Adoption de l’IA par le gouvernement britannique : risques cachés et lacunes révélés

Le gouvernement britannique a défini l’un des programmes d’IA les plus ambitieux au monde. Des stratégies nationales portées par le DSIT et le Cabinet Office. Un Digital Centre of Government. Un AI Playbook. Un tout nouveau AI Skills Hub, qui promet des formations gratuites à grande échelle. Sur le papier, le Royaume-Uni coche toutes les cases.

Sur le terrain, la réalité est tout autre.

Points clés à retenir

1. Le Shadow AI progresse dans l’administration britannique — sans aucune visibilité. Dans le monde, 64 % des agents publics travaillant dans des environnements peu favorables utilisent des identifiants personnels pour accéder à l’IA au travail, et 70 % recourent à l’IA sans que leur responsable en soit informé. Deux agents publics britanniques sur cinq ignorent même ce qu’ils sont autorisés à faire avec l’IA, créant ainsi les conditions idéales pour une utilisation incontrôlée du Shadow AI — et exposant les données des citoyens sans traçabilité ni capacité de réponse en cas d’incident.
2. Le Royaume-Uni se classe 6e sur 10 malgré ses ambitions mondiales en matière d’IA. Le Royaume-Uni obtient un score de 47 sur 100 à l’Indice d’adoption de l’IA dans le secteur public — devant les États-Unis (45), l’Allemagne (44) et le Japon (43), mais loin derrière Singapour (58), l’Inde (58) et l’Arabie saoudite (66). L’écart ne tient pas à la stratégie ou à l’intention, mais à l’exécution : il s’agit de transformer l’ambition nationale en une utilisation quotidienne et confiante de l’IA par les agents publics de première ligne.
3. Plus de la moitié des agents publics britanniques n’ont reçu aucune formation à l’IA. Malgré un score de 51/100 en matière d’éducation — 6e du classement — 54 % des agents publics britanniques déclarent n’avoir bénéficié d’aucune formation à l’IA. Parmi ceux qui ont été formés, 75 % estiment que l’IA est facile à utiliser, preuve que la formation porte ses fruits. Le problème, c’est que la majorité des agents n’y ont jamais accès.
4. L’adoption est portée par la base, et non par la direction. Au Royaume-Uni, l’adoption de l’IA repose sur la curiosité individuelle et l’entraide entre pairs, plutôt que sur une stratégie organisationnelle. 46 % des agents publics citent le manque de directives claires de la part de la direction, et ce sont les collègues qui constituent la principale source d’information sur l’IA — devant la formation formelle ou les consignes officielles.
5. L’intégration est le point faible du Royaume-Uni — et c’est pourtant l’élément le plus déterminant. Le Royaume-Uni n’obtient que 42/100 sur l’intégration, ce qui signifie que l’utilisation de l’IA dépend encore largement des initiatives locales, sans soutien systémique. Selon l’indice, 61 % des agents travaillant dans des environnements à forte intégration bénéficient d’avantages liés à l’utilisation avancée de l’IA, contre seulement 17 % là où l’intégration est faible. Tant que l’IA ne sera pas intégrée dans les processus quotidiens, les gains de productivité resteront réservés aux premiers utilisateurs.

L’Indice d’adoption de l’IA dans le secteur public 2026, publié par Public First pour le Center for Data Innovation avec le soutien de Google, a interrogé 3 335 agents publics dans 10 pays — dont 345 au Royaume-Uni. Le Royaume-Uni se classe sixième sur dix, avec un score de 47 sur 100. Il se situe ainsi en milieu de classement, derrière l’Arabie saoudite (66), Singapour (58), l’Inde (58), l’Afrique du Sud (55) et le Brésil (49).

Pour un pays doté d’une telle ambition stratégique et d’un écosystème IA aussi solide, ce résultat est insuffisant. Et les données montrent que le problème ne vient pas du discours de Whitehall sur l’IA — mais du fait que le message n’atteint pas ceux qui en ont le plus besoin.

