Ressource gratuite · Kit Word + Excel

Kit Shadow IA : mesurer les usages cachés de l’IA et en sortir en 90 jours

Le shadow IA est devenu la façon dont une majorité de collaborateurs ont commencé à travailler avec l’IA. Ce kit donne aux commanditaires, DSI, RSSI, DPO et DRH de grandes organisations une méthode pour mesurer ces usages sans surveiller les personnes, en maîtriser les risques et proposer une alternative autorisée, avec un plan sur 90 jours et sept outils prêts à remplir.

📄 Word, 13 pages📊 Classeur Excel, 7 outils🗓️ Vérifié le 12 octobre 2026🆓 Gratuit

Télécharger le kitVoir la méthode en cinq temps

Selon Cegid et OpinionWay, en septembre 2026, 67 % des salariés de bureau qui utilisent l’IA recourent à des outils non fournis par leur entreprise, souvent sans en informer leur employeur, et 63 % n’ont reçu aucune formation. C’est l’IA de l’ombre, que les anglophones appellent shadow AI : des collaborateurs de bonne foi qui collent des documents de l’entreprise dans un assistant grand public ouvert sur un compte personnel, installent une extension de navigateur ou activent la fonction IA d’un logiciel sans que personne ne l’ait examinée.

Interdire ne suffit pas : selon une étude Software AG de 2024, 46 % des salariés qui utilisent ces outils continueraient malgré une interdiction, en passant par leur téléphone personnel. À l’inverse, Netskope observe que la part des utilisateurs d’IA générative sur comptes personnels recule de 78 % à 47 % en un an quand les organisations fournissent des outils gérés. Ce kit organise cette sortie : mesurer par une enquête anonyme et des statistiques techniques agrégées, qualifier les usages, proposer une alternative autorisée, encadrer, accompagner, dans le respect du RGPD et du Code du travail.

1. Ce qu’on appelle le shadow IA en 2026

Le shadow IA désigne l’utilisation par les collaborateurs d’outils d’IA que l’organisation n’a ni choisis, ni validés, ni encadrés. IBM le définit comme l’usage non autorisé de tout outil ou application d’IA par des salariés, sans approbation ni supervision de la DSI ; Microsoft parle de BYOAI, « Bring Your Own AI ». C’est une forme de shadow IT, avec des risques propres : ce que deviennent les données saisies, la fiabilité des réponses et les décisions prises sur cette base. En 2026, il ne se limite plus à un compte ChatGPT personnel ouvert dans un onglet.

Forme	Ce qu’il faut savoir
Assistants grand public sur compte personnel	ChatGPT, Claude, Gemini, Le Chat, DeepSeek et d’autres, utilisés avec des documents de l’entreprise.
Extensions de navigateur « IA »	Elles lisent les pages consultées et, pour certaines, aspirent les conversations.
Fonctions IA des logiciels SaaS	Transcription de réunions, rédaction, résumé de documents, activées sans examen.
Modèles installés en local	Netskope observe en 2025 que 34 % des organisations en utilisent ; ils sont invisibles des outils réseau.
Agents qui agissent sur le poste	Ils agissent sur le poste de travail et dans la messagerie ; le CERT-FR les a ciblés dans un bulletin d’avril 2026.

2. L’ampleur du phénomène en 2026

Les enquêtes publiées en France depuis le printemps 2026 convergent : une majorité des utilisateurs d’IA passent par des outils que leur organisation ne leur a pas fournis, et peu ont été formés.

Étude, en France	Population	Résultat
Cegid et OpinionWay, septembre 2026	Salariés de bureau	67 % des utilisateurs d’IA recourent à des outils non fournis par leur entreprise, souvent sans en informer leur employeur ; 63 % n’ont reçu aucune formation
Observatoire de l’IA responsable, ViaVoice pour Impact AI, juin 2026	1 000 salariés du privé	61 % des utilisateurs passent par des outils grand public externes, 19 % par des outils internes ; 23 % ont été formés
DITP, avril 2026	1 867 agents publics	89 % utilisent déjà l’IA, 55 % avec des outils hors du cadre officiel
Coface et Les Echos Études, octobre 2026	900 décideurs	60 % des entreprises n’ont pas de cadre IA formalisé, 17 % ont une politique écrite et communiquée
CNIL, enquête auprès des DPO, juillet 2026	Délégués à la protection des données	Moins d’un tiers des organismes ont sensibilisé leurs équipes ou adopté une charte ; 85 % des DPO n’ont reçu aucune formation spécifique à l’IA

