L'IA fantôme dans les PME.

Ce qu'est l'IA fantôme

L'IA fantôme, c'est l'utilisation d'outils d'IA sans l'aval de sa propre DSI, le plus souvent via des accès privés à des services comme ChatGPT, Gemini ou Claude. Les salariés se font rédiger des textes, résumer des e-mails ou préparer des devis, souvent avec de vraies données de l'entreprise. Le terme s'inspire de l'informatique fantôme, plus ancienne, c'est-à-dire des logiciels qui tournent dans l'entreprise sans que la DSI en ait connaissance. La différence : l'IA s'est installée dans le quotidien de travail en quelques semaines, pas en quelques années, et l'adoption est élevée. Selon Bitkom, pour la première fois une entreprise sur deux en Allemagne utilisait l'IA (enquête 2024). L'usage individuel devance ainsi le déploiement officiel.

Base de données et méthodologie

Cette analyse s'appuie sur l'enquête Bitkom Research représentative « Les salariés recourent de plus en plus à l'IA fantôme », publiée le 21 octobre 2025. Elle a interrogé 604 entreprises en Allemagne de 20 salariés ou plus, par téléphone, sur la période allant de la semaine 27 à la semaine 32 de 2025. Comme contexte d'adoption, nous utilisons les données Bitkom sur l'utilisation de l'IA en 2024. Nous rassemblons des enquêtes publiques, nous n'inventons pas de chiffres et n'interpolons aucune valeur entre deux éditions de rapport.

Constat 1 : l'IA fantôme est arrivée dans les PME

Au total, quatre entreprises sur dix supposent que leurs salariés utilisent des accès IA privés dans un contexte professionnel. Dans 8 pour cent des entreprises, c'est très répandu de leur propre aveu, une valeur qui a doublé par rapport à 2024 (4 pour cent). 17 pour cent supplémentaires signalent des cas isolés, 17 pour cent encore le soupçonnent sans en avoir la certitude. Le chiffre réel est probablement plus élevé, car toute utilisation privée n'attire pas l'attention de l'employeur.

Constat 2 : la lacune de gouvernance est le vrai risque

Seules 23 pour cent des entreprises ont établi la moindre règle pour l'usage de l'IA. Autrement dit : dans plus de trois entreprises sur quatre, les salariés utilisent l'IA sans qu'il soit clair ce qui est autorisé et ce qui ne l'est pas. C'est précisément là que naît le risque. Qui copie un devis, un e-mail client ou un projet de contrat dans un accès IA privé transmet des données de l'entreprise, et possiblement des données personnelles, à un service avec lequel l'entreprise n'a aucun contrat de sous-traitance et dont les serveurs se trouvent souvent hors de l'UE. Ce n'est pas un problème théorique, mais un geste quotidien sans cadre juridique.

Constat 3 : pourquoi les interdictions ne fonctionnent pas

La réaction évidente est l'interdiction. Plusieurs grands groupes ont montré la voie en 2023, parmi eux Samsung, JPMorgan et Amazon ont interdit l'utilisation de ChatGPT dans l'entreprise. Mais une interdiction ne résout le problème que sur le papier. Tant que les salariés travaillent plus vite et mieux avec l'IA sans obtenir d'outil approuvé, ils se rabattent sur des accès privés. L'IA fantôme n'est donc pas un problème de discipline, mais un problème d'offre. Qui ne met à disposition aucun outil autorisé et conforme au RGPD obtient la variante non autorisée, mais sans le moindre contrôle.

Ce que ces données disent ensemble

Trois structures. Premièrement : l'IA a gagné l'ensemble des équipes, plus vite que la plupart des services informatiques n'ont pu réagir. Deuxièmement : la gouvernance est à la traîne, trois entreprises sur quatre n'ont pas de règles, et une interdiction ne fait que repousser le problème dans l'ombre. Troisièmement : le levier se situe du côté de l'offre. Un outil d'IA approuvé, hébergé en Europe et avec accès au savoir de l'entreprise, retire à l'IA fantôme sa raison d'être, car la variante approuvée devient alors aussi la plus commode.

Ce que cela signifie pour les entreprises

La conséquence pratique n'est pas plus de contrôle, mais une meilleure offre. Un assistant IA interne qui accède au savoir documenté de l'entreprise, tourne sur une infrastructure européenne et s'accompagne d'un contrat de sous-traitance couvre exactement les cas pour lesquels les salariés recourent sinon à des accès privés. Il est approuvé, il est conforme au RGPD, et il connaît vos propres processus mieux qu'un service grand public. Ainsi, ce n'est pas l'usage de l'IA qui disparaît, mais l'ombre qui l'entoure.

Liste des sources

• Bitkom, « Les salariés recourent de plus en plus à l'IA fantôme » (communiqué de presse, 21 octobre 2025, représentatif, 604 entreprises de 20 salariés ou plus)
• Bitkom, utilisation de l'IA dans les entreprises allemandes (enquête 2024)