Pax8 : deux tiers des petites entreprises qui utilisent l'IA créent leurs propres outils sans audit

Les petites et moyennes entreprises ne se contentent plus d'acheter de l'IA toute faite : elles ont commencé à la construire elles-mêmes. Selon un sondage de Pax8 publié le lundi 12 octobre, deux tiers des petites entreprises qui utilisent déjà l'IA développent leurs propres outils. Sur l'ensemble des marchés étudiés, la majorité d'entre elles le font sans vérification formelle et documentée. Au total, 1150 répondants ont participé à l'enquête.

Pax8 est une place de marché basée à Denver. Elle vend des logiciels cloud et d'IA aux petites entreprises via des prestataires IT, c'est-à-dire des MSP. Ces sous-traitants jouent généralement le rôle de service informatique externe pour les petites structures. Pax8 observe donc le marché sous un angle inhabituel : ses chiffres reflètent non seulement l'état d'esprit des dirigeants, mais aussi ce qui se passe dans la base clients de ses partenaires.

Ce que les entreprises construisent concrètement

La partie accessible du document ne définit pas précisément ce qu'est un « outil maison ». Dans ce type d'études, l'expression recouvre généralement plusieurs niveaux de complexité :

• des assistants personnalisés fondés sur des modèles existants et configurés pour les tâches d'un service ;
• des automatisations sur des plateformes no-code, qui relient messagerie, CRM et documents ;
• des scripts et de petites applications qui appellent des API de modèles ;
• des agents simples qui exécutent des chaînes d'actions.

Le ticket d'entrée est bas. Pour assembler un tel outil, il suffit d'un passionné au bureau et d'un abonnement à un service. C'est précisément ce qui explique l'ampleur du phénomène : passer de l'achat à l'assemblage maison est aujourd'hui plus simple qu'il y a un ou deux ans.

Le shadow AI, sans aucune paperasse

Le principal enseignement est ailleurs. Sur chacun des marchés sondés, la majorité des entreprises ne mène pas de revue formelle et documentée de ses propres développements en IA. Dans une grande entreprise, cela n'arrive pas : il y a une équipe sécurité, des juristes et un comité des risques. Dans une société de 20 à 50 personnes, une telle chaîne n'existe généralement pas. La décision revient à celui qui sait monter un prototype fonctionnel.

Les risques sont très concrets :

• des données clients entrent dans l'outil maison, et personne ne trace où elles partent ;
• les clés API et les droits d'accès sont attribués selon le principe « tant que ça marche » ;
• on ne sait pas qui est responsable des erreurs du modèle et de la maintenance de l'outil si son auteur quitte l'entreprise ;
• il n'existe pas de journal des modifications, ce qui rend toute panne difficile à analyser.

C'est ce que l'on appelle généralement le shadow AI. Il prospère là où l'outil est utile et où la validation est perçue comme de la bureaucratie superflue.

Données clés du sondage

• Éditeur : Pax8, Denver, place de marché d'IA et de logiciels cloud pour les petites entreprises.
• Échantillon : 1150 répondants.
• Part des petites entreprises utilisant l'IA qui construisent leurs propres outils : environ deux tiers.
• Revue formelle et documentée : absente chez la majorité, sur tous les marchés étudiés.
• Date de publication : 12 octobre 2026.

Une réserve s'impose à la lecture. Pax8 gagne sa vie en vendant des logiciels et des services via des prestataires IT, et le thème de la gestion des risques s'inscrit directement dans ses intérêts commerciaux. Cela n'invalide pas les données, mais invite à la prudence sur l'ampleur du phénomène. Le fragment accessible ne contient ni ventilation par pays ou par taille d'entreprise, ni formulation des questions, alors que la fiabilité du chiffre des deux tiers en dépend.

Que faire pour les dirigeants et les MSP

Pour le dirigeant d'une petite entreprise, le socle minimal de mesures ne nécessite pas un service de sécurité. Il suffit de tenir un registre : quels outils d'IA ont été construits, par qui, sur quelles données et avec quels accès. Une page par outil suffit. Il convient ensuite de définir les catégories de données qui ne doivent pas être transmises aux modèles, et de désigner un responsable pour chaque outil.

Pour les MSP, c'est l'occasion de proposer à leurs clients un service d'inventaire et d'audit de base des solutions maison, avant qu'elles ne deviennent une infrastructure critique. Pour ceux qui construisent eux-mêmes, la règle est simple : si l'outil manipule des données clients ou prend des décisions sans intervention humaine, il mérite au moins une courte revue écrite avant sa mise en service.