Étude, dans le monde	Résultat
Microsoft et LinkedIn, Work Trend Index, mai 2024	78 % des utilisateurs d’IA apportent leurs propres outils au travail ; 52 % hésitent à avouer qu’ils l’utilisent pour leurs tâches les plus importantes
BCG, AI at Work, juin 2025	54 % des salariés disent qu’ils utiliseraient l’IA même sans autorisation
Netskope, Cloud and Threat Report, janvier 2026	La part des utilisateurs d’IA générative sur comptes personnels recule de 78 % à 47 % en un an, celle des comptes gérés passe à 62 % ; en moyenne 223 violations de politique de données liées à l’IA générative par organisation et par mois
IBM, Cost of a Data Breach, juillet 2025	20 % des organisations ont subi une fuite impliquant du shadow IA ; 63 % des organisations touchées n’avaient pas de politique de gouvernance de l’IA
Gartner, novembre 2025	D’ici 2030, plus de 40 % des entreprises connaîtront un incident de sécurité ou de conformité lié au shadow IA ; 69 % des responsables cyber interrogés soupçonnent ou constatent déjà des usages interdits

Ce que disent ces chiffres : le shadow IA n’est pas un comportement marginal à repérer, c’est la façon dont une majorité de collaborateurs ont commencé à travailler avec l’IA. La bonne nouvelle vient de Netskope : quand les organisations fournissent des outils gérés, la part des comptes personnels recule vite. La sortie passe d’abord par l’offre.

3. Pourquoi vos collaborateurs le font, et pourquoi interdire ne suffit pas

Avant de chercher à réprimer, il faut comprendre. Les enquêtes donnent des raisons très concrètes, que l’enquête anonyme du kit vous permet de vérifier chez vous.

Raison	Ce qu’en disent les études
Il n’y a pas d’outil officiel	47 % des actifs disent que leur organisation n’en fournit aucun (Kantar pour Master the Monster, juin 2026)
L’outil officiel ne suffit pas	Parmi ceux qui ont un outil fourni, seuls 25 % le jugent adapté à leurs besoins (même étude) ; 47 % des agents publics citent une performance insuffisante (DITP)
Le gain de temps	60 % jugent que la rapidité justifie le risque (BlackFog, 2026)
La peur d’être jugé	52 % hésitent à avouer leur usage pour leurs tâches importantes (Microsoft, 2024)
L’absence de règles claires	Seules 17 % des entreprises ont une politique écrite et communiquée (Coface, 2026)

En 2023, Samsung, Apple et JPMorgan ont restreint ChatGPT après des fuites ou par précaution : chez Samsung, des ingénieurs y avaient collé du code source et des comptes rendus de réunion. L’histoire ne s’arrête pas là. Samsung a lancé un modèle interne fin 2023, puis a ouvert en 2026 plusieurs assistants du marché à une de ses divisions après un pilote encadré ; JPMorgan a déployé son propre assistant à des dizaines de milliers de salariés en 2024. Interdire sans proposer d’alternative déplace les usages vers les téléphones personnels et les rend invisibles, ce qui est pire.

4. Les risques réels et les incidents documentés

Selon Netskope, les données qui fuient vers l’IA générative sont d’abord du code source (42 % des violations observées), des données réglementées (32 %) et de la propriété intellectuelle (16 %) ; en Europe, les données réglementées dominent (59 %). Selon IBM, quand une fuite implique du shadow IA, des données personnelles sont compromises dans 65 % des cas.

Date	Incident	Leçon
Avril 2023	Samsung : code source et réunions saisis dans ChatGPT par des ingénieurs	Les fuites viennent de salariés de bonne foi, pas de malveillants
Été 2025	Des conversations ChatGPT partagées par lien se retrouvent indexées par Google ; OpenAI retire l’option	Une fonction anodine d’un outil grand public peut rendre public un échange interne
Décembre 2025	Quatre extensions de navigateur, plus de 8 millions d’utilisateurs sur Chrome et Edge, captaient les conversations avec les principaux assistants	Les extensions sont un angle mort, même badgées « recommandées »
Janvier 2026	Deux extensions « barre latérale IA », environ 900 000 utilisateurs, exfiltraient les conversations toutes les 30 minutes	Une politique d’extensions est indispensable
Avril 2026	Le CERT-FR alerte sur les assistants autonomes installés sur les postes de travail	Les agents élargissent le risque de la donnée à l’action

Pour l’organisation, les conséquences dépassent la fuite. Un outil non autorisé qui traite des données personnelles crée un traitement sans contrat de sous-traitance, souvent sans analyse d’impact, et parfois un transfert hors de l’Union européenne. Laisser saisir des informations stratégiques dans des outils publics sans règles affaiblit la protection du secret des affaires, qui suppose des mesures de protection raisonnables (point à faire valider par vos juristes). Des analyses produites sans relecture ni traçabilité finissent dans des notes de direction. Et IBM chiffre à 670 000 dollars le surcoût moyen d’une fuite dans les organisations où le shadow IA est très présent.

