Le chiffre est tombé le 5 avril dans La Tribune Dimanche, et il aurait mérité un séisme : dans une enquête menée auprès de 2 000 agents publics issus de neuf administrations, plus d'un sur deux déclare utiliser ChatGPT ou un équivalent dans l'exercice de ses fonctions. Sans cadre, sans supervision, sans déontologie formalisée. Mieux : 73 % constatent un gain de productivité, et 80 % veulent aller plus loin. Comme le décrit étienne Delouvrier (Avanoo) dans InformatiqueNews, le « Shadow IA » n'est plus une hypothèse : il est déjà dans les mairies.
Commençons par dire ce qui se dit rarement : ce n'est pas une faute professionnelle collective. L'agent qui fait reformuler une note en langage clair, traduire un courrier d'usager en ukrainien, ou produire une trame de délibération à partir d'un brouillon, fait exactement ce qu'on attend d'un service public : plus vite, mieux, avec moins. Il invente, seul, les usages que la doctrine n'a pas encore eu le temps d'écrire.
Le Shadow IA n'est pas le symptôme d'une fonction publique dépassée. C'est celui d'une fonction publique en avance sur sa propre gouvernance.
Le vrai problème : l'asymétrie
Le problème n'est donc pas l'enthousiasme. Il est dans l'asymétrie entre cet enthousiasme et l'exposition des collectivités. Et là, les chiffres font froid dans le dos. Dans son Panorama de la cybermenace 2025, l'ANSSI indique que ministères et collectivités concentrent 24 % des incidents traités - le deuxième secteur le plus visé du pays. La même année, 144 communes ont été frappées par une cyberattaque, dont 25 par un rançongiciel confirmé. La facture est réelle et documentée : 1 M€ pour Lille, 230 000 € pour Mitry-Mory, des services entiers à l'arrêt à Gravelines.
Sur ce terrain déjà tendu vient se greffer le Shadow IA : des fichiers RH, des comptes rendus de conseils municipaux, des projets d'arrêtés, des données d'usagers qui transitent par des serveurs hors UE, soumis au Cloud Act, parfois réutilisés pour entraîner des modèles dont personne, dans la collectivité, ne maîtrise la chaîne de valeur. Le ministre David Amiel résume le risque sans détour : une « IA clandestine qui se déploie » au détriment de « nos données et notre indépendance ».
Une situation structurelle, pas une négligence
Soyons justes : la responsabilité n'est pas celle des collectivités. Une commune de 8 000 habitants dispose en moyenne d'un DSI à temps partagé - parfois d'aucun. Une intercommunalité partage souvent un RSSI pour vingt entités. Pendant ce temps, l'état déploie un assistant souverain basé sur Mistral (Mistral Medium 3, hébergé en France chez Outscale sur SecNumCloud) pour 10 000 agents ministériels… mais l'accès n'est pas encore ouvert aux territoires. Soixante-dix collectivités négocient leur entrée à Albert API. Les autres attendent. Et, en attendant, font ce qu'elles peuvent : elles ouvrent un onglet ChatGPT.
La tension est là : l'IA est trop utile pour être interdite, trop risquée pour être laissée en roue libre, et trop rapide pour attendre les négociations. Interdire ne ferait que pousser le Shadow IA plus profond dans l'ombre.
La bonne réponse : voir et encadrer, sans punir
Si l'interdiction ne marche pas et que l'attente non plus, que reste-t-il ? Encadrer. Et la bonne nouvelle, trop peu soulignée, c'est que la réponse au Shadow IA ne viendra pas nécessairement des géants américains qui en sont la racine. Un écosystème français et européen émerge, qui propose exactement ce que cherchent les collectivités : la capacité de voir, comprendre et encadrer l'usage des IA - sans bloquer l'élan ni reconstruire un SI à dix millions d'euros. Cartographier les usages réels, orienter vers des outils conformes, protéger les données sensibles à la source. Sans interdire. Sans punir. En accompagnant.
Trois principes se dégagent, et ils valent bien au-delà des mairies - pour toute organisation qui adopte l'IA :
- La souveraineté : savoir où vont les données, et garder la liberté de changer de modèle ou d'hébergeur.
- La gouvernance : décider ce que l'IA a le droit de faire, et le tracer - pas seulement regarder.
- La traçabilité : pouvoir répondre, après coup, à « qui a fait quoi, avec quel outil, sur quelle donnée ».
Là où Survol fait sa part
Soyons précis sur notre périmètre : Survol n'est pas un pare-feu qui empêche un agent de coller une note RH dans ChatGPT. Mais sur le terrain où nous opérons - la conception et le pilotage de produits numériques avec une IA de code -, nous appliquons exactement ces trois principes. Autrement dit : nous évitons le « Shadow IA » du développement, là où une collectivité (ou n'importe quelle organisation) construit ses services en ligne.
- Souverain par conception. Le code, les dépôts, les données et l'hébergement restent chez vous - dès le premier jour, et de façon réversible. Aucun fournisseur n'est câblé en dur : on parle d'« agent IA » et de « contrôle de code source » derrière des adaptateurs. Le modèle est substituable ; la couche qui orchestre, c'est vous qui la maîtrisez.
- Gouverné, pas subi. Vos règles - sécurité, conformité, conventions - sont injectées au début de chaque session sous forme de contraintes à trois niveaux (impérative, forte, préférence), et chaque application est journalisée. L'IA reste dans le cadre que vous fixez.
- Tracé de bout en bout. Chaque action de l'IA est rattachée à une fonctionnalité, une version, une demande de fusion. Qui a décidé, qui a relu, qui a validé : la mémoire est complète, et la dépense de tokens est suivie au plus près.
C'est, à notre échelle, la même philosophie que celle réclamée par les collectivités : une réponse française, simple à déployer, qui respecte la souveraineté et n'enferme personne. Survol supervise - il ne possède rien.
Ce qu'on en retient
- Le Shadow IA est d'abord une preuve d'utilité : les agents n'ont pas attendu une circulaire pour gagner du temps.
- Le risque est réel - données hors UE, Cloud Act, cybermenace - et l'interdiction ne ferait que l'aggraver.
- La réponse est une gouvernance souveraine : voir, encadrer, tracer, sans punir. Un écosystème français émerge pour ça.
- Le même réflexe vaut pour la création de logiciels : gouvernez et tracez votre IA de développement, plutôt que de la découvrir après coup.
« À nous, acteurs français, de combler l'écart. Vite », écrit étienne Delouvrier. Nous partageons le mot d'ordre - et l'urgence. Le Shadow IA n'est pas une fatalité : c'est une invitation à donner, enfin, un cadre digne de l'enthousiasme qui l'a fait naître.