Les chiffres qui devraient alerter tous les RSSI du secteur public

L’indice mesure la perception de l’IA par les agents publics selon cinq dimensions : enthousiasme, formation, moyens, responsabilisation et intégration. Pour le Royaume-Uni, les scores révèlent une main-d’œuvre consciente du potentiel de l’IA, mais qui ne dispose pas des outils, de la formation ou des autorisations nécessaires pour agir :

• Enthousiasme : 47/100 — 8e sur 10. Seuls 43 % des agents publics britanniques se disent optimistes quant à l’IA dans le secteur public, et seulement 39 % estiment que l’IA leur donne plus de pouvoir d’action.
• Formation : 51/100 — le meilleur score du Royaume-Uni, mais trompeur. 54 % des agents déclarent n’avoir reçu aucune formation à l’IA. Parmi les formés, 75 % trouvent l’IA facile à utiliser — preuve que la formation fonctionne lorsqu’elle existe.
• Responsabilisation : 49/100 — environ 2 agents publics sur 5 ignorent ce qu’ils sont autorisés à faire avec l’IA, et 46 % estiment que la direction ne fournit pas de directives claires sur l’utilisation de l’IA.
• Moyens : 47/100 — les outils existent mais leur accès varie selon les services et ils ne répondent pas toujours aux besoins quotidiens.
• Intégration : 42/100 — l’utilisation de l’IA dépend encore des initiatives locales, sans soutien systémique. Seuls 17 % déclarent utiliser l’IA pour des tâches avancées ou techniques.

63 % des agents publics britanniques déclarent ne connaître « qu’un peu » ou « rien du tout » à l’IA. Plus de 2 sur 5 ne se sentent pas à l’aise pour utiliser les outils d’IA. Seuls 38 % estiment que l’IA est utilisée efficacement au sein de leur équipe.

Ces chiffres ne traduisent pas un rejet de l’IA, mais le fait que les agents sont livrés à eux-mêmes pour s’y retrouver.

Le problème du Shadow AI : un risque bien réel

Voici le constat de l’indice mondial auquel les responsables de la sécurité du secteur public britannique doivent s’attaquer.

Dans les environnements peu favorables, 64 % des utilisateurs enthousiastes de l’IA déclarent utiliser des identifiants personnels au travail, et 70 % recourent à l’IA pour des tâches professionnelles sans que leur responsable en soit informé.

Le score de moyens du Royaume-Uni est de 47/100. Son score de responsabilisation — qui mesure si les agents se sentent autorisés et savent ce qui est permis — est de 49/100. Environ 2 agents sur 5 ne savent pas ce qu’ils sont autorisés à faire avec l’IA. C’est précisément l’environnement dans lequel le Shadow AI prospère.

Concrètement, cela signifie que des agents publics britanniques utilisent des comptes personnels ChatGPT ou Gemini pour rédiger des documents de politique publique, résumer des dossiers ou analyser des jeux de données contenant des informations sur les citoyens. Des données sensibles — y compris des informations protégées par le RGPD britannique et le Data Protection Act 2018 — risquent d’être intégrées dans des grands modèles de langage publics, sans traçabilité, sans contrôle de classification des données et sans possibilité de déterminer a posteriori ce qui a été exposé. Des décisions sont prises sur la base de résultats générés par l’IA sans validation de leur exactitude, de leur impartialité ou de leur pertinence. Et des violations potentielles des obligations de protection des données peuvent survenir, sans preuve permettant d’évaluer l’ampleur de l’exposition.

L’ironie est frappante. Les services qui tentent de faire preuve de prudence en restreignant l’accès à l’IA ou en restant silencieux sur les autorisations ne freinent pas l’utilisation de l’IA. Ils la font passer dans la clandestinité — générant ainsi beaucoup plus de risques que ceux qui proposent des outils approuvés et des consignes claires d’utilisation.

Il est temps de passer du débat « faut-il autoriser l’IA » à la question « comment permettre une utilisation sécurisée de l’IA ». Des solutions comme le Secure MCP Server de Kiteworks illustrent l’infrastructure capable de combler ce fossé — en permettant la productivité avec des outils comme Claude, ChatGPT et Copilot tout en gardant les données sensibles dans le réseau privé. Les cadres de gouvernance existants (RBAC/ABAC) s’appliquent à toutes les interactions avec l’IA, chaque opération d’IA est enregistrée pour la conformité et la traçabilité, et les contenus sensibles ne quittent jamais l’environnement de confiance. Pour les organisations du secteur public britannique, l’alignement avec le RGPD britannique, le Data Protection Act 2018 et les Cloud Security Principles du NCSC signifie que ces protections répondent directement aux obligations réglementaires existantes.

L’alternative — espérer que le silence et la prudence empêcheront les agents d’utiliser l’IA — est une illusion que cet indice vient de balayer chiffres à l’appui.