5. Mesurer sans fliquer : ce que permet le cadre

Les autorités françaises ne demandent pas de surveiller les salariés, mais d’encadrer. Les questions-réponses de la CNIL de juillet 2024 sur l’IA générative demandent une charte ou une politique interne, de ne jamais partager d’informations confidentielles comme des données personnelles avec un service grand public, de consulter le DPO, de former les utilisateurs et de mener des contrôles réguliers. Les recommandations de l’ANSSI pour un système d’IA générative (avril 2024) demandent de proscrire les outils d’IA générative en ligne pour un usage professionnel impliquant des données sensibles (recommandation R34). Le bulletin CERTFR-2026-ACT-016 du 13 avril 2026 recommande de ne pas déployer d’assistants autonomes comme OpenClaw ou Claude Cowork sur les postes en dehors d’environnements de test isolés, sans validation de la DSI et du RSSI. Enfin, l’article 4 de l’AI Act, réécrit par le règlement omnibus entré en vigueur le 27 juillet 2026, demande de favoriser la maîtrise de l’IA par le personnel : former au bon usage des outils autorisés est la réponse la plus directe.

Code du travail	Conséquence pour votre diagnostic
L1121-1	Toute restriction des libertés des salariés doit être justifiée par la tâche et proportionnée au but recherché : un blocage ciblé vaut mieux qu’une surveillance générale.
L1222-4	Aucune information personnelle sur un salarié ne peut être collectée par un dispositif qui ne lui a pas été présenté au préalable.
L2312-38	Le CSE est informé et consulté avant la mise en œuvre de tout moyen de contrôle de l’activité des salariés : CASB, proxy journalisé, DLP sur les prompts.
L1321-5	Une charte qui crée des obligations générales et permanentes assorties de sanctions vaut adjonction au règlement intérieur : avis du CSE et communication à l’inspection du travail.

La règle d’or du diagnostic : pour savoir ce qui se passe, vous n’avez pas besoin de savoir qui fait quoi. Une enquête anonyme et des statistiques techniques agrégées par service suffisent pour décider. Réservez toute analyse nominative à des cas d’incident, dans un cadre présenté aux salariés et au CSE. La CNIL a sanctionné en 2023 une entreprise à hauteur de 32 millions d’euros pour une surveillance excessive de ses salariés : la proportionnalité n’est pas un détail.

6. La méthode en cinq temps

Temps	Objectif	Outil du classeur
1. Mesurer	Savoir quels outils sont utilisés, pour quoi, avec quelles données	Enquête anonyme, diagnostic technique
2. Qualifier	Classer chaque usage par niveau de risque et de valeur	Registre des usages et matrice de risque
3. Proposer	Offrir une alternative autorisée aussi utile que l’outil de l’ombre	Liste des outils
4. Encadrer	Fixer les règles : données, outils, extensions, agents	Liste des outils, matrice données et outils
5. Accompagner	Former, animer, mesurer la sortie	Plan 90 jours, indicateurs de sortie

Mesurer. L’enquête anonyme compte douze questions, cinq minutes, aucune donnée nominative : quels outils, à quelle fréquence, pour quelles tâches, avec quels types de données, pourquoi pas l’outil officiel, ce qui manquerait pour s’en passer. Annoncez-la comme une démarche d’amélioration, pas comme un contrôle. Le diagnostic technique, lui, s’appuie sur ce que vos outils voient déjà, avec des angles morts qu’il faut connaître.

