Entre le 11 décembre 2025 et le 7 janvier 2026, The Harris Poll a interrogé pour Dataiku 600 DSI de grandes entreprises dans plusieurs pays, dont 75 en France. Les résultats, publiés en février 2026 dans le rapport « 7 Career-Making AI Decisions for CIOs », donnent une mesure du shadow AI : 54 % des répondants disent avoir découvert dans leur organisation des outils ou usages d’IA non validés. Pour un DPO, ce chiffre se traduit par des traitements de données personnelles absents du registre.
Ce que mesure l’enquête
D’après le communiqué de Dataiku, 85 % des DSI indiquent que des lacunes de traçabilité ou d’explicabilité ont déjà retardé ou stoppé des projets d’IA avant leur mise en production. 70 % s’attendent à de nouvelles exigences d’audit ou d’explicabilité dans les douze mois. 87 % disent que des agents d’IA sont déjà intégrés à des opérations critiques, mais 25 % seulement ont une visibilité complète et en temps réel sur l’ensemble des agents en production. 81 % s’inquiètent que des outils d’IA créés par les salariés exposent des données sensibles.
Le communiqué ne détaille pas les résultats pays par pays. Le Monde Informatique en a tiré une donnée française : 12 % des DSI français déclarent au moins cinq décisions d’IA regrettées, contre 4 % sur l’ensemble de l’échantillon.
Le shadow AI vu par le RGPD
Un salarié qui colle un compte rendu de réunion dans un assistant grand public, un service qui branche une extension de transcription sur la messagerie, une équipe qui crée un agent connecté au CRM : chacun de ces usages met en œuvre un traitement de données personnelles. Le RGPD attend que l’organisme en connaisse la finalité, la base légale, les destinataires, les éventuels transferts hors de l’Union et la durée de conservation. Quand l’outil n’est pas connu, rien de cela n’existe, et aucun contrat article 28 n’encadre le fournisseur.
Dans les services de santé au travail et les établissements de santé que j’accompagne, la question devient sensible dès qu’un professionnel utilise un outil non validé pour reformuler un courrier ou résumer un dossier. Les données de santé d’un salarié suivi ou d’une personne prise en charge partent alors chez un prestataire dont on ignore les conditions, hors de tout cadre d’hébergement de données de santé.
Le chiffre des agents d’IA appelle la même vigilance. Un agent qui lit des courriels, interroge une base clients ou déclenche des actions dans un logiciel accède à des données personnelles avec des droits souvent larges. Sans inventaire, personne ne sait quelles habilitations lui ont été données ni quels journaux il produit.
Ce que l’AI Act ajoute
Le règlement européen sur l’intelligence artificielle impose depuis le 2 février 2025, à l’article 4, que fournisseurs et déployeurs prennent des mesures pour assurer un niveau suffisant de maîtrise de l’IA chez leur personnel. Pour les systèmes à haut risque, le déployeur doit notamment les utiliser conformément à leur notice, confier le contrôle humain à des personnes compétentes et conserver les journaux générés automatiquement pendant au moins six mois (article 26). Le calendrier d’application des règles sur le haut risque fait l’objet de discussions au niveau européen ; l’inventaire, lui, ne dépend d’aucune échéance. Un organisme ne peut pas qualifier ni documenter un système qu’il ignore.
Construire un registre des systèmes d’IA
Le registre des systèmes d’IA n’a pas besoin de partir de zéro. Il gagne à s’appuyer sur le registre RGPD, en ajoutant les informations propres à l’IA.
- Recenser les outils d’IA utilisés, validés ou non, par un questionnaire aux services et une analyse des flux réseau ou des applications installées, avec la DSI.
- Pour chaque système : fournisseur, version, rôle de l’organisme (fournisseur ou déployeur), finalité, données traitées, niveau de risque au sens de l’AI Act, traitement RGPD rattaché.
- Vérifier pour chaque outil la base légale, le contrat article 28, la localisation des données et l’usage éventuel des données pour entraîner le modèle.
- Conduire une AIPD quand le système traite des données sensibles, évalue des personnes ou fonctionne à grande échelle.
- Rédiger une charte d’usage indiquant les outils autorisés et les données à ne jamais saisir, et former les équipes.
- Garder la documentation, les journaux et les décisions de validation, pour répondre aux demandes d’audit que 70 % des DSI anticipent.
La DSI et le DPO ont intérêt à mener ce travail ensemble. La DSI voit les flux, les licences et les intégrations ; le DPO connaît les traitements, les données sensibles et les obligations d’information. Un point trimestriel sur les nouveaux outils détectés, avec une décision documentée pour chacun (validé, encadré, refusé), suffit à garder le registre à jour sans bloquer les équipes.
Interdire sans proposer d’alternative alimente le shadow AI. Mettre à disposition un outil validé, avec des règles claires, réduit souvent davantage les usages cachés qu’une interdiction générale.
Le réseau DPO FRANCE accompagne les organismes dans l’inventaire de leurs usages d’IA et leur articulation avec le RGPD. DPO SUITE intègre un registre des systèmes d’IA relié au registre des traitements, aux AIPD et aux sous-traitants, avec les preuves de chaque validation.
