Dernière revue :
Comment auditer la maturité IA et le shadow AI de son organisation ?
Auditer la maturité IA consiste à mesurer ce qui est réellement utilisé, quelles données y circulent et quel cadre existe, puis à situer l'organisation entre déni, interdiction, cadrage et gouvernance. Sans inventaire des usages, une organisation ne peut pas affirmer qu'elle maîtrise ses risques liés à l'IA.
Auditer la maturité IA, c'est mesurer l'écart entre les usages réels, les données exposées et le cadre écrit. On détecte les usages cachés, on cartographie l'exposition, puis on situe l'organisation sur quatre niveaux : déni, interdiction, cadrage, gouvernance.
01La réponse en clair
Auditer la maturité IA d'une organisation, c'est mesurer l'écart entre trois réalités. Ce que les collaborateurs font réellement avec l'IA. Les données qui circulent dans ces outils. Le cadre écrit que la direction a posé. L'audit ne cherche pas de coupable. Il produit un relevé daté sur lequel le comité de direction peut décider.
La méthode tient en trois temps. D'abord détecter les usages, y compris ceux que personne n'a déclarés. Ensuite cartographier l'exposition en croisant l'outil, le compte et la donnée. Enfin situer l'organisation sur quatre niveaux : déni, interdiction, cadrage, gouvernance. Les sections suivantes donnent la grille de chaque temps.
Le shadow AI désigne l'usage d'outils d'IA par des collaborateurs sans validation de l'organisation. C'est le premier objet de l'audit, parce qu'il est invisible par construction. Un audit qui ne regarde que les outils achetés par l'entreprise passe à côté d'une partie des usages.
02Pourquoi c'est un enjeu de comité de direction
L'usage de l'IA au travail est massif. En France, 73 % des salariés du privé utilisent l'IA au travail (+10 points en un an) et 55 % de façon régulière ou quotidienne. Seuls 37 % utilisent systématiquement des outils homologués par leur entreprise. Ces chiffres viennent de l'étude Greenworking × Ipsos bva publiée le 23 septembre 2026 (1 100 salariés du privé hors ouvriers, dont 474 managers, terrain du 12 au 25 mai 2026). Aux États-Unis, 45,2 % des actifs de 18 à 64 ans utilisent l'IA générative pour leur travail au deuxième trimestre 2026, contre 37,4 % en août 2025 (FRED, Federal Reserve Bank of St. Louis).
Une part de cet usage échappe au cadre. Dans l'enquête Wakefield Research pour PagerDuty (1 250 salariés de bureau hors IT, entreprises de 500 M$ de chiffre d'affaires et plus, États-Unis, Royaume-Uni, Australie et Japon, publiée le 11 juin 2026), 66 % des salariés de bureau qui utilisent l'IA pour leur travail l'ont déjà fait avec un outil qu'ils pensaient non autorisé. 88 % ont déjà partagé des informations professionnelles avec une IA publique. 38 % ont rendu un travail assisté par IA sans le signaler.
La direction connaît mal ce périmètre. Dans le Baromètre Privacy 2026 d'EQS (206 professionnels, publié le 12 février 2026), 80 % des organisations françaises n'ont pas de vision claire des risques liés à l'IA et 48 % n'ont pas identifié les systèmes d'IA utilisés dans leur organisation.
L'absence de visibilité a un coût. Selon IBM (Cost of a Data Breach 2025, Ponemon Institute, 600 organisations, 30 juillet 2025), 1 organisation sur 5 victime d'une violation de données l'a été à cause du shadow AI. Un usage élevé de shadow AI est associé à un surcoût moyen de 670 000 $.
Ces chiffres viennent d'enquêtes différentes, sur des populations et des pays différents. Ils ne s'additionnent pas et ne se comparent pas terme à terme. Pour d'autres repères publics, consultez le Baromètre Shadow AI 2026 de WYP.
Ces enquêtes convergent sur un point. L'usage réel est plus large que l'usage connu de la direction. Un audit remplace une impression par un relevé.
03Temps 1 : détecter les usages cachés
Un seul canal de détection donne une image fausse. Les signaux techniques voient les connexions mais pas l'intention. L'enquête voit l'intention mais pas tout. Croisez cinq sources et gardez les écarts entre elles. Ces écarts sont l'information.
Les signaux techniques
Journaux du pare-feu ou du proxy, connexions via l'annuaire d'identité, inventaire des postes et des extensions de navigateur. Ils indiquent quels services d'IA sont atteints, depuis quelles fonctions et à quelle fréquence. Agrégez par service ou par fonction. Il ne s'agit pas de suivre des individus.
Les flux financiers
Notes de frais, cartes d'entreprise, abonnements remboursés, achats des départements. Un abonnement individuel remboursé est un usage professionnel que la comptabilité a déjà enregistré.