Source	Ce qu’elle voit	Ce qu’elle ne voit pas
Journaux proxy, DNS, pare-feu	Domaines d’IA contactés, volumes, services concernés	Le contenu, les appareils personnels, la 4G, les modèles locaux
CASB ou SSE (Defender for Cloud Apps, Netskope, Zscaler)	Applications d’IA utilisées, comptes personnels ou professionnels, niveau de risque de chaque application	Ce qui sort des postes et réseaux gérés
DLP et posture des données (Purview DSPM for AI, DLP poste)	Données sensibles envoyées vers des sites d’IA, blocage ou alerte au collage et au téléversement	Les navigateurs ou postes non intégrés
Navigateur d’entreprise (Edge for Business, Chrome Enterprise)	Collage et téléversement vers les sites d’IA, extensions installées	Les autres navigateurs
Gestion des postes	Applications et modèles installés localement	Les appareils personnels

Qualifier. Chaque usage repéré se qualifie selon la sensibilité des données concernées, le type de compte (personnel, professionnel non géré, géré par l’organisation) et la valeur métier. Le registre du classeur calcule un score et propose une décision : autoriser en l’état, migrer vers l’outil officiel, autoriser sous conditions ou interdire. Les usages à forte valeur et faible risque sont vos meilleurs candidats pour élargir l’offre officielle.

Proposer. C’est le levier qui compte le plus. Après le pilote de son assistant IA sur 10 000 agents, l’État indique que 56 % d’entre eux disent avoir réduit leur usage de solutions non souveraines. Une alternative ne fonctionne que si elle est aussi simple d’accès que l’outil grand public, aussi utile sur les tâches réellement pratiquées, accompagnée d’une formation courte et de cas d’usage par métier, et disponible avant l’annonce des interdictions, jamais après.

Encadrer. Une période de déclaration sans sanction de 30 jours, lancée par un message de la direction, donne un registre réel des usages et fait des collaborateurs des sources plutôt que des suspects. S’y ajoutent trois listes d’outils (autorisés, tolérés sous conditions, interdits, avec la raison de chaque interdiction), une règle de données en feux tricolores, une liste blanche des extensions de navigateur, des agents autonomes réservés à des environnements de test validés, et une charte à jour, en respectant la procédure de l’article L1321-5 si elle prévoit des sanctions.

Accompagner. Formez au bon usage de l’outil officiel, appuyez-vous sur des ambassadeurs dans chaque direction, publiez les cas d’usage qui marchent et refaites l’enquête à 90 jours. Les indicateurs de sortie suivent la part des usages sur l’outil officiel, la part des comptes personnels, les violations de données détectées et les collaborateurs formés.

7. Le plan sur 90 jours

Période	Actions
Jours 1 à 15	Cadrer avec la DSI, le RSSI, le DPO et la DRH ; informer le CSE de la démarche et de tout dispositif technique ; lancer l’enquête anonyme ; dresser l’état des sources techniques.
Jours 15 à 30	Analyser les résultats ; qualifier les usages ; décider de l’alternative officielle et de ses fonctions prioritaires.
Jours 30 à 60	Ouvrir ou élargir l’outil officiel ; lancer la période de déclaration sans sanction ; former les premières populations ; publier les trois listes et la règle de données.
Jours 60 à 90	Activer les blocages ciblés pour les usages à haut risque, après information des salariés ; politique d’extensions ; mettre à jour la charte ; animer les ambassadeurs.
Jour 90	Refaire l’enquête, comparer les indicateurs, décider des ajustements et du rythme de revue.

Les cinq erreurs que le kit aide à éviter : interdire avant d’avoir une alternative, et pousser les usages vers les téléphones personnels ; analyser les prompts de façon nominative sans information des salariés ni consultation du CSE ; sanctionner les premiers à déclarer leurs usages, et tuer toute transparence ; bloquer sans expliquer pourquoi, ni ce qui est autorisé à la place ; oublier les extensions, les fonctions IA des logiciels SaaS, les modèles locaux et les agents.

8. Ce que contient le kit

Le document Word compte 13 pages en 10 chapitres : ce qu’on appelle le shadow IA ; l’ampleur du phénomène en 2026 ; pourquoi vos collaborateurs le font ; les risques réels ; mesurer sans fliquer ; la méthode en cinq temps ; le plan sur 90 jours ; le message type pour lancer la période de déclaration ; la checklist du commanditaire ; les ressources.

Le classeur Excel « Outils du kit Shadow IA » reprend la démarche en sept outils : l’enquête anonyme en 12 questions, prête à reproduire dans Microsoft Forms, qui calcule les pourcentages ; le diagnostic technique agrégé, qui recense vos sources, calcule votre couverture et agrège les domaines d’IA détectés par service, jamais par personne ; le registre des usages et la matrice de risque, avec score et décision proposée ; la liste des outils autorisés, tolérés et interdits ; la matrice données et outils en feux tricolores ; le plan sur 90 jours, dont les échéances se calculent à partir de la date de lancement ; les indicateurs de sortie, avec taux d’atteinte et statut.

