Shadow AI : quand l’IA s’invite en réunion

6 novembre 2026L’équipe Ma Synthèse

Préparé avec l’aide de l’IA, relu par l’équipe Ma Synthèse. Mis à jour le 31 octobre 2026, sources vérifiées le même jour.

Le shadow AI est l’usage, par des salariés ou des agents, d’outils d’IA que leur organisation n’a ni choisis ni validés. En réunion, il prend souvent la forme d’un enregistrement déposé dans un outil grand public, d’un robot preneur de notes non validé ou d’un compte rendu collé dans un assistant. Un coauteur du baromètre ESSCA et Forvis Mazars (enquête de mars 2026) préconise un encadrement clair, des interdits précis et un outil validé plutôt qu’une interdiction générale.

En bref. En France, selon ce coauteur, une entreprise sur cinq décrit le shadow AI comme répandu, contre une sur dix au Royaume-Uni, en Allemagne et en Espagne. Il place aussi la transcription des réunions en tête des usages acceptés mais sous-estimés.

Qu’est-ce que le shadow AI ?

Le shadow AI, ou usage non validé de l’IA, prolonge le shadow IT, qui vise tout logiciel utilisé sans l’accord du service informatique. La différence : avec l’IA, ce qui échappe au contrôle est aussi le contenu du travail (un texte, un fichier, un enregistrement).

Pourquoi le shadow AI en réunion passe-t-il inaperçu ?

Le shadow AI s’y installe parce que les réunions concentrent des informations sensibles et que les règles manquent. Dans un entretien publié le 27 octobre 2026 par le Blog du Modérateur, Dejan Glavas (ESSCA), coauteur du baromètre, place la transcription des réunions en tête des usages acceptés mais sous-estimés.

Or on y cite des personnes, on y juge des collègues et on y évoque parfois des informations que l’entreprise protège. En France, selon ce coauteur (enquête de mars 2026), quatre répondants sur dix disent que le consentement à l’enregistrement est explicite et tracé ; pour quatre autres sur dix, il est informel ou a disparu. Ces chiffres portent sur un usage accepté, mais, à notre lecture, sans règle la frontière devient mince.

Quatre situations à repérer, sans mauvaise intention nécessaire :

L’enregistrement déposé ailleurs. Un participant charge le fichier audio dans un outil grand public, avec son compte personnel. Le résultat est une transcription de réunion non validée.
Le robot invité. Un participant fait entrer dans la visio un robot preneur de notes que personne n’a validé.
Le compte rendu collé. Un participant colle le texte dans un assistant pour le reformuler.
L’enregistreur sans robot. Un participant installe sur son poste un outil qui capte le son sans rejoindre la réunion. Un réglage de la visio qui filtre les robots ne le voit pas.

Côté public, l’enquête du CNFPT (Localtis, juin 2025) cite la transcription de réunions parmi les expérimentations locales et s’inquiète de l’absence de cadre. Voir aussi les comptes rendus des collectivités.

Le shadow AI est-il répandu ?

Oui : en France, une entreprise sur cinq le décrit comme répandu, selon un coauteur du baromètre ESSCA et Forvis Mazars (enquête de mars 2026). Les chiffres ci-dessous, de champs différents, ne se comparent pas.

France. Une entreprise sur cinq, contre une sur dix dans les trois autres pays, selon Dejan Glavas. Enquête de mars 2026, publiée le 1er octobre 2026 ; 826 professionnels de l’IT et du digital, dont 203 en France ; déclarations des répondants.
France, Royaume-Uni, Allemagne, Espagne. Deux tiers des répondants constatent du shadow AI dans leur organisation (communiqué du baromètre, 1er octobre 2026).
Agents de l’État. Une enquête auprès d’environ 2 000 agents de neuf administrations indique que 89 % d’entre eux utilisent l’IA au travail et que 55 % ont recours à des outils non validés (Localtis, 16 juin 2026). Voir les collectivités territoriales.
Monde, édition 2026 (IBM). 43 % des 602 organisations étudiées, victimes d’une fuite entre mars 2025 et février 2026, signalent un incident lié à une IA non approuvée, contre 20 % un an plus tôt. Chiffre relayé par un billet d’IBM et Baker Donelson (30 juillet 2026) ; rapport complet non lu.

Quels sont les risques du shadow AI pour une organisation ?

Le shadow AI expose à une fuite plus coûteuse, à la réutilisation des données par le fournisseur et à des participants enregistrés sans en être informés.

Une fuite plus coûteuse. Dans l’édition 2025 de l’étude mondiale d’IBM (juillet 2025, 600 organisations), là où le shadow AI était élevé, la fuite a coûté en moyenne 670 000 dollars de plus que là où il était faible ou absent. Cet écart ne mesure ni la France ni les réunions.
La réutilisation des données. Si le fournisseur peut réutiliser ce qu’on lui transmet, la CNIL demande d’analyser au cas par cas s’il faut interdire d’y saisir des données personnelles. Pour des usages non confidentiels, elle envisage un service grand public avec des adresses professionnelles dédiées et des garanties appropriées, en évitant les comptes créés avec une adresse personnelle. À notre lecture, une réunion confidentielle sort de ce cadre.
Des participants non informés. Un outil choisi seul échappe à toute information collective. Il faut pourtant informer les participants avant d’enregistrer. Microsoft note que les robots preneurs de notes peuvent enregistrer à l’insu des participants et stocker les données hors du périmètre de conformité.
Un litige en cours aux États-Unis. Une plainte déposée en août 2025, qui vise le statut d’action collective, reproche à Otter de ne pas demander par défaut l’accord de tous les participants et d’entraîner son service sur leurs échanges (NPR). Otter conteste. En août 2026, une juge fédérale a écarté une partie des griefs et laissé avancer les principaux, sans trancher le fond (UC Today).

