Shadow AI dans les collectivités : accompagner plutôt qu'interdire

Bertrand Coquard · 10 novembre 2026

Un courrier à un usager à reformuler, un rapport de quarante pages à résumer avant la commission, un compte rendu de réunion à mettre au propre : dans beaucoup de services, l'IA générative est déjà là. Elle n'est arrivée ni par une délibération, ni par un marché public. Elle est arrivée par le téléphone personnel d'un agent ou par un onglet de navigateur ouvert un soir de surcharge.

C'est ce qu'on appelle le shadow AI, ou IA clandestine : des usages réels, souvent utiles, mais invisibles pour la direction, la DSI et le DPO.

Un phénomène mesuré, pas une intuition

Les chiffres disponibles vont tous dans le même sens.

Dans une enquête du ministère de la Fonction publique menée auprès de 2 000 agents de neuf administrations, 55 % déclarent utiliser des outils externes non validés par leur administration (Banque des Territoires, avril 2026).
Côté salariés, le baromètre Ifop-Talan 2025 indique que 43 % des utilisateurs d'IA générative s'en servent au travail, alors que seuls 9 % disposent d'un outil fourni par leur employeur et 15 % ont été formés (Banque des Territoires, avril 2026).
Le CNFPT, dans son étude exploratoire auprès d'élus, de cadres, de représentants du personnel et d'agents, décrit les mêmes usages pris à l'initiative des agents, sans validation hiérarchique ni sécurisation des données (Banque des Territoires, juin 2025).

Ces usages ne sont pas le signe d'agents indisciplinés. Ils sont le signe d'agents qui cherchent à mieux faire leur travail avec les moyens du bord.

Pourquoi l'interdiction ne fonctionne pas

Interdire paraît prudent. En pratique, cela produit l'inverse de l'effet recherché. Une métropole qui avait bloqué l'accès à un assistant grand public n'a pas vu les usages baisser : elle les a simplement rendus invisibles (Banque des Territoires, avril 2026).

Le risque, lui, reste entier :

des données qui sortent : noms d'usagers, éléments de dossiers RH ou de santé, pièces d'un marché en cours, collés dans un outil dont on ne maîtrise ni l'hébergement ni la réutilisation ;
des erreurs qui passent : une référence juridique inventée, un chiffre approximatif, repris tels quels dans un courrier signé par la collectivité ;
une responsabilité floue : quand personne n'a fixé de règle, personne ne sait qui doit vérifier quoi.

Interdire déplace le risque hors du regard de l'organisation. Encadrer le réduit.

Une troisième voie : partir des usages réels

Entre l'interdiction et le laisser-faire, il existe une voie plus solide : reconnaître les usages, former chacun à bien s'en servir, et fixer ensemble des règles que tout le monde comprend. Les retours d'expérience convergent : la sortie du shadow AI se négocie collectivement, en combinant formation large, charte et bonnes pratiques construites avec les agents, plutôt que par des consignes descendantes (Banque des Territoires, avril 2026).

Concrètement, cela tient en quatre temps.

1. Mesurer, sans sanctionner

On ne peut pas encadrer ce qu'on ne voit pas. Un questionnaire anonyme, annoncé comme tel (« quels outils d'IA utilisez-vous vraiment, et pour quoi faire ? »), donne en deux semaines une photographie fidèle des usages. L'anonymat n'est pas un détail : c'est la condition pour que les agents répondent honnêtement, et pour que la culpabilité tombe.

2. Former à comprendre, pas seulement à « prompter »

La peur d'être remplacé et la confiance aveugle dans les réponses ont la même origine : ne pas savoir comment l'outil produit une réponse. Une démonstration en direct d'une réponse inventée sur un texte de loi fait plus pour la vigilance qu'une page de consignes. Ensuite seulement vient la pratique, sur les vrais documents du service, rendus anonymes, avec une étape de contrôle systématique : sources, chiffres, noms, références juridiques.

3. Faire écrire les règles par ceux qui les appliqueront

Une charte rédigée par un prestataire et votée sans concertation reste dans un tiroir. Quand ce sont les agents qui proposent les règles à partir de leurs usages (ce qui est autorisé, ce qui est interdit, ce qu'il faut vérifier, ce qu'il faut signaler), ils les appliquent. Le comité social territorial est associé dès le départ : c'est aussi la meilleure réponse aux inquiétudes sur l'emploi.

4. Faire adopter et donner un outil autorisé

Les élus fixent les lignes rouges et adoptent le texte. Mais une règle sans alternative ne tient pas : si aucun outil autorisé n'existe, l'agent pressé retournera à son outil personnel. La charte doit donc aller de pair avec une décision sur l'outil mis à disposition, quel qu'il soit, et sur les données qui peuvent y être saisies.

Ce que la collectivité y gagne

Au bout de quelques semaines, la collectivité dispose d'un inventaire de ses usages, d'agents qui savent quelles données ne jamais saisir, d'une bibliothèque de consignes utiles par métier et d'une charte connue de tous. Elle peut aussi montrer qu'elle a pris des mesures pour développer la maîtrise de l'IA de ses équipes, ce que le règlement européen sur l'IA attend désormais des organisations qui l'utilisent (voir notre article sur l'article 4 de l'AI Act).

Le shadow AI n'est pas une faute à traquer. C'est le point de départ le plus honnête d'une politique d'IA de confiance.

Bertrand Coquard, fondateur de RespublIA. Dans le cadre de nos missions de conseil et de formation, nous ne recommandons ni ne vendons aucun logiciel.

Sources

← Toutes les analyses