Le kit, chapitre par chapitre : ce que chaque chapitre contient et à quoi il sert. Les modèles à remplir sont dans le document Word et le classeur Excel.

Chapitre 1. Ce qu’on appelle le shadow IA

La définition, le lien avec le shadow IT et les cinq formes que prend le phénomène en 2026, des assistants grand public aux agents.

Chapitre 2. L’ampleur du phénomène en 2026

Les enquêtes françaises et internationales les plus récentes, et ce qu’elles disent de la façon d’en sortir.

Chapitre 3. Pourquoi vos collaborateurs le font

Les raisons données par les enquêtes et pourquoi l’interdiction seule échoue, avec l’exemple de Samsung de 2023 à 2026.

Chapitre 4. Les risques réels

Les données qui fuient, cinq incidents documentés et leurs leçons, et les conséquences pour l’organisation : RGPD, secret des affaires, qualité des décisions, coût.

Chapitre 5. Mesurer sans fliquer : ce que permet le cadre

Ce que recommandent la CNIL, l’ANSSI, le CERT-FR et l’AI Act, ce que dit le Code du travail et la règle d’or du diagnostic.

Chapitre 6. La méthode en cinq temps

Mesurer, qualifier, proposer, encadrer, accompagner : chaque temps avec ses actions et l’outil du classeur qui le soutient.

Chapitre 7. Le plan sur 90 jours

Le plan période par période, du cadrage à la nouvelle enquête du jour 90, et les cinq erreurs à éviter.

Chapitre 8. Message type : lancer la période de déclaration

Un message prêt à adapter et à faire signer par la direction générale ou le commanditaire, pour inviter chacun à déclarer ses usages sans sanction.

Chapitre 9. Checklist du commanditaire

Douze points à cocher, de l’anonymat du diagnostic aux indicateurs de sortie, en passant par le CSE, l’alternative officielle et la charte.

Chapitre 10. Ressources

Les publications des autorités françaises, les études citées et la documentation des outils techniques, pour aller plus loin.

9. Questions fréquentes

Qu’est-ce que le shadow IA ?

C’est l’utilisation par les collaborateurs d’outils d’IA que l’organisation n’a ni choisis, ni validés, ni encadrés : assistants grand public sur compte personnel, extensions de navigateur, fonctions IA de logiciels SaaS activées sans examen, modèles installés en local, agents qui agissent sur le poste. C’est une forme de shadow IT, avec des risques propres : le devenir des données saisies, la fiabilité des réponses et les décisions prises sur cette base.

Faut-il interdire ChatGPT dans l’entreprise ?

Interdire seul ne suffit pas : selon Software AG, 46 % des salariés qui utilisent des outils non autorisés continueraient malgré une interdiction, et les usages migrent vers les téléphones personnels. L’ANSSI demande de proscrire les outils d’IA générative en ligne pour les usages impliquant des données sensibles, et le guide du Campus Cyber ajoute qu’il faut proposer un outil interne comparable. La bonne séquence : une alternative autorisée d’abord, des règles par classe de données ensuite, des blocages ciblés en dernier.

Peut-on surveiller les prompts des salariés ?

Pas n’importe comment. Le Code du travail impose que toute restriction soit justifiée et proportionnée (L1121-1), qu’aucune information personnelle ne soit collectée par un dispositif non présenté au salarié (L1222-4) et que le CSE soit informé et consulté avant tout moyen de contrôle de l’activité, comme un CASB, un proxy journalisé ou une DLP sur les prompts (L2312-38). Pour le diagnostic, une enquête anonyme et des statistiques agrégées par service suffisent ; l’analyse nominative se réserve aux incidents, dans un cadre présenté aux salariés et au CSE.

Faut-il consulter le CSE ?

Oui, dès qu’un dispositif technique permet de contrôler l’activité des salariés (L2312-38). Si la charte IA crée des obligations générales et permanentes assorties de sanctions, elle vaut adjonction au règlement intérieur : avis du CSE et communication à l’inspection du travail (L1321-5). Le plan du kit prévoit d’informer le CSE de la démarche dès les quinze premiers jours.

Que disent l’ANSSI et le CERT-FR ?