L'enquête anonyme courte
Quatre questions suffisent : quels outils, pour quelles tâches, avec quels types de contenus, avec quel compte. Garantissez par écrit l'absence de sanction. Dans l'enquête PagerDuty, 38 % des salariés ont rendu un travail assisté par IA sans le signaler. Sans garantie, les réponses sous-estimeront l'usage.
Les entretiens par fonction
Quelques entretiens courts avec des managers et des collaborateurs de chaque fonction : ventes, finance, ressources humaines, juridique, support. Demandez de montrer un usage récent plutôt que de décrire une règle. Les managers voient les pratiques de leur équipe de près. Commencez par eux.
L'IA embarquée dans les outils déjà en place
Messagerie, suite bureautique, CRM, visioconférence avec comptes rendus automatiques. Ces fonctions s'activent souvent par une mise à jour, sans achat ni validation. Relevez-les outil par outil.
Distinguez enfin le type de compte utilisé. Dans le Threat Labs Report Europe 2026 de Netskope (données du 1er mars 2025 au 31 mars 2026), 43 % des utilisateurs d'IA passent par des comptes personnels, contre 79 % un an plus tôt. Les comptes gérés par l'entreprise passent de 28 % à 72 %. La part de comptes personnels est un indicateur simple à suivre d'un audit à l'autre.
04Temps 2 : cartographier l'exposition
Une liste d'outils n'est pas une cartographie. L'exposition naît du croisement de trois variables : l'outil, le compte et la donnée. Le même outil peut présenter peu de risque avec un compte géré et un contenu public. Il peut en présenter beaucoup avec un compte personnel et un dossier client.
L'outil et son régime
Pour chaque outil détecté, notez l'éditeur, la fonction, l'offre souscrite et les conditions de réutilisation des données. Ces conditions diffèrent souvent entre l'offre grand public et l'offre professionnelle d'un même éditeur. Relisez-les au lieu de les supposer.
Le compte
Compte géré par l'entreprise ou compte personnel. Un compte géré permet de retirer des accès, de garder des traces et de contractualiser. Un compte personnel ne permet rien de cela.
La donnée
Classez les contenus qui entrent dans l'outil. Dans l'enquête PagerDuty, parmi les partages avec une IA publique figurent les e-mails et la correspondance (43 %), les comptes rendus de réunion (40 %), les données clients (34 %), les informations financières (31 %), les documents ou stratégies confidentiels (31 %) et le code ou les spécifications (23 %). Reprenez ces catégories comme base de votre classement.
Le cadre légal
Dès qu'une donnée personnelle est en jeu, la question relève du RGPD. Notez-le dans la cartographie et associez le délégué à la protection des données.
Deux repères aident à pondérer. Selon Netskope, 59 % des violations de politique de données liées à l'IA et aux applications personnelles concernent des données réglementées. Dans l'étude IBM, 13 % des organisations ont subi une violation de leurs modèles ou applications d'IA, dont 97 % sans contrôles d'accès adaptés. Vérifiez donc aussi qui peut accéder à quels outils d'IA et à quelles données connectées.
Le livrable de ce temps est un tableau d'exposition. Une ligne par couple outil et fonction, avec le compte, les catégories de données, un niveau d'exposition (faible, moyen, élevé) et une décision proposée.
05Temps 3 : situer la maturité sur quatre niveaux
Quatre niveaux suffisent pour situer une organisation. Ils ne forment pas un classement de valeur. Ils indiquent la prochaine décision à prendre.
Déni
Aucun inventaire, aucune règle, aucune mesure. La direction pense que l'IA est peu utilisée ou concerne d'autres équipes. Ce point de départ n'est pas rare : dans le Baromètre Privacy 2026 d'EQS, 48 % des organisations n'ont pas identifié les systèmes d'IA utilisés. Prochaine décision : mesurer. Lancez la détection avant de rédiger quoi que ce soit.
Interdiction
Une note interdit ou limite fortement l'IA. Les usages continuent hors du radar, souvent avec des comptes personnels. Un interdit seul ne dit rien de l'usage réel. Dans l'enquête PagerDuty, 66 % des salariés de bureau qui utilisent l'IA pour leur travail l'ont déjà fait avec un outil qu'ils pensaient non autorisé. Prochaine décision : offrir une alternative validée et mesurer l'application de la note.
Cadrage
Une politique écrite existe, au moins un outil est validé, les données interdites sont listées et les équipes sont informées. L'application n'est pas encore mesurée. Selon IBM, 63 % des organisations victimes d'une violation n'ont pas de politique de gouvernance de l'IA ou sont en train de l'écrire. Atteindre ce niveau est donc déjà une avancée. Mais seuls 37 % des salariés français utilisent systématiquement des outils homologués (Ipsos bva). Prochaine décision : nommer un responsable et mesurer.
