L'IA est déjà dans votre organisation : la contrôlez-vous ?

1. Qui utilise déjà l'IA chez vous, et hors de quel cadre ?

Le supérieur n'a pas encore son chiffre : à notre connaissance, aucune enquête chiffrée n'a été publiée, en octobre 2026, sur les personnels des établissements français. Les chiffres disponibles viennent de l'État et d'une enquête internationale, tous secteurs.

Dans l'État, l'enquête publiée en avril 2026 par le ministère de l'Action et des Comptes publics (1 867 agents déjà exposés à l'IA) donne l'ordre de grandeur : 89 % l'utilisent dans leur travail, et 55 % déclarent utiliser des outils en dehors du cadre formel¹. Seuls 31 % indiquent avoir été formés par leur employeur.

Dans le supérieur, le frein est nommé sans être chiffré. Le rapport ministériel de juillet 2025 relève que « l'absence de cadres » sur l'utilisation de l'IA freine son usage, en particulier pour les personnels ; des chartes d'établissement (université Paris-Saclay en 2025, université de Brest en 2026) cherchent à y répondre².

Un assistant conversationnel répond à une question et s'arrête. Un agent IA exécute une tâche en plusieurs étapes : il lit une convention de stage, vérifie les mentions obligatoires, prépare la réponse, passe au dossier suivant. Le Work Trend Index 2026 mesure ce passage dans les entreprises : le nombre d'agents IA actifs sur la plateforme de l'éditeur du rapport a été multiplié par 15 entre mars 2025 et mars 2026, et par 18 dans les grandes entreprises³. Dans son enquête auprès de 20 000 utilisateurs d'IA au travail dans dix pays, 16 % sont des utilisateurs avancés : ils confient à des agents des tâches en plusieurs étapes, revoient régulièrement leur façon de travailler avec l'IA et partagent des pratiques communes (8 % en France)⁴.

Vous pouvez produire votre propre chiffre en une semaine. Posez une question à chaque service, sans sanction : « qu'utilisez-vous déjà, pour quoi faire, et avec quelles données ? ». Les réponses donnent la liste des usages à encadrer en premier : ceux qui touchent un étudiant, une entreprise ou un dossier.

2. Pourquoi est-ce plus sérieux que le shadow IT ?

Parce qu'un agent agit. Un logiciel installé sans autorisation lisait vos données. Un agent non autorisé écrit, envoie et modifie, au nom de l'établissement. Trois cas montrent l'écart :

1. 1)Un agent branché sur la boîte de réception des admissions répond à un candidat. S'il classe ou écarte des candidatures, l'usage relève de l'annexe III, point 3 a), du règlement européen sur l'IA (accès et admission) : un usage à haut risque. S'il se borne à renseigner le candidat, il n'y entre pas.
2. 2)Un agent prépare et envoie les attestations de scolarité, et met à jour le dossier de l'étudiant. Une erreur de l'agent se répète sur tous les dossiers traités avant qu'un humain la remarque : un e-mail faux à un étudiant se corrige, mille e-mails faux peuvent se retrouver sur les réseaux sociaux le soir même.
3. 3)Un gestionnaire colle le dossier d'un étudiant dans un compte personnel pour qu'un agent rédige la réponse. Les données personnelles sortent de l'établissement, sans trace. La CNIL et le Conseil de l'IA et du Numérique (CIANum) consacrent leur note exploratoire du 20 juillet 2026 aux risques de l'IA agentique pour les données personnelles⁵.

Dans les trois cas manquent les mêmes éléments : un responsable nommé, des accès décidés, un journal, la possibilité d'arrêter l'agent.

Le droit rend ces écarts visibles :

1. 1)Depuis le 2 août 2026, un système d'IA qui échange directement avec des personnes doit leur faire savoir qu'elles s'adressent à une IA, sauf si cela est évident (article 50 du règlement (UE) 2024/1689)⁶.
2. 2)Pour un établissement public, une décision individuelle prise sur le fondement d'un traitement algorithmique doit le mentionner à l'intéressé (code des relations entre le public et l'administration, article L. 311-3-1)⁷.
3. 3)À partir du 2 décembre 2027, pour les usages à haut risque (dont l'admission, l'évaluation des acquis et la surveillance d'examen), l'établissement devra confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires, conserver six mois au moins les journaux générés automatiquement et informer les personnels concernés avant la mise en service (article 26)⁶.

