En bref — Le shadow AI désigne l’usage, par les agents, d’outils d’IA générative grand public (ChatGPT, Gemini…) sans validation de la collectivité. Quand un agent y colle des données de citoyens, la responsabilité juridique ne pèse pas sur lui : elle pèse sur la collectivité employeur, responsable du traitement au sens du RGPD. Le rôle du DGS n’est pas d’interdire, mais de cadrer — vite.
Dernière mise à jour : 20 juillet 2026 — temps de lecture : 9 min.
L’essentiel en 30 secondes
- Le phénomène est massif. Une enquête d’avril 2026 auprès de 2 000 agents publics montre que plus d’un sur deux utilise ChatGPT ou un équivalent, sans cadre ni supervision.
- Le risque est juridique, pas seulement technique. Données personnelles hors UE, secret professionnel, obligations RGPD et AI Act : chaque copier-coller peut engager la collectivité.
- La responsabilité remonte à l’employeur. Ce n’est pas l’agent de bonne foi qui est en première ligne, c’est la collectivité — et donc le DGS qui pilote.
- Le vide de gouvernance est la vraie faille. Seules 19 % des communes disposent de règles formalisées de gouvernance de la donnée : près de 8 sur 10 n’ont rien cadré.
- Interdire ne marche pas. Sans alternative officielle, le shadow AI revient par la fenêtre. La réponse est le cadrage, pas le blocage.
Qu’est-ce que le shadow AI dans une collectivité ?
Le shadow AI (ou « IA fantôme ») est l’utilisation d’outils d’intelligence artificielle par les agents en dehors de tout cadre validé par la collectivité : ni autorisation de la DSI, ni information du DPO, ni charte d’usage. C’est le pendant, pour l’IA, du « shadow IT » qu’ont connu les directions informatiques avec les applications non homologuées.
Concrètement, c’est un agent qui colle une note de synthèse confidentielle dans ChatGPT pour la reformuler, qui fait traduire un courrier d’usager, ou qui génère une trame de délibération à partir d’un brouillon. Des gestes de bon sens, faits pour gagner du temps — mais qui font sortir des données du périmètre de la collectivité, souvent vers des serveurs situés hors de l’Union européenne.
L’ampleur n’a rien d’anecdotique. L’enquête d’avril 2026 menée auprès de 2 000 agents de neuf administrations situe l’usage à plus d’un agent sur deux, et dans 80 % des cas avec l’envie d’en faire davantage. Ce n’est pas un dérapage isolé : c’est un mouvement de fond.
À retenir — Le shadow AI n’est pas une faute de discipline, c’est un signal. Il dit que les agents ont besoin de l’IA et qu’aucune alternative encadrée ne leur a été fournie.
Pourquoi les agents utilisent-ils l’IA sans autorisation ?
Poser la question de la responsabilité sans comprendre la cause mène à la mauvaise réponse — la sanction. Or les agents n’agissent pas par négligence, mais par recherche d’efficacité, dans un contexte très concret.
La pression administrative augmente pendant que les moyens stagnent. La fonction publique territoriale peine à recruter, et les équipes doivent faire plus avec moins. Face à un courrier à rédiger, l’IA fait gagner un temps immédiat et tangible. Et surtout, l’alternative officielle manque : une commune de 8 000 habitants dispose rarement d’un DSI à temps plein, le RSSI est souvent mutualisé sur de nombreuses entités, et l’assistant souverain de l’État (basé sur Mistral) reste, pour l’instant, réservé aux agents ministériels, pas aux territoires.
Résultat : en attendant une solution cadrée, les agents ouvrent un onglet ChatGPT. Ils inventent, seuls, les usages que la doctrine institutionnelle n’a pas encore écrits.
Quels sont les risques juridiques concrets pour la collectivité ?
C’est le cœur du sujet, et celui que le DGS doit pouvoir exposer à ses élus. Le shadow AI expose la collectivité sur quatre terrains cumulables.
Le RGPD, en premier lieu. Dès qu’un agent saisit le nom, l’adresse ou la situation d’un citoyen dans un outil grand public, une donnée personnelle quitte le périmètre de la collectivité, souvent sans base légale, sans analyse d’impact et sans information de la personne concernée. Or, selon le rapport Netskope 2026, plus d’un quart des données saisies dans les outils d’IA publics sont désormais des données sensibles. La CNIL reste pleinement compétente sur ce terrain.
Le secret professionnel et la confidentialité. Notes internes, éléments de dossiers RH, pièces de marchés publics : ces contenus n’ont pas vocation à alimenter un modèle tiers. Leur fuite peut avoir des conséquences contentieuses bien au-delà du RGPD.
L’AI Act. L’obligation de littératie IA (article 4) est en vigueur depuis le 2 février 2025 : la collectivité doit garantir un niveau suffisant de compétence des agents qui utilisent l’IA. Un usage massif, non formé et non cartographié, est précisément l’angle mort que la réglementation demande de combler.
La cybersécurité. Les collectivités sont déjà surexposées : d’après le Panorama de la cybermenace 2025 de l’ANSSI, ministères et collectivités concentrent 24 % des incidents traités, soit le deuxième secteur le plus visé en France. Multiplier les outils non maîtrisés élargit d’autant la surface d’attaque.