Gouvernance
Un responsable est nommé. L'inventaire est tenu à jour. Les accès sont contrôlés. Les collaborateurs sont formés. Chaque nouveau cas d'usage passe par un circuit de décision. Un indicateur est suivi en comité de direction et l'audit se refait à intervalle fixe. Prochaine décision : maintenir. Ce niveau se perd si personne ne le relit.
Le niveau interdiction est souvent pris pour de la maîtrise. C'est une impression, pas un relevé. Seule la détection dit si la note est appliquée.
06La grille : six axes, une preuve par axe
Notez chaque axe de zéro à trois, avec une preuve à l'appui. Zéro : rien n'existe. Un : cela existe mais n'est pas vérifié. Deux : c'est en place et vérifié sur un échantillon. Trois : c'est suivi par un indicateur et revu à date fixe. Une déclaration orale ne vaut pas preuve. Demandez un document, un journal, un extrait de configuration ou un compte rendu de comité.
Inventaire
Sait-on quels outils et quelles fonctions d'IA sont utilisés, et par quelles fonctions de l'entreprise ? Preuve : le tableau d'exposition, daté, avec son propriétaire.
Données
Les catégories de données interdites ou autorisées sont-elles définies et connues des équipes ? Preuve : une liste écrite, relue par le juridique et la sécurité, avec des exemples concrets.
Comptes et accès
Quelle part des usages passe par des comptes gérés ? Qui peut accéder à quels outils ? Preuve : un relevé des comptes gérés et personnels, et la liste des droits d'accès.
Cadre écrit
Une politique d'IA, une liste d'outils validés et un circuit d'exception existent-ils ? Preuve : le document signé par la direction, sa date et sa diffusion.
Compétences
Les personnes qui utilisent l'IA savent-elles ce qu'elles peuvent y mettre et comment vérifier ce qui en sort ? Preuve : une formation suivie, avec son contenu et les personnes concernées.
Pilotage
Un responsable est-il nommé, un indicateur suivi en comité, un incident déjà traité ? Preuve : les comptes rendus de comité et le registre des incidents.
Pour passer des scores au niveau, appliquez la règle du maillon faible. Une politique écrite sans inventaire reste du cadrage sur le papier.
- Déni : l'inventaire est à zéro et aucun cadre écrit n'existe.
- Interdiction : un interdit existe seul. L'inventaire et les comptes restent à zéro ou à un.
- Cadrage : tous les axes sont à un au moins et le cadre écrit est à deux.
- Gouvernance : tous les axes sont à deux au moins et le pilotage est à trois.
- Un cas intermédiaire se classe au niveau inférieur.
Chaque outil détecté appelle ensuite l'une de trois décisions : arrêter, valider avec un compte géré, ou tolérer pour une durée limitée avec une échéance. Inscrivez la décision, son responsable et la date de revue.
07Les erreurs fréquentes
Auditer l'outil au lieu de l'usage
Interdire ou valider un outil ne dit rien de ce qu'on y met. La même application peut servir à reformuler un texte public ou à résumer un dossier client. Auditez les usages et les données.
Mener un audit punitif
Si l'audit sert à sanctionner, les équipes cesseront de déclarer. Dans l'enquête PagerDuty, 38 % des salariés ont déjà rendu un travail assisté par IA sans le signaler. Un audit regarde des usages et des fonctions, pas des personnes.
Ignorer d'où viennent les habitudes
Dans l'enquête PagerDuty, 89 % des utilisateurs ont d'abord adopté l'IA dans leur vie personnelle et 79 % l'utilisent désormais plus au travail qu'en dehors. Les réflexes viennent de la sphère privée. Une règle qui ne propose pas d'alternative professionnelle risque d'être contournée.
Faire un audit unique
Les usages bougent vite, comme l'illustre la série FRED citée plus haut. Un relevé ancien ne décrit plus la situation. Fixez une fréquence de renouvellement, au minimum annuelle.
Un audit utile tient en peu de pages. Un tableau d'exposition, un niveau de maturité, trois à cinq décisions datées. Au-delà, il devient un rapport que personne ne relit.
08Ce que fait WYP, et par où commencer
WYP est un cabinet de conseil en stratégie pour dirigeants, comités de direction et conseils d'administration. Il n'édite pas d'outil de détection et ne développe pas de logiciel. Le travail porte sur les usages, les données et les décisions du comité.
L'audit des usages fait partie du Cadrage IA, l'offre d'entrée de WYP. C'est un forfait à périmètre fixe de 2 900 € HT, livré en 10 jours ouvrés. Il comprend l'audit des usages, une politique d'IA écrite, un outil validé et une restitution au comité de direction. Pour l'analyse, WYP croise plusieurs modèles d'IA (Claude, ChatGPT, Gemini, Perplexity, Mistral, Grok), recoupe leurs réponses et identifie les angles morts et les contradictions. Une personne relit et signe. L'IA aiguise la décision, elle ne la prend pas.
