ELMA365 : sans IA d'entreprise, les employés se tournent vers les IA publiques

Le shadow AI s'impose comme une pratique de travail ordinaire. Si l'entreprise n'a pas d'IA d'entreprise, les salariés se tournent d'eux-mêmes vers des IA publiques, et l'interdiction formelle n'y change pas grand-chose. C'est la thèse avancée par Olga Mikheeva, Product Owner d'ELMA365 CX (anciennement ELMA365 CRM), dans une interview accordée à TAdviser. L'annonce disponible ne contient ni statistiques ni noms d'outils précis ; nous examinons donc ici la thèse elle-même et son contexte.

Ce qui est exactement affirmé

La position est formulée sans détour. En l'absence d'IA d'entreprise déployée, de nombreux salariés utilisent des IA publiques pour leurs tâches professionnelles, qu'ils en aient l'autorisation ou non. Le titre de l'interview ajoute un second volet : les entreprises ne contrôlent pas ce phénomène.

Il faut tenir compte de qui parle. ELMA365 développe sa propre plateforme pour les processus métier et les scénarios clients : l'éditeur a donc intérêt à vendre de l'IA intégrée. Cela n'invalide pas le constat, car les DSI et les spécialistes de la sécurité de l'information tiennent régulièrement le même discours. Mais l'extrait publié ne contient aucun chiffre permettant de mesurer l'ampleur du phénomène.

D'où vient le shadow AI

Le mécanisme est simple. Un salarié doit résumer un long échange de courriels, rédiger une réponse à un client, mettre en forme une proposition commerciale ou analyser un tableau. Un chatbot public s'ouvre en quelques secondes dans l'onglet voisin. La validation d'un outil d'entreprise prend des mois. Le gain de temps est immédiat, tandis que le risque reste abstrait.

Pour les scénarios CRM, le problème est plus aigu que d'ordinaire. Noms de clients, conditions des contrats, prix, extraits de contrats : tout cela atterrit facilement dans une requête adressée à un modèle externe. Le responsable n'en sait rien : il n'y a pas de journaux, et la requête est souvent envoyée depuis un compte personnel.

Points clés :

• Source : interview de TAdviser, 13 octobre 2026.
• Intervenante : Olga Mikheeva, Product Owner d'ELMA365 CX.
• Thèse : en l'absence d'IA d'entreprise, les IA publiques sont utilisées indépendamment des autorisations.
• Conséquence : le contrôle de l'entreprise sur ses données et ses processus s'affaiblit.
• Ce que l'annonce ne contient pas : statistiques, liste des services, données sur des incidents.

Que doivent faire les entreprises

Une interdiction sans alternative repousse en général l'usage de l'IA dans l'ombre, sans le supprimer. Il est plus pragmatique de procéder dans l'ordre inverse.

Il faut d'abord établir l'état réel des lieux. Une enquête anonyme auprès des salariés et une analyse du trafic vers les services d'IA populaires montreront quelles tâches les employés confient déjà aux IA. C'est une liste de priorités toute prête pour le déploiement.

Il convient ensuite de classer les données par niveau de sensibilité. On peut soumettre le brouillon d'un post à un modèle public. La base clients, les contrats et les données financières, non. Les règles doivent tenir sur une page, faute de quoi personne ne les lira.

Enfin, il faut un outil légal là où le travail des salariés se déroule déjà : dans le CRM, la messagerie, la gestion documentaire. Moins il y a d'étapes pour accéder à l'IA d'entreprise, plus la tentation d'ouvrir une IA publique faiblit. L'argument des éditeurs sur les assistants intégrés tient ici, mais il faut le vérifier sur ses propres tâches : qualité des réponses, lieu de traitement des données, droits d'accès et journalisation.

L'interview complète de TAdviser contient probablement davantage de détails. Mais la thèse de l'annonce suffit déjà à fixer une tâche claire aux responsables informatiques : avant de rédiger une politique, découvrir ce que leurs salariés utilisent réellement.