Shadow IA : la face cachée de l’intelligence artificielle entre déjà dans les soins

Un compte rendu de réunion dicté à un assistant vocal grand public. Un dossier médical étranger traduit en quelques secondes par une IA installée sur un smartphone personnel. Un courrier reformulé par un agent conversationnel pour gagner du temps. Ces gestes, désormais quotidiens dans nombre d’établissements, ont un nom : le « Shadow IA » — le recours à des outils d’intelligence artificielle sans validation institutionnelle ni protocole de sécurité. Un phénomène longtemps resté invisible, que des professionnels de santé réunis lors du séminaire commun de l’EHESP ont choisi de regarder en face.

Un usage massif, spontané et largement hors cadre

Le constat de départ est simple : l’IA s’est diffusée dans la sphère privée avant d’entrer, par capillarité, dans le monde professionnel. Une étude Salesforce estimait dès 2024 que 68 % des salariés recouraient à des outils d’IA non validés par leur employeur¹. Le secteur de la santé n’y échappe pas, et le contexte de tension démographique (manque de temps, de personnel, de ressources) nourrit la tentation de s’appuyer sur ces outils pour « tenir ».

Il faut toutefois distinguer ce phénomène des déploiements officiels d’IA en santé, qui, eux, progressent rapidement et dans les règles. Selon une enquête de la Fédération hospitalière de France de juillet 2025, 65 % des établissements publics interrogés utilisaient déjà des technologies d’IA en production² : détection de fractures en imagerie, contourage en radiothérapie, aide à la rédaction de comptes rendus. Le Shadow IA, lui, se développe en marge de ces dispositifs, sans traçabilité ni évaluation. C’est précisément cette zone grise qui pose problème.

Des risques qui débordent la seule cybersécurité

Les travaux des étudiants de l’EHESP ont le mérite de cartographier des risques souvent réduits, dans le débat public, à la seule fuite de données. Ils en identifient six dimensions :

• Médico-soignant : un diagnostic erroné induit par des requêtes mal formulées ou des réponses non vérifiées ;
• Juridique : une dilution des responsabilités, alors qu’aucun régime spécifique n’exonère le professionnel ;
• Éthique : une rupture possible du lien de confiance patient-soignant et la divulgation de données personnelles ;
• Cyber et administratif : une perte de maîtrise du système d’information et des fuites de données sensibles ;
• Environnemental : le coût énergétique de pratiques massives et non pilotées, argument encore mal documenté mais qui mérite d’être posé.

À ces risques s’ajoutent des effets plus insidieux relevés par les étudiants : érosion progressive des compétences, renforcement des biais cognitifs, perte de traçabilité des décisions. L’IA peut répondre à un besoin de réassurance dans la décision, sans jamais se substituer au jugement professionnel.

Le cadre existe désormais, encore faut-il le décliner

Contrairement à une idée répandue, l’IA en santé n’évolue pas dans un vide réglementaire. Le règlement européen sur l’IA classe les systèmes médicaux en « haut risque » et impose surveillance humaine, transparence et traçabilité³. Le RGPD encadre tout traitement de données de santé, et le déployeur d’un outil d’IA en devient responsable de traitement. Surtout, la HAS et la CNIL ont publié en février 2026 un guide conjoint, « Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins »⁴, qui décline douze chapitres de recommandations : gouvernance, acquisition, formation, information du patient, contrôle humain, traçabilité des usages.

Le même texte rappelle un principe que le Shadow IA tend à faire oublier : le professionnel de santé reste entièrement responsable, même lorsque l’acte est réalisé avec l’assistance d’une IA. Deux critères dédiés à l’IA ont par ailleurs été intégrés au 6^e cycle de certification des établissements depuis septembre 2025. Le cadre n’est donc plus à inventer ; il reste à le faire descendre jusqu’au terrain, là où ces dispositions demeurent insuffisamment connues.

Accompagner plutôt qu’interdire : une option, pas une évidence

La proposition centrale portée par les groupes de l’EHESP tient en une formule : « accompagner plutôt qu’interdire ». L’idée est de transformer des usages clandestins en pratique collective encadrée, plutôt que de les pousser un peu plus dans l’ombre par une interdiction inapplicable. La démarche est séduisante et cohérente avec l’esprit du guide HAS-CNIL.

Elle mérite cependant d’être interrogée. Institutionnaliser l’existant comporte un risque symétrique : légitimer, au nom du pragmatisme, des outils qui n’offrent aucune garantie clinique ou de confidentialité. La ligne de crête est étroite entre « ne pas freiner l’innovation » et abaisser le niveau d’exigence. C’est sans doute là que se jouera la crédibilité des démarches engagées, et c’est pourquoi l’étape de cartographie honnête des usages, préalable à toute charte, apparaît décisive.

Sur le plan opérationnel, les pistes avancées convergent vers quelques leviers : un comité IA pluridisciplinaire (soignants, administratifs, représentants des usagers, DSI), un référent IA travaillant étroitement avec le DPO, une charte co-construite, un parcours de formation à deux niveaux (initiale et continue) et un suivi régulier des pratiques. Plusieurs idées concrètes méritent l’attention : enquêtes anonymes pour révéler les usages invisibles, « banque de prompts » validés, redirection vers une IA institutionnelle lorsque les outils grand public sont bloqués, ou encore registre de signalement des erreurs.

Reste une condition que les étudiants soulignent justement : aucune de ces démarches ne tiendra si elle reste isolée établissement par établissement. La cohérence territoriale, à l’échelle des GHT, sera la condition d’une pratique harmonisée et équitable. Le Shadow IA n’est, au fond, qu’un symptôme : celui d’une transformation des pratiques qui avance plus vite que les institutions. Reste à savoir si elles sauront en faire un levier plutôt qu’une menace.

[1] Étude Salesforce, « State of the AI-Connected Customer », 2024. Chiffre portant sur l’ensemble des salariés, toutes activités confondues — à vérifier avant publication.

[2] Fédération hospitalière de France (FHF), Livre blanc « L’IA en santé : qui est le maître ? », juillet 2025 (enquête menée auprès de 110 établissements).

[3] Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (RIA / « AI Act »).

[4] Haute Autorité de santé et CNIL, « Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins », document de travail, 16 février 2026.

Cet article s’appuie sur les travaux d’étudiants multi-filières du collectif EHESP, réalisés lors du séminaire commun de santé publique (mai 2026) et publiés avec leur accord.