Les recommandations de l’ANSSI pour un système d’IA générative (avril 2024) demandent de proscrire l’usage d’outils d’IA générative en ligne pour un usage professionnel impliquant des données sensibles (recommandation R34). Le bulletin CERTFR-2026-ACT-016 du 13 avril 2026 recommande de ne pas déployer d’assistants autonomes comme OpenClaw ou Claude Cowork sur les postes de travail en dehors d’environnements de test isolés, sans validation de la DSI et du RSSI, et souligne le risque de shadow IT en l’absence de politique stricte de gestion des postes.

Combien de temps faut-il pour en sortir ?

Le kit propose un plan sur 90 jours : cadrage, information du CSE et enquête anonyme les quinze premiers jours, analyse et choix de l’alternative jusqu’au jour 30, ouverture de l’outil officiel, période de déclaration sans sanction et formation jusqu’au jour 60, blocages ciblés, politique d’extensions et charte jusqu’au jour 90, puis une nouvelle enquête pour comparer les indicateurs.

Que contient le classeur Excel ?

Sept outils : l’enquête anonyme en 12 questions avec calcul des résultats, le diagnostic technique agrégé par service, le registre des usages et la matrice de risque avec décision proposée, la liste des outils autorisés, tolérés et interdits, la matrice données et outils en feux tricolores, le plan sur 90 jours avec échéances calculées et les indicateurs de sortie.

Le kit est-il gratuit ?

Oui. Le document Word et le classeur Excel sont gratuits, contre une adresse email professionnelle qui sert uniquement à vous transmettre le lien de téléchargement. Aucun email non sollicité.

10. Aller plus loin

Sortir du shadow IA se joue sur plusieurs terrains. Le modèle de charte IA fixe les règles d’usage, avec la classification des données et le registre des outils approuvés, tolérés et interdits ; le kit Sécurité et données évalue les risques d’un projet IA avant de l’ouvrir ; le kit RGPD cadre le traitement des données personnelles. Pour l’alternative officielle, le modèle de plan de formation IA structure la formation au bon usage et le kit Ambassadeurs IA anime le relais dans chaque direction. Les organisations qui veulent écrire leurs règles avec leurs équipes peuvent s’appuyer sur la mission charte des usages de l’IA générative.

À lire aussi : Shadow AI, une menace silencieuse pour les organisations, Shadow IA : l’innovation plus rapide que la gouvernance, Modèle de charte IA et Kit Sécurité et données du commanditaire de projet IA.

Toute la série des kits gratuits. Pour piloter l’adoption : modèle de charte IA, modèle de plan de formation IA, kit Ambassadeurs IA, kit du manager face à l’IA, kit Feuille de route d’adoption, grille de maturité IA, kit Mesure et ROI de l’IA, kit Gouvernance des IA, kit Cowork, kit Copilot Studio, kit Claude Skills et kit Vibe coding. Pour le commanditaire de projet IA : kit IA Act, kit RGPD, kit Sécurité et données, kit IA et dialogue social, kit IA frugale, kit Souveraineté IA et kit IA responsable. Par métier : kit IA RH, kit IA marketing, kit IA finance, kit IA juristes, kit IA du commercial, kit IA du chef de projet, kit IA de l’innovateur et kit IA du communicant.

11. Sources

Les informations citées sur cette page et dans le kit s’appuient notamment sur les sources suivantes, vérifiées le 12 octobre 2026. Le kit en donne la liste complète dans son chapitre Ressources.

• CNIL, questions-réponses sur l’IA générative ; enquête auprès des DPO sur l’IA ; CNIL et CIANum, note sur l’IA agentique.
• ANSSI, recommandations de sécurité pour un système d’IA générative ; CERT-FR, bulletin CERTFR-2026-ACT-016 ; Campus Cyber, guide d’implémentation sécurité IA.
• Code du travail, articles L2312-38 et L1222-4.
• Cegid et OpinionWay, l’IA en entreprise, septembre 2026 ; Observatoire de l’IA responsable 2026 ; DITP, enquête auprès des agents, avril 2026.
• Netskope, Cloud and Threat Report 2026 ; IBM, Cost of a Data Breach 2025 ; Gartner, angles morts de l’IA générative, novembre 2025 ; Microsoft et LinkedIn, Work Trend Index 2024.
• Microsoft, découvrir les applications d’IA utilisées ; Microsoft Purview et les autres applications d’IA ; gestion des extensions dans Microsoft Edge.