Un agent que la direction ignore ne peut pas être déclaré conforme : personne ne l'a examiné.

3. Qu'est-ce qui rend une adoption maîtrisée possible ?

L'organisation, davantage que les personnes. Le Work Trend Index 2026 a mesuré le poids de 29 facteurs dans ce que les utilisateurs d'IA interrogés disent en tirer : les facteurs organisationnels (culture, soutien du manager, pratiques RH) pèsent 67 %, les facteurs individuels 32 %⁴. Ce résultat est une association statistique sur des données déclaratives, sans preuve de cause ; il indique où porter l'effort en premier : le soutien des managers, les règles écrites, la reconnaissance de ceux qui essaient.

L'exemple du manager se mesure. Dans une enquête auprès de 1 800 salariés (juillet 2025), quand le manager utilise lui-même l'IA devant son équipe, les salariés déclarent 30 points de confiance en plus dans les agents et 17 points de valeur perçue en plus⁸.

Le décalage se voit aussi au sommet. Seuls 26 % des utilisateurs d'IA disent que leur direction est clairement et constamment alignée sur l'IA (20 % en France). Les dirigeants interrogés disent plus souvent que leurs salariés que réorganiser son travail avec l'IA est sûr et récompensé ; or 13 % seulement des utilisateurs (12 % en France) se disent récompensés pour l'avoir fait sans résultat immédiat⁴. Une direction risque donc de surestimer la sécurité que ses équipes ressentent à essayer.

La formation qui change les usages passe par la pratique. Une demi-journée de présentation sur « les enjeux de l'IA » change rarement la façon de travailler. Une journée où chaque gestionnaire fait tourner un agent sur un dossier réel, lit ce qu'il produit et le compare à ce qu'il aurait fait lui-même laisse au service une liste des exceptions que l'agent a ratées. Cette liste est la matière de la future procédure.

Formez d'abord ceux qui valideront. Pour les usages à haut risque, l'article 26 demandera que le contrôle humain soit confié à des personnes qui ont la compétence, la formation et l'autorité nécessaires ; la liste datée de ceux qui ont suivi la journée en est un premier élément de preuve.

4. Quel est votre rôle de dirigeant ?

Pratiquer d'abord. Un dirigeant qui n'a jamais fait tourner un agent sur un vrai dossier ne peut pas fixer de règle crédible sur son usage. Prenez une heure et une convention de stage, confiez-la à un agent, puis lisez ce qu'il produit et ce qu'il signale. Présentez ensuite le résultat au comité de direction, échecs compris : dans l'enquête de 1 800 salariés, c'est l'usage montré par le manager qui s'accompagne de 30 points de confiance en plus.

Écrire ensuite le droit à l'essai. Une règle qui ne fait qu'interdire risque de pousser les usages hors du cadre. Dans la même enquête, quand le manager crée un climat de sécurité autour de l'expérimentation, les salariés déclarent jusqu'à 20 points de préparation et de valeur perçue en plus, et sont 1,4 fois plus susceptibles d'utiliser souvent des agents⁸. La règle tient en une phrase : liberté totale sur le prototype, cadre strict sur ce qui entre en service.

Ce qui entre en service se définit simplement : tout agent dont la production touche un étudiant, une entreprise ou un dossier. Pour lui, le cadre strict comporte quatre éléments :

1. 1)un responsable nommé ;
2. 2)des accès décidés par écrit, outil par outil ;
3. 3)un journal des exécutions, lu chaque semaine par une personne nommée ;
4. 4)la possibilité d'arrêter l'agent à tout moment.

La règle liste aussi, service par service, les décisions que l'agent prépare sans les prendre (admettre un candidat, valider une convention, répondre à une réclamation) et la personne qui les prend.

Décidez ce cadre cette année. En 2026, les agents les plus avancés réussissent seuls, une fois sur deux, des tâches informatiques bien délimitées qui demandent 16 heures de travail à un expert ; cette durée double environ tous les sept mois depuis 2019, et atteindrait 64 heures fin 2027 si la courbe tient⁹. Les règles écrites maintenant pourraient alors s'appliquer à des agents quatre fois plus autonomes.