Pour commencer, faites le diagnostic de maturité IA, gratuit, en 90 secondes. Il situe votre organisation à grands traits. Parcourez ensuite le glossaire IA pour les notions utilisées ici, et le Baromètre Shadow AI 2026 de WYP pour des repères externes. Si le relevé montre un écart avec ce que vous pensiez, le Cadrage IA le transforme en politique écrite.
Questions fréquentes
À quelle fréquence faut-il auditer la maturité IA ?
Au minimum une fois par an, et après tout changement important d'outil ou de réglementation. Les usages évoluent vite. Aux États-Unis, la part d'actifs utilisant l'IA générative pour leur travail est passée de 37,4 % en août 2025 à 45,2 % au deuxième trimestre 2026 (FRED, Federal Reserve Bank of St. Louis).
Comment détecter le shadow AI sans surveiller les salariés ?
Croisez des signaux agrégés par fonction (journaux réseau, inventaire des comptes, notes de frais) avec une enquête anonyme. Garantissez l'absence de sanction. Dans l'enquête PagerDuty, 38 % des salariés ont rendu un travail assisté par IA sans le signaler. L'audit regarde des usages, pas des personnes.
Quelle différence entre un audit de maturité IA et un audit de conformité ?
L'audit de maturité mesure les pratiques réelles et le niveau de cadrage. L'audit de conformité vérifie le respect d'obligations précises, par exemple le RGPD. Le premier fournit l'inventaire dont le second a besoin. Selon le Baromètre Privacy 2026 d'EQS, 48 % des organisations n'ont pas identifié les systèmes d'IA utilisés dans leur organisation.
Qui doit porter l'audit dans l'organisation ?
Un membre du comité de direction, qui en fait un sujet de décision. Le responsable sécurité et le délégué à la protection des données apportent les preuves techniques et juridiques. Les managers décrivent les usages de leur équipe. Confier l'audit à la seule DSI laisse de côté les usages qui ne passent pas par elle.
Faut-il interdire les outils d'IA non validés ?
Un interdit seul ne mesure rien. Dans l'enquête PagerDuty, 66 % des salariés de bureau qui utilisent l'IA pour leur travail l'ont déjà fait avec un outil qu'ils pensaient non autorisé. Proposez un outil validé avec un compte géré, puis suivez la part de comptes personnels. Dans son rapport Europe 2026, Netskope mesure 43 % d'utilisateurs d'IA sur comptes personnels, contre 79 % un an plus tôt.
Que coûte un incident lié au shadow AI ?
Selon IBM (Cost of a Data Breach 2025), un usage élevé de shadow AI est associé à un surcoût moyen de 670 000 $, et 1 organisation sur 5 victime d'une violation de données l'a été à cause du shadow AI. Le coût réel pour une organisation dépend de ses données et de ses contrôles.
À voir aussi
Pour aller plus loin
Sources
- PagerDuty Shadow AI Survey, Wakefield Research, terrain du 9 au 20 avril 2026 (1 250 salariés de bureau hors IT, entreprises de 500 M$ de CA et plus, États-Unis, Royaume-Uni, Australie, Japon, marge d'erreur ±2,8 points), publié le 11 juin 2026. https://www.pagerduty.com/newsroom/shadow-ai-workplace-survey-2026/
- Generative AI, Adoption Rate for Work: Employed Adults (série RPSGENAIUSAGESHAREWORK, Real-Time Population Survey, actifs de 18 à 64 ans), FRED, Federal Reserve Bank of St. Louis, valeur du T2 2026 publiée le 4 août 2026. https://fred.stlouisfed.org/series/RPSGENAIUSAGESHAREWORK
- Greenworking × Ipsos bva, « IA au travail : derrière l'adoption massive, des usages fantômes et des managers en première ligne », 23 septembre 2026 (terrain du 12 au 25 mai 2026, 1 100 salariés du privé hors ouvriers, dont 474 managers). https://www.ipsos.com/fr-fr/ia-au-travail-derriere-ladoption-massive-des-usages-fantomes-et-des-managers-en-premiere-ligne
- Netskope Threat Labs Report: Europe 2026, 25 mai 2026 (données du 1er mars 2025 au 31 mars 2026). https://www.netskope.com/resources/threat-labs-reports/threat-labs-report-europe-2026
- IBM, Cost of a Data Breach 2025 (Ponemon Institute, 600 organisations), 30 juillet 2025. https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls
- EQS Group, Baromètre Privacy 2026 (7e édition), 206 professionnels, en collaboration avec Grant Thornton et l'AFJE, publié le 12 février 2026. https://www.eqs.com/fr/ressources-compliance/livres-blancs/barometre-privacy-2026/