Faut-il interdire le shadow AI ou équiper les équipes ?

Encadrer et équiper plutôt qu’interdire en bloc : c’est la position de Dejan Glavas, coauteur du baromètre ESSCA et Forvis Mazars. Pour lui, « l’interdiction générale tient mal » : dans 12 % des entreprises, le shadow AI persiste malgré une interdiction claire. La règle vient avant l’outil : préciser ce qui est permis, puis fournir un outil validé. La tolérance est la première réponse (24 %, communiqué du 1er octobre 2026) et il la juge la plus fragile : l’entreprise connaît la pratique sans l’encadrer, et sa responsabilité peut être mise en cause si des données sortent.

Un interdit reste utile s’il vise un cas concret : ne pas saisir de données clients, de paie ou un contrat en cours de négociation dans un outil grand public.

Là où le shadow AI persiste malgré des outils internes, les répondants invoquent l’habitude, une performance jugée inférieure et un moindre confort. D’où sa conclusion : pour le faire reculer, un outil validé qui rivalise avec ceux du marché pèse plus qu’un nouveau rappel du règlement.

Qu’est-ce qu’un outil d’IA validé ?

Un outil d’IA validé est un outil choisi par l’organisation, dont on a vérifié par écrit l’hébergement, les services qui traitent les données, la non-réutilisation pour l’entraînement, la durée de conservation, la suppression, le contrat de sous-traitance et les éventuels transferts hors de l’Union européenne.

Comment réduire le shadow AI en six étapes ?

Recenser les usages, sans sanction. Demandez quels outils servent déjà pour les réunions et quelles données y entrent.
Écrire une charte courte, avec des interdits précis. La CNIL recommande des chartes internes qui définissent les usages autorisés et interdits. Associez le délégué à la protection des données (DPO) et, le cas échéant, réalisez une analyse d’impact (AIPD).
Proposer un outil validé. Il doit couvrir le besoin réel, et ses utilisateurs doivent savoir faire un compte rendu avec l’IA, étape par étape.
Former. L’article 4 de l’AI Act, modifié en 2026, demande aux fournisseurs et aux organisations qui déploient ces outils de soutenir la maîtrise de l’IA de leur personnel, sans obligation de garantir un niveau précis. L’usage d’un outil personnel par un salarié relève surtout de la politique interne et du RGPD (Dejan Glavas). Voir ce que l’AI Act impose.
Régler la visio. Dans Teams, l’organisateur peut admettre ou bloquer les robots détectés (Office 365 for IT Pros, 24 août 2026). Réservez l’admission aux organisateurs et coorganisateurs. Sur une autre visio, cherchez dans l’administration si un réglage équivalent existe.
Demander par écrit à chaque fournisseur l’hébergement, les services qui traitent le son, l’entraînement, la conservation, la suppression, le contrat de sous-traitance et les éventuels transferts hors de l’Union européenne.

Que répond Ma Synthèse à ces questions ?

Exemple valable pour tout fournisseur, nous compris : Ma Synthèse édite ce blog.

Hébergement. Chez Scaleway, à Paris.
Services qui traitent le son. Les modèles de Mistral pour la transcription et la rédaction, pyannoteAI pour distinguer les intervenants, et un autre service, en secours de la transcription et pour l’écoute de l’assistant vocal. La liste figure sur la page Souveraineté et les conditions du service de secours dans la politique de confidentialité.
Entraînement. Notre politique de confidentialité l’exclut pour les modèles de Mistral ; pour le service de secours, voir la politique.
Conservation. Jusqu’à 5 ans sur nos serveurs, suppression sur demande sous 30 jours, sauf litige en cours. Le service de secours peut garder une copie selon ses propres règles : notre demande de suppression ne l’atteint pas encore.
Contrat de sous-traitance. À nous demander par écrit, comme à tout fournisseur.
Transferts hors de l’Union européenne. Le stockage reste en France. Pour le traitement, nous ne pouvons pas exclure tout transfert tant que la région n’est pas imposée partout, notamment au service de secours.
Captation. L’application de bureau capte le son sur le poste, sans robot dans la visio. Sous Windows, le son de l’ordinateur est capté par défaut, et une option le coupe ; sur Mac, seul le micro est enregistré pour l’instant. Les fichiers sont sauvegardés sur nos serveurs en France, sauf si vous désactivez ce réglage.
Consentement. Le registre de consentement est actif par défaut, mais l’organisateur peut passer cette étape.

Installée sans validation, notre application relève elle aussi du shadow AI.

Questions fréquentes

Comment dit-on shadow AI en français ?

Shadow AI se dit aussi « shadow IA » ou « IA fantôme », et plus simplement usage non validé de l’IA : des salariés ou des agents emploient des outils d’IA que leur organisation n’a ni choisis ni validés. C’est le shadow IT appliqué à l’IA. Au 31 octobre 2026, nous n’avons pas trouvé de terme officiel.

Le shadow AI est-il répandu en France ?

Selon un coauteur du baromètre ESSCA et Forvis Mazars (enquête de mars 2026, 203 répondants en France), une entreprise française sur cinq décrit le shadow AI comme répandu, contre une sur dix au Royaume-Uni, en Allemagne et en Espagne. Dans l’État, une enquête auprès d’environ 2 000 agents de neuf administrations indique que 55 % ont recours à des outils d’IA non validés (juin 2026).

Comment bloquer les robots de prise de notes dans Teams ?

Dans Microsoft Teams, le paramètre de stratégie de réunion ExternalBotAccessMode place par défaut les robots externes détectés en salle d’attente, jusqu’à une admission explicite, selon Microsoft. Certains robots peuvent échapper à la détection, et un logiciel installé sur un poste ne passe pas par la salle d’attente.