Shadow AI à l'Assemblée nationale : quand 85 % des députés contournent les circuits officiels

Un rapport parlementaire remis en mai 2026 révèle que l'intelligence artificielle générative s'est imposée au Palais Bourbon sans attendre le feu vert de l'institution. Députés et collaborateurs l'utilisent massivement, souvent depuis des comptes personnels et sans validation de la DSI — un cas d'école de « shadow AI » que Leto retrouve dans la quasi-totalité des organisations qu'il accompagne.

Ce qui s'est passé

Selon le rapport remis en mai 2026 par les députés Nicolas Bonnet et Denis Masséglia, co-rapporteurs du groupe de travail sur l'intelligence artificielle de l'Assemblée nationale, 85,4 % des députés et collaborateurs ayant répondu à un questionnaire diffusé par le Collège des Questeurs déclarent utiliser des outils d'IA générative, et 88 % d'entre eux le font quotidiennement ou chaque semaine.

Reformulation de mails, synthèse documentaire, recherche : ce sont les trois usages les plus cités. ChatGPT domine largement (63 % des utilisateurs), mais Le Chat de Mistral AI arrive en seconde position (18 %), devant Gemini de Google (15 %) et Claude d'Anthropic (12 %) — un choix que les rapporteurs attribuent moins à la performance qu'à des considérations de souveraineté numérique.

Le point le plus préoccupant pour un DPO : 61 % des utilisateurs recourent à des outils gratuits, souvent depuis un ordinateur personnel, et certains collaborateurs redirigent leur messagerie professionnelle vers des services externes pour bénéficier d'analyses par IA. Le rapport qualifie cette pratique de « risque de sécurité grave » — une fuite de données personnelles et institutionnelles hors du contrôle de l'Assemblée.

Pourquoi c'est important

Ce cas est un miroir grossissant de ce que vivent la plupart des organisations. Le Contrôleur européen de la protection des données a lancé une alerte similaire sur le shadow AI, pointant les mêmes angles morts : traitements non inventoriés, absence d'analyse d'impact, absence de DPA au titre de l'article 28. Une étude de la Cloud Security Alliance confirme l'ampleur du phénomène : 65 % des organisations ont déjà subi un incident lié à un agent IA.

Sur le plan RGPD, le problème n'est pas l'usage de l'IA en soi, mais son usage hors cadre. Dès qu'un collaborateur colle un extrait de dossier client, un CV ou une donnée de santé dans un outil grand public sans DPA ni garantie de non-réentraînement, l'organisation perd la maîtrise du traitement au sens de l'article 28 du RGPD — et s'expose, en cas de contrôle CNIL, à ne pouvoir justifier ni la base légale, ni la sécurité, ni la durée de conservation de ces données.

Le cas de l'Assemblée nationale illustre aussi un dilemme partagé par beaucoup de DPO : la tension entre souveraineté numérique — miser sur des solutions françaises ou européennes — et l'efficacité perçue par les équipes, qui préfèrent souvent l'outil le plus performant, peu importe où il héberge les données.

Ce que ça change pour les organisations

Trois enseignements très concrets se dégagent du rapport pour un DPO ou un RSSI.

Cartographier avant d'interdire. L'Assemblée a choisi de ne pas bannir l'IA générative mais de cadrer son usage via une charte IA d'entreprise, diffusée en octobre 2025, qui autorise l'IA pour les données publiques mais l'interdit strictement sur les données internes sauf outil validé par la DSI. C'est le réflexe à reproduire : documenter qui a le droit d'utiliser quel outil, pour quel usage, avec quelles garanties.

Offrir une alternative sécurisée plutôt que de compter sur l'interdiction. Les rapporteurs recommandent d'accélérer la sécurisation des données internes pour proposer aux utilisateurs un outil fiable — la seule façon de limiter le report vers des services grand public non maîtrisés. La gouvernance de l'IA ne peut plus reposer sur un seul service : direction, DPO, juristes, RH et DSI doivent la partager.

Former et sensibiliser en continu. 44 % des répondants à l'Assemblée citent la protection des données comme première préoccupation, preuve qu'une partie des utilisateurs a déjà conscience du risque sans disposer des bons réflexes. Un programme de sensibilisation régulier reste le levier le plus rentable pour transformer cette conscience diffuse en pratique sûre.

Ce que Leto pense de cette décision

Que le shadow AI touche l'Assemblée nationale — une institution dotée de moyens, de services informatiques dédiés et d'un cadre censé être exemplaire — devrait alerter tout DPO qui pense que son organisation est différente. Si 85 % des parlementaires contournent les circuits officiels pour gagner du temps, il y a fort à parier qu'un pourcentage comparable existe dans votre entreprise, simplement sans rapport public pour le démontrer. La bonne nouvelle : les recommandations du rapport — cartographie, charte, alternative sécurisée, sensibilisation — sont exactement celles qu'un DPO peut mettre en œuvre sans attendre un cadre législatif supplémentaire. Le RGPD, via son article 28 et le principe d'accountability, donne déjà tous les leviers nécessaires.

Sources : Silicon.fr, « Comment le Shadow AI s'est invité à l'Assemblée nationale » — Rapport Bonnet-Masséglia, groupe de travail IA de l'Assemblée nationale, mai 2026 (PDF)