À retenir — Un seul copier-coller peut cumuler violation RGPD, atteinte à la confidentialité et exposition cyber. Le risque n’est pas théorique : il est quotidien.
Qui est juridiquement responsable : l’agent ou la collectivité ?
C’est la question qui change tout. La réponse est claire : la collectivité. En droit de la protection des données, c’est la collectivité qui est responsable du traitement, et en tant qu’employeur public, elle répond des conditions dans lesquelles ses agents exercent leurs missions.
Autrement dit, l’agent qui utilise ChatGPT de bonne foi, faute d’outil officiel, n’est pas le point faible : c’est l’absence de cadre qui crée la vulnérabilité. Et cadrer relève de la direction générale. Le DGS n’est pas juridiquement « coupable » du shadow AI, mais il est le mieux placé — et attendu — pour transformer un usage subi en usage gouverné.
C’est là que le vide actuel inquiète : seules 19 % des communes et 21 % des EPCI disposent de règles formalisées de gouvernance de la donnée. Près de huit collectivités sur dix abordent donc l’IA sans filet.
Comment reprendre le contrôle sans bloquer les agents ?
Interdire l’IA générative est à la fois inapplicable et contre-productif : l’usage repart aussitôt, en plus discret. La bonne posture n’est pas le blocage mais le cadrage méthodique, et il tient en cinq étapes réalisables en quelques semaines.
- Cartographier l’existant sans sanctionner. Un audit shadow AI, mené dans un esprit de recensement et non de contrôle, pour voir qui utilise quoi, pour quels usages.
- Fournir une alternative officielle. Sans outil cadré (idéalement souverain), le shadow AI revient. C’est le prérequis de tout le reste.
- Publier une charte d’usage claire. Ce qui est permis, ce qui est interdit, quelles données ne doivent jamais être saisies.
- Former les agents. La montée en compétence satisfait l’obligation de littératie IA et transforme des usages risqués en réflexes sûrs.
- Tracer et gouverner. Registre des usages, analyses d’impact (DPIA) là où c’est nécessaire, revue périodique.
À retenir — L’ordre compte : donner une alternative avant de publier des interdictions. Une charte sans outil de remplacement ne fait que déplacer le problème.
Tableau : du risque à la parade
| Risque | Ce qu’il menace | La parade |
|---|---|---|
| Données citoyens dans un outil grand public | Conformité RGPD | Outil cadré + charte + DPIA |
| Notes internes reformulées par IA | Secret professionnel | Règles de classification des données |
| Agents non formés | Obligation de littératie IA (AI Act) | Plan de formation |
| Multiplication d’outils non maîtrisés | Cybersécurité | Cartographie + gouvernance |
FAQ — Shadow AI et collectivités
Qu’est-ce que le shadow AI dans une collectivité ? C’est l’utilisation d’outils d’IA générative (ChatGPT, Gemini…) par les agents sans validation de la DSI, information du DPO ni charte d’usage. On parle aussi d’« IA fantôme ».
Qui est responsable si un agent envoie des données personnelles à ChatGPT ? La collectivité. En tant que responsable du traitement au sens du RGPD et employeur public, c’est elle qui répond des conditions d’usage, et non l’agent qui agit de bonne foi faute d’alternative.
Le shadow AI est-il vraiment répandu dans le secteur public ? Oui. Une enquête d’avril 2026 auprès de 2 000 agents publics montre que plus d’un sur deux utilise ChatGPT ou un équivalent sans cadre ni supervision.
Faut-il interdire ChatGPT dans une mairie ? Non, c’est inefficace : sans alternative officielle, l’usage repart de façon plus discrète. La solution est de fournir un outil cadré, une charte et de la formation.
Le shadow AI est-il un problème de conformité AI Act ? Oui, indirectement. L’obligation de littératie IA (article 4) est en vigueur, et les usages non cartographiés constituent l’angle mort que la réglementation demande de combler.
Par où commencer pour cadrer le shadow AI ? Par un audit des usages mené sans sanction, puis la fourniture d’une alternative, une charte, la formation des agents et un dispositif de traçabilité.
Du risque subi à l’usage maîtrisé
Le shadow AI n’est pas le symptôme d’agents indisciplinés : c’est celui d’une organisation qui n’a pas encore donné à ses équipes les moyens de faire bien ce qu’elles font déjà. Le rôle du DGS est de refermer cet écart — audit, alternative, charte, formation, traçabilité — avant qu’un incident ne l’impose dans l’urgence.
Teriagen accompagne les collectivités sur ce chemin : audit des usages (y compris shadow AI), aide au choix d’une solution souveraine, rédaction de la charte d’utilisation et formation des agents à la littératie IA. Demandez votre audit shadow AI →
Pour comprendre l’ampleur du phénomène côté agents, voir notre article : « Shadow IA dans les collectivités : 60 % de vos agents utilisent déjà l’IA sans le dire ». Pour les obligations qui arrivent au 2 août 2026, voir « Chatbot citoyen et AI Act ».
Cet article a une vocation informative et pédagogique ; il ne constitue pas un conseil juridique. Pour une analyse adaptée à votre collectivité, rapprochez-vous de votre DPO ou de votre conseil. Rédigé par l’équipe Teriagen, spécialiste de l’accompagnement des collectivités à l’IA générative.
