Il y a une scène, au début d'Analogique, le roman que j'ai écrit. André Vidal dirige un cabinet de quarante-deux personnes. Un lundi matin, il découvre que ses six dernières propositions commerciales sont indifférenciables. Le même ton, les mêmes tournures, la même absence de signature. Il ne comprend pas. Ses équipes n'ont pourtant jamais autant produit, jamais rendu aussi vite.
Ce qu'André ne voit pas encore, c'est que chacun, dans son coin, a trouvé le même assistant, et lui pose à peu près les mêmes questions. Personne ne le lui a dit. Ça ne figure dans aucun outil officiel, aucune licence, aucun reporting. C'est du Shadow AI. Et le jour où il s'en aperçoit, ce n'est pas par une alerte de sécurité. C'est parce que ses propositions se ressemblent toutes.
Le Shadow AI, c'est tout l'usage de l'IA qui se déroule dans votre organisation en dehors de tout cadre. Dans des comptes personnels, des onglets privés, des abonnements payés à titre individuel et remboursés en note de frais. Vous ne le voyez pas, donc vous ne le pilotez pas. Et la plupart du temps, vous en sous-estimez massivement l'ampleur : ce n'est pas une poignée de curieux, c'est déjà la moitié de vos équipes.
Face à ça, deux réflexes, et ils échouent tous les deux.
Le premier : interdire. Bloquer les accès, publier une note de service, rappeler la règle. Résultat, l'usage ne disparaît pas, il s'enfonce. Les gens basculent sur leur téléphone personnel, copient-collent en douce, et continuent exactement comme avant, sans la moindre trace. Vous avez transformé un problème visible en problème invisible. Vous avez aggravé le Shadow AI en croyant le supprimer.
Le second : tout autoriser. Laisser faire, au nom de la productivité, parce que de toute façon « on ne peut pas lutter ». Résultat, des données sensibles qui partent dans des outils que vous n'avez pas choisis, une qualité de livrable qui dépend entièrement de qui tient le clavier, et aucune mémoire de ce qui a marché. La vitesse, oui. Le capital, jamais.
Il existe une troisième voie, et elle tient en un déplacement simple : on ne gouverne pas l'outil, on gouverne la pratique.
Le Shadow AI n'est pas d'abord un problème de sécurité à verrouiller. C'est de la valeur non capturée. Quand un commercial trouve, seul, la bonne réponse à une objection difficile, ce n'est pas une fuite : c'est une pratique qui mériterait de devenir celle de toute l'équipe. Quand quelqu'un améliore une trame, met au point un meilleur message de relance, ce n'est pas un risque à éteindre, c'est un actif à récupérer. Le problème n'est jamais qu'il l'ait trouvé avec l'IA. C'est que ça reste dans l'ombre, et que demain son collègue refera le même chemin, de zéro.
Encadrer la pratique, c'est capter ce qui marche, le rendre visible, le faire valider par un référent, et le remettre à disposition de tous. Le même usage qui, laissé seul, dilue la singularité du cabinet devient, partagé, ce qui la renforce. L'usage individuel devient une capacité collective. L'ombre devient un actif.
Laisser ce capital dans l'ombre a un coût, et il est désormais documenté. Acemoglu, Kong et Ozdaglar (NBER, working paper 34910, février 2026) le formalisent : quand chacun délègue à l'IA sans que rien ne s'agrège, une organisation peut exécuter plus vite tout en produisant moins de savoir partagé. Au-delà d'un seuil, le stock de connaissance commune cesse de se renouveler. Les chercheurs nomment ce basculement le knowledge collapseKnowledge collapseL'érosion de la mémoire institutionnelle quand l'IA fait exécuter plus vite sans que rien ne soit capitalisé.. Et leur conclusion est sans ambiguïté : ce qui protège une organisation, c'est sa capacité à agréger ce que ses membres apprennent.
C'est exactement ce qui manque à André. Pas un outil de plus à bloquer. Un endroit où ce que chacun découvre, seul, cesse d'être un secret pour devenir une force.
Alors la vraie question, pour un dirigeant, n'est pas : comment empêcher mes équipes d'utiliser l'IA en douce.
C'est : pourquoi leurs meilleures trouvailles restent-elles dans l'ombre, au lieu de devenir les nôtres ?