IA en entreprise : « Quand la règle et la formation arrivent tard, l’usage s’installe seul »

Dejan Glavas, Professeur de finance et IA, ESSCA School of Management

Dejan Glavas est professeur de finance et IA à l’ESSCA School of Management, où il dirige l’institut « AI for Sustainability ». Coauteur du Baromètre IA Entreprise et Durabilité, il pilote aussi le groupe de travail IA & Finance responsable du Forum pour l’Investissement Responsable. Il a travaillé auparavant chez Fitch Ratings et Société Générale.

Le Baromètre IA Entreprise et Durabilité, dont vous êtes l’un des coauteurs, montre que le Shadow AI persiste même lorsqu’une organisation met ses propres outils à disposition. Pourquoi certains salariés continuent-ils d’utiliser des solutions d’IA qui n’ont pas été validées par leur employeur, selon vous ?

Parce que l’outil validé arrive souvent après l’habitude. Nous avons posé la question aux répondants qui constatent un Shadow AI répandu alors que leur entreprise fournit ses propres outils. Trois raisons reviennent. L’habitude vient en tête, car les salariés avaient adopté un assistant avant que leur employeur en propose un. Les deux autres sont la performance, l’outil fourni par l’entreprise étant généralement jugé moins bon, et le confort d’usage, avec des outils internes plus lents ou moins pratiques à utiliser.

La leçon que l’on peut en tirer pour les entreprises est qu’un outil validé qui soutient la comparaison avec ceux du marché fait reculer le Shadow AI plus sûrement qu’un rappel au règlement.

C’est en France que les répondants sont les plus nombreux à décrire le Shadow AI comme une pratique répandue dans leur entreprise. Comment l’expliquez-vous ?

En effet, une entreprise française sur cinq décrit le Shadow AI comme répandu, contre une sur dix dans les trois autres pays. Deux pistes me paraissent intéressantes.

La première tient à l’encadrement. En France, moins d’une entreprise sur deux forme ses salariés à l’IA, contre trois sur quatre au Royaume-Uni. Un tiers environ a rédigé des lignes directrices éthiques, contre sept sur dix outre-Manche.

Quand la règle et la formation arrivent tard, l’usage s’installe seul.

La seconde tient à l’offre interne. Plus de quatre entreprises françaises sur dix se passent encore d’outils pour interroger leurs documents internes avec l’IA. Le salarié qui en a besoin va en chercher un ailleurs.

Lorsque des salariés utilisent des outils d’IA non validés par leur entreprise, le fait d’interdire cette pratique a-t-il encore un sens, ou faut-il plutôt la tolérer et l’encadrer ?

L’interdiction générale tient mal. Dans le baromètre, une entreprise sur huit constate que le Shadow AI continue malgré une interdiction claire. La situation la plus fréquente est la tolérance, qui concerne une entreprise sur quatre. C’est à mes yeux la position la plus fragile. L’entreprise sait, laisse faire, et la question de sa responsabilité se pose le jour où des données sortent.

L’interdiction garde son sens quand elle est précise. Interdire de saisir des données clients, des éléments de paie ou un contrat en négociation dans un outil grand public, chacun le comprend et peut s’y tenir.

Pour le reste, je plaide pour l’encadrement. Il s’agit de dire quels usages sont permis, avec quels outils et sur quelles données, puis de fournir un outil validé de bon niveau.

Une règle que les salariés comprennent et peuvent suivre protège généralement mieux.

Au-delà du Shadow AI, quels usages pourtant acceptés par l’entreprise vous semblent les plus sous-estimés, et pourquoi ?

La transcription des réunions arrive en tête. Quatre entreprises sur cinq utilisent des modèles de langage pour la bureautique, c’est-à-dire les résumés, les comptes rendus de visioconférences et l’aide à la rédaction des mails. En France, quatre répondants sur dix indiquent que le consentement à l’enregistrement est demandé de façon explicite et tracée. Pour quatre autres sur dix, il reste informel ou a disparu, les enregistrements étant devenus presque systématiques.

Une réunion contient des noms, des avis sur des personnes, parfois des secrets d’affaires. C’est d’abord un sujet de RGPD. Il semble indispensable de respecter les règles de consentement à l’utilisation des données personnelles.

