Posez la question en réunion d'équipe lundi : « qui a utilisé ChatGPT pour le boulot cette semaine ? » Peu de mains se lèvent. Posez-la en tête-à-tête, c'est une autre histoire. Et le plus gênant, c'est que le dirigeant fait souvent pareil : selon l'étude Sharp Europe de juin 2026 auprès de dirigeants de PME européennes, 44 % utilisent l'IA pour paraître plus calés sans le dire à leurs collègues.
On appelle ça le shadow AI : l'IA utilisée en dehors de tout cadre, sur des comptes perso, sans que personne ne sache ce qui y passe. Cet article vous donne une charte d'une page, à copier-coller, qui règle l'essentiel du problème sans bloquer personne.
Le shadow AI, c'est déjà chez vous
Quand on démarre une mission dans une PME, on commence par demander à chacun comment il travaille. Il y a toujours le même moment : la personne baisse un peu la voix et dit « bon, je passe par ChatGPT pour ça, mais ne le répétez pas ».
Ce qu'elle y colle, c'est rarement anodin. Un contrat client à résumer. Un tableau de paie à reformater. Une liste de prospects à trier. Un mail difficile à adoucir. Tout ça part sur un compte gratuit, ouvert avec une adresse Gmail, dont vous n'avez ni la visibilité, ni la maîtrise.
L'étude « AI Agents at Work 2026 » d'Okta (mai 2026) mesure le phénomène : 52 % des salariés du savoir utilisent des outils IA non validés par leur entreprise. La France est le pays le moins touché du panel, avec 31 %, mais un salarié sur trois reste beaucoup. Et parmi ces utilisateurs discrets, une bonne part reconnaît y avoir collé des documents confidentiels, contrats et chiffres compris.
Le point qui nous frappe le plus dans ces études, c'est l'écart entre ce que les dirigeants croient et ce qui se passe. Les patrons jugent leur politique IA très claire. Les équipes, beaucoup moins. Souvent parce qu'il n'y a pas de politique du tout, juste un silence que chacun interprète à sa façon.
Interdire ne marche pas, ignorer non plus
On a vu les deux réactions, et elles échouent toutes les deux.
L'interdiction. Un mail de la direction, « pas d'IA sur les données de l'entreprise ». Résultat : les usages ne s'arrêtent pas, ils passent sur le téléphone perso. Vous perdez le peu de visibilité que vous aviez, et personne ne viendra plus vous poser une question.
Le laisser-faire. Chacun bricole. La qualité varie d'un collaborateur à l'autre, les données sortent sans qu'on sache où, et surtout, rien ne se capitalise : le bon prompt de Sophie pour les devis reste dans l'historique de Sophie.
Entre les deux, il y a une voie simple : autoriser une courte liste d'outils, dire clairement ce qu'on n'y met jamais, demander de la transparence, et donner un interlocuteur. C'est exactement ce que l'État a fait en juin 2026 avec son guide d'usage de l'IA pour les agents publics, publié par la DINUM, la DITP et la DGAFP pour plus d'un million de personnes. Cinq principes : l'agent reste responsable de ce qu'il produit, les données sensibles ne vont que sur des outils autorisés, l'usage est transparent quand l'IA joue un rôle substantiel, chaque usage doit être utile et respecter le droit, et on se forme en continu.
Une PME n'a pas besoin de plus. Elle a besoin de la même chose, en une page, dans ses mots.
La charte d'usage IA en une page
Voici le modèle qu'on utilise. Il tient sur une feuille A4, il se lit en cinq minutes, et il se signe (ou pas, selon votre culture). Copiez-le, remplacez les crochets, supprimez ce qui ne vous concerne pas.
# Charte d'usage de l'IA chez [Nom de l'entreprise]
Version [1.0], [date]. Référent : [prénom, poste, canal de contact].
## 1. Les outils autorisés
| Outil | Compte | Pour quoi faire |
|-------|--------|-----------------|
| [ChatGPT Business / Claude Team / Copilot / Mistral] | Compte entreprise fourni par [nom] | Rédaction, résumé, reformulation, brouillons |
| [Outil métier avec IA intégrée, ex. CRM] | Compte pro habituel | Usage prévu par l'outil |
Tout autre outil IA, y compris les versions gratuites, n'est pas utilisé
avec des données de l'entreprise. Envie d'en tester un ? Demandez au référent.
## 2. Ce qu'on ne colle jamais dans une IA
- Données personnelles de clients, salariés ou candidats
(nom + situation, coordonnées, santé, salaire, évaluation)
- Mots de passe, accès, clés API, RIB
- Contrats, devis et prix négociés non anonymisés
- Tout document marqué confidentiel ou couvert par un accord de confidentialité
- Code source ou secrets de fabrication
Règle simple : si vous n'enverriez pas le document à un prestataire inconnu
par mail, vous ne le collez pas dans une IA.
## 3. Ce que vous pouvez faire sans demander
- Reformuler, résumer, traduire, corriger un texte que vous avez écrit
- Préparer un brouillon de mail, de compte rendu, de présentation
- Vous faire expliquer une notion, un texte réglementaire, un tableau
- Chercher des idées, structurer un plan, préparer une réunion
## 4. Ce que vous vérifiez avant d'envoyer
- Les chiffres, les dates, les noms et les références citées
- Le ton, adapté au destinataire
- Que rien de confidentiel ne s'est glissé dans la réponse
Vous restez responsable de ce qui sort en votre nom. « C'est l'IA qui l'a écrit »
n'est pas une réponse à un client.
