la région EMEA signale-t-elle davantage d'incidents liés à l'IA fantôme ?
Selon le BARC, cet écart témoigne d’une visibilité et d’un contrôle centralisés plus faibles. Seules 50 % des entreprises de la zone EMEA disposent de structures de gouvernance centralisées, contre 79 % en Amérique du Nord, et seules 26 % ont formalisé la direction et la responsabilité en matière d’IA (contre 52 % en Amérique du Nord). Les entreprises de la zone EMEA rencontrent également davantage de difficultés en matière de qualité des données et de cloisonnement des données.
Quelle est la différence entre l'« IA fantôme » et l'« informatique fantôme » ?
Le terme « Shadow IT » désigne tout logiciel ou service utilisé sans l'accord du service informatique. Le « Shadow AI » en est un sous-ensemble qui concerne les outils, modèles et agents d'IA. Le principal risque réside dans le sort réservé aux données : les informations de l'entreprise saisies dans des invites, les fichiers téléchargés pour être traités, ou encore les agents qui agissent sur les systèmes de l'entreprise sans que personne ne puisse suivre leurs activités.
Comment les organisations peuvent-elles réduire l'IA fantôme ?
Les interdictions seules sont rarement efficaces. Les organisations réduisent l'IA « fantôme » en rendant visible l'utilisation de l'IA, en proposant des solutions d'IA approuvées ayant accès à des données fiables, en définissant des normes de manière centralisée via un programme de gouvernance ou un centre d'excellence, en contrôlant l'accès aux données pour chaque charge de travail liée à l'IA, et en formant les employés tout en mesurant les progrès réalisés.