C’est aussi une question de confiance entre collègues. Il est nécessaire de prévenir l’ensemble des participants à une réunion et de s’assurer de leur accord explicite.

Je citerais également le recrutement. Faire résumer ou classer des candidatures par une IA paraît anodin, mais ces usages peuvent relever des systèmes à haut risque de l’AI Act.

Le code vient ensuite. Plus de la moitié des entreprises qui développent déclarent qu’au moins un quart de leur code est assisté par l’IA. Ces outils apportent un véritable gain de productivité. Néanmoins, ce gain peut s’accompagner d’une dette technique lorsque la relecture prend du retard, ainsi que d’un risque de perte de compétences pour les équipes.

Depuis le 2 août 2026, les entreprises sont soumises à de nouvelles obligations prévues par l’AI Act, notamment en matière de transparence. Ce cadre réglementaire vous semble-t-il à la hauteur des usages actuels de l’IA en entreprise ?

Le texte fait bien ce pour quoi il a été écrit. Il classe les systèmes selon leur risque. Depuis le 2 août, il impose de dire à une personne qu’elle échange avec une machine et de rendre identifiables les contenus générés par l’IA. Depuis février 2025, il demande aussi aux entreprises de donner à leurs équipes un niveau suffisant de connaissance de ces outils. Ce sont des règles utiles. Celles des systèmes à haut risque, comme le recrutement, s’appliqueront en décembre 2027.

Sa limite tient à son objet. L’AI Act encadre des systèmes, ceux qui les fournissent et ceux qui les déploient. Le salarié qui colle un document dans son assistant personnel relève surtout de la politique interne de l’entreprise et du RGPD. Une charte d’usage bien faite reste le complément indispensable de la loi.

Notre baromètre montre surtout un problème d’appropriation. Moins de trois répondants sur dix disent que leur entreprise connaît bien le texte, et un sur huit dans les petites structures. En France et au Royaume-Uni, ce niveau est resté stable depuis 2024. La priorité est de faire connaître la règle.

Dans le baromètre, vous estimez qu’il faut partir des pratiques réelles des salariés pour encadrer l’IA. Concrètement, comment construire un cadre complet, qui couvre l’ensemble de ces usages, sans angle mort ?

C’est la conclusion que nous tirons du baromètre avec Laurent Inard, mon coauteur chez Forvis Mazars. Je commencerais par un inventaire. Il s’agit de demander aux équipes quels outils elles utilisent, pour quelles tâches et avec quelles données, en garantissant l’anonymat des réponses.

Je classerais ensuite ces usages avec deux questions simples. Quelles données entrent dans l’outil ? Le résultat sert-il à prendre une décision sur une personne ? On obtient trois listes : ce qui est permis, ce qui l’est sous conditions et ce qui est interdit.

Raisonner par usage plutôt que par outil aide beaucoup, car les outils changent tous les trimestres.

Il faut enfin un responsable identifié, une formation et une révision régulière avec les représentants du personnel. Étant donné la vitesse à laquelle ces technologies se développent, il est important de prévoir des clauses de révision pour suivre leur évolution.

Les agents IA, capables d’enchaîner des tâches avec une intervention humaine limitée, commencent à s’installer dans les entreprises. Pensez-vous qu’ils pourraient rendre l’encadrement des usages de l’IA encore plus complexe ?

Oui, parce que l’agent agit. Avec un assistant, le salarié lit une réponse avant de s’en servir. Avec un agent, le mail part, le fichier est modifié, la commande est passée. La question change. On se demandait quelles données entraient dans l’outil, on doit maintenant décider ce que l’outil a le droit de faire.

Le mouvement est rapide. Plus d’une entreprise sur trois utilise déjà des agents autonomes en France selon notre baromètre, et près de la moitié des entreprises européennes en utilisent ou en testent.

Les moyens de contrôle existent. Les développeurs parlent de harnais, c’est-à-dire de limites fixées à l’agent, avec des droits d’accès réduits, un journal de ses actions et une validation humaine avant toute décision irréversible. Le développement informatique a servi de terrain d’essai, avec des agents chargés de relire le travail d’autres agents. Je conseille de tenir un registre des agents, avec un responsable pour chacun, dès le premier déploiement. Par ailleurs, il existe aussi des référentiels de gouvernance, comme le NIST AI Risk Management Framework ou les normes ISO 42001, 42005 et 23894.