## 5. Transparence
- Un livrable produit en grande partie par une IA (rapport, analyse, réponse
officielle) est signalé au destinataire interne.
- On ne fait pas passer une IA pour une personne auprès d'un client.
- Vous avez trouvé un usage qui vous fait gagner du temps ? Partagez-le
sur [canal], c'est ce qu'on attend de vous.
## 6. Si vous avez un doute
Posez la question au référent avant, pas après. Aucune sanction pour
une question, et aucune pour les usages passés : on repart de zéro à la
date de cette charte.
Deux points sur ce modèle. La section 2 est celle qui compte le plus : c'est elle qui protège vos clients et vous met en règle côté RGPD. La section 6 est celle qui rend le reste possible : sans amnistie explicite, personne ne vous dira ce qu'il fait déjà, et vous retombez dans le silence.
Comment la mettre en place en deux semaines
Une charte envoyée par mail un vendredi soir ne sera pas lue. Voici le déroulé qui marche chez nous, sur des équipes de vingt à cent personnes.
Jour 1 : un sondage anonyme, trois questions
Avant d'écrire quoi que ce soit, mesurez. Un formulaire anonyme, trois questions, deux minutes :
- Quels outils IA avez-vous utilisés pour le travail ces trente derniers jours ? (cases à cocher, plus « autre »)
- Pour quelles tâches ? (texte libre)
- Qu'est-ce qui vous empêche d'en parler ou d'en faire plus ? (texte libre)
Vous serez surpris par la troisième réponse. Elle contient presque toujours la même chose : la peur de passer pour un tire-au-flanc, et l'absence de règle claire.
Jour 3 : choisir les outils, ouvrir des comptes entreprise
Prenez les deux outils qui reviennent le plus dans le sondage et souscrivez des comptes professionnels. Le critère qui compte : vos données ne servent pas à entraîner le modèle, et vous pouvez retirer un accès quand quelqu'un part. Les offres équipe de ChatGPT, Claude, Copilot ou Mistral cochent ces cases, les versions gratuites non.
Jour 7 : rédiger, puis relire à trois
Remplissez le modèle ci-dessus. Trente minutes. Puis faites-le relire par deux personnes qui ne sont pas de la direction, dont une qui utilise déjà beaucoup l'IA. Elles vous diront ce qui est irréaliste.
Jour 10 : vingt minutes en réunion d'équipe
Présentez la charte à l'oral, pas par mail. Commencez par l'amnistie, puis les outils autorisés, puis la liste des interdits. Terminez par la question qui change tout : « qui a une astuce à partager ? »
Jour 14 : des remontées aux chantiers
C'est là que le sujet devient intéressant. Les usages qui remontent du sondage et de la réunion dessinent votre carte des tâches répétitives. Dans les PME qu'on accompagne, ce sont toujours les mêmes : la relance des clients en retard de paiement, les comptes rendus de réunion, le reporting hebdomadaire refait à la main, les réponses aux mêmes questions clients. Ce que dix personnes bricolent chacune dans leur coin avec un prompt, ça se construit une fois, proprement, pour tout le monde.
Où ça coince en prod
Trois frottements reviennent, autant les connaître.
Les comptes perso déjà pleins. Certains collaborateurs ont deux ans d'historique et de prompts affûtés sur leur compte gratuit. Migrer vers le compte entreprise leur coûte. Prévoyez un moment pour qu'ils y recopient leurs meilleurs prompts, et valorisez-les : ce sont vos futurs référents.
Les managers qui se cachent. Si le dirigeant continue de faire écrire ses notes par une IA sans le dire, la charte est morte en une semaine. Dites-le vous-même en réunion : « j'ai préparé cette présentation avec Claude, voilà ce que j'ai vérifié derrière ». Ça débloque plus que n'importe quel document.
La charte qui vieillit. Un outil autorisé change ses conditions, un nouvel usage apparaît, une équipe branche un agent sur le CRM. Mettez une relecture au calendrier tous les trimestres, un quart d'heure, avec le référent. Le jour où vous connectez une IA à vos outils métier, la charte ne suffit plus : il faut des droits d'accès et une supervision, mais c'est un sujet à part.
Commencer lundi
Vous n'avez pas besoin d'un comité, d'un juriste ni d'un projet de six mois. Lundi, envoyez le sondage anonyme. Dans deux semaines, vous avez une charte, deux outils propres, et une liste de tâches qui méritent mieux qu'un prompt copié dans un coin.
Le shadow AI n'est pas un problème de discipline. C'est le symptôme d'une équipe qui a envie d'avancer et qui attend qu'on lui dise comment.
Sources :
- Sharp Europe, "Business leaders keeping quiet about AI, and why it matters", juin 2026. https://www.sharp.eu/news-and-events/blog/business-leaders-keeping-quiet-about-ai-and-why-it-matters, consulté le 6 septembre 2026.
- Okta, "AI Agents at Work 2026: Securing the agentic enterprise", mai 2026. https://www.okta.com/newsroom/articles/ai-agents-at-work-2026-agentic-enterprise-security/, consulté le 6 septembre 2026.
- DINUM, DITP, DGAFP, "Guide d'usage de l'IA pour les agents publics de l'État", juin 2026. https://ia.numerique.gouv.fr/ressources/guide-dusage-de-lia/, consulté le 6 septembre 2026.