Shadow AI et IA Act : ce que l’employeur doit savoir
Le règlement européen sur l’IA (règlement (UE) 2024/1689, dit IA Act) ne concerne pas seulement les éditeurs. Une entreprise qui utilise l’IA dans son activité est un déployeur, et certaines obligations s’appliquent déjà. Or on ne peut pas les respecter pour des outils qu’on ne voit pas : c’est là que le Shadow AI devient un sujet de conformité.
État du droit au 2 novembre 2026, intégrant le règlement (UE) 2026/1744 (« omnibus numérique sur l’IA »), entré en vigueur le 27 juillet 2026.
Ce qui s’applique, et quand
| Depuis le | Ce qui s’applique | Pour l’employeur |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5) et maîtrise de l'IA (article 4) | Aucune reconnaissance des émotions au travail ; accompagner les équipes qui utilisent l'IA |
| 2 août 2026 | Transparence (article 50) ; contrôle par les autorités nationales | Signaler les contenus générés ou modifiés par l'IA quand le texte l'exige (hypertrucages, textes publiés pour informer le public) |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III, dont l'emploi (report par le règlement 2026/1744) | Obligations du déployeur (article 26) pour les outils de recrutement, d'évaluation, de promotion ou de suivi des salariés |
La maîtrise de l’IA (article 4)
C’est l’obligation qui touche toutes les entreprises qui utilisent l’IA. Depuis le règlement 2026/1744, elle demande de prendre des mesures pour favoriser la maîtrise de l’IA du personnel et des personnes qui utilisent l’IA pour le compte de l’entreprise, en tenant compte de leurs connaissances, de leur expérience et du contexte d’usage. Le texte précise qu’il n’exige pas de garantir un niveau donné pour chaque personne.
Concrètement : savoir quels outils sont utilisés, expliquer à chaque équipe ce qu’elle peut y confier ou non, fixer des règles simples dans une charte, et garder une trace de ces actions. Sans savoir quels outils circulent, l’accompagnement porte sur une liste théorique.
Les usages RH, à haut risque à partir de décembre 2027
Les systèmes d’IA utilisés pour recruter, trier des candidatures, évaluer des salariés, décider d’une promotion ou d’une rupture, attribuer des tâches ou suivre les performances sont classés à haut risque (annexe III). Leurs obligations s’appliquent à partir du 2 décembre 2027. Pour l’employeur qui les utilise, l’article 26 prévoit notamment :
- d’utiliser le système conformément à sa notice et de confier sa surveillance à des personnes compétentes ;
- de conserver les journaux générés par le système, au moins six mois ;
- d’informer les représentants du personnel et les salariés concernés avant de mettre le système en service sur le lieu de travail ;
- d’informer les personnes qui font l’objet de décisions prises ou assistées par le système.
Le risque lié au Shadow AI est concret : un manager qui demande à un assistant généraliste de classer des CV crée un usage à haut risque que personne n’a décidé. Le repérer avant décembre 2027 laisse le temps de l’encadrer ou de l’arrêter.
Le registre des outils d’IA
L’IA Act n’impose pas en toutes lettres à chaque déployeur de tenir un inventaire. L’enregistrement dans la base de données de l’Union concerne surtout les fournisseurs de systèmes à haut risque et les autorités publiques. Mais pour montrer que l’entreprise favorise la maîtrise de l’IA, qu’aucun usage n’est interdit et que les usages à haut risque sont identifiés, il faut une liste à jour : outil, éditeur, finalité, données confiées, équipes concernées, décision (retenu, toléré, écarté).
Ce registre rejoint celui du RGPD : dès qu’un outil d’IA traite des données personnelles, le traitement doit figurer au registre des traitements, et une analyse d’impact peut être nécessaire.
Par où commencer
- Mesurer les usages réels, sans lire les conversations : voir les méthodes et leurs limites.
- Décider des outils retenus, de préférence avec des comptes professionnels encadrés par un contrat.
- Inscrire chaque outil au registre IA et, s’il traite des données personnelles, au registre des traitements.
- Accompagner les équipes : charte d’usage, consignes sur les données à ne pas confier, trace des actions menées.
- Repérer les usages RH qui deviendront à haut risque en décembre 2027.
L’audit Shadow AI gratuit couvre la première étape en sept jours. Les outils observés peuvent ensuite être inscrits en une fois au registre IA Act de Mon Registre, avec le statut « observé, à qualifier ».
Lancer l’audit gratuitGlossaire de l’IA Act
Cette page présente le règlement de façon générale ; elle ne constitue pas un conseil juridique.
L'IA Act s'applique-t-il à une PME qui utilise seulement ChatGPT ?
Oui, pour une partie. Une entreprise qui utilise un système d'IA dans le cadre de son activité est un « déployeur » au sens du règlement. Pour un usage courant d'un assistant généraliste, les obligations sont limitées : favoriser la maîtrise de l'IA par les personnes qui l'utilisent (article 4), ne pas recourir aux pratiques interdites (article 5), et respecter les règles de transparence lorsqu'elles s'appliquent (article 50). Les obligations lourdes visent les usages à haut risque, comme le recrutement ou l'évaluation des salariés.
L'obligation de formation à l'IA existe-t-elle toujours ?
Oui, sous une forme assouplie. Depuis le règlement (UE) 2026/1744, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent l'IA pour leur compte, sans exiger de garantir un niveau précis pour chacun. Il s'applique depuis le 2 février 2025 ; les autorités nationales peuvent en contrôler le respect depuis le 2 août 2026. Il est prudent de garder une trace de ce qui a été fait : sensibilisation, charte, consignes par outil.
Faut-il tenir un registre des outils d'IA ?
Le règlement n'impose pas en toutes lettres un inventaire à chaque déployeur. Mais on ne peut pas accompagner les équipes sur des outils qu'on ne connaît pas, ni vérifier qu'aucun usage n'est interdit ou à haut risque. Le registre des outils d'IA est donc la façon pratique de démontrer que l'on maîtrise ses usages. Si l'outil traite des données personnelles, le registre des traitements du RGPD, lui, est obligatoire.
Le Shadow AI rend-il l'employeur responsable ?
La question de savoir si un usage non autorisé fait de l'employeur un déployeur n'est pas tranchée. En pratique, l'outil sert le travail de l'entreprise et traite ses données : l'entreprise a intérêt à le connaître, à décider s'il est retenu ou non, et à l'encadrer. Ignorer l'usage ne protège pas, et le RGPD s'applique de toute façon aux données personnelles envoyées.
Quelles sanctions prévoit l'IA Act ?
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements. Pour les PME, c'est le plus bas des deux montants qui s'applique (article 99).