Le fossé de la traduction : ambitions de Whitehall vs. réalité du terrain

Le gouvernement britannique n’est pas resté inactif sur l’IA. Le DSIT et le Cabinet Office ont placé l’IA au cœur de la modernisation des services publics. L’AI Playbook fournit des orientations centrales. Le nouvel AI Skills Hub vise à étendre la formation gratuite à l’IA. L’intention d’aller au-delà des pilotes et des équipes spécialisées pour généraliser l’usage est réelle.

Mais l’indice met en lumière un décalage flagrant entre cette volonté nationale et l’expérience des agents publics sur le terrain.

Si 60 % des agents publics britanniques déclarent que l’utilisation de l’IA a augmenté au cours de l’année écoulée, l’adoption reste en grande partie limitée à des tâches basiques comme la rédaction ou l’analyse. Moins d’un tiers l’utilisent pour améliorer les processus de travail, et seuls 17 % déclarent s’en servir pour des tâches avancées ou techniques. Le Royaume-Uni affiche une forte sensibilisation au potentiel de l’IA — la plupart estiment que l’IA est facile à utiliser (60 %), efficace (52 %) et qu’elle permet de gagner du temps (66 %) — mais peu ont réellement constaté ces bénéfices dans leur quotidien.

La différence majeure entre le Royaume-Uni et les pays les plus avancés ne tient pas à la technologie, mais à l’infrastructure de la confiance.

À Singapour, 73 % des agents publics savent précisément ce qu’ils peuvent ou non faire avec l’IA, et 58 % savent exactement à qui s’adresser en cas de problème. Les agences centrales proposent des plateformes partagées, des outils approuvés et des consignes pratiques. En Arabie saoudite, une stratégie nationale descendante, liée à Vision 2030, a fait de l’IA un levier de modernisation plutôt qu’un risque, avec 65 % des agents ayant accès à des outils d’IA d’entreprise et 79 % utilisant l’IA pour des tâches avancées. En Inde, 83 % sont optimistes quant à l’IA et 59 % souhaitent qu’elle transforme radicalement leur quotidien.

Au Royaume-Uni, à l’inverse, l’adoption est aujourd’hui portée par la base — par la curiosité individuelle et l’entraide entre pairs, plutôt que par une dynamique organisationnelle. Les collègues constituent la principale source d’apprentissage sur l’IA, devant la formation formelle ou les consignes officielles. Cet enthousiasme spontané a de la valeur, mais il ne remplace pas un accompagnement systémique.

La couche manquante : la gouvernance des données IA pour le secteur public britannique

Le défi du Royaume-Uni ne se limite pas à la formation ou au discours des dirigeants. Il s’agit de l’absence d’une infrastructure de gouvernance des données qui permette une utilisation sécurisée de l’IA à grande échelle.

La plupart des services publics britanniques n’ont aucune visibilité sur les données partagées avec les systèmes d’IA. Quels agents utilisent l’IA, et dans quel but ? Les résultats générés par l’IA contiennent-ils des informations sensibles qui ne devraient pas être partagées avec l’externe ? Comment appliquer les règles de classification des données lorsque des outils d’IA sont utilisés ? Pour la plupart, la réponse honnête est « nous ne savons pas ».

C’est là que les cadres de gouvernance des données IA deviennent fondamentaux — non comme un frein à l’adoption, mais comme la base qui permet une adoption en toute confiance. Les fonctions de gestion de la posture de sécurité des données (DSPM) permettent d’identifier et de classifier les données sensibles dans tous les référentiels, y compris celles ingérées par les systèmes d’IA. L’application automatique des règles peut bloquer l’ingestion de données confidentielles ou privilégiées par l’IA selon les labels de classification. Des journaux d’audit détaillés permettent de tracer toutes les interactions IA-données. Et, alignées sur le RGPD britannique, le Data Protection Act 2018 et les recommandations du NCSC sur la sécurité cloud et IA, ces fonctions aident les services à maîtriser les risques IA tout au long du cycle de vie des données.

L’approche de Kiteworks face à ce défi est exemplaire. En intégrant DSPM, application automatique des règles et journalisation d’audit immuable, les organisations peuvent étiqueter les données selon leur niveau de sensibilité — public, officiel, officiel-sensible, secret — et appliquer automatiquement ces classifications dès qu’un outil d’IA intervient. Chaque interaction IA-données est enregistrée avec l’ID utilisateur, l’horodatage, les données consultées et le système IA utilisé. Il ne s’agit pas seulement de conformité : c’est l’infrastructure qui rend possible une adoption de l’IA en toute confiance, à grande échelle.

Sans cette couche, les services publics britanniques avancent à l’aveugle face aux risques IA. Avec elle, ils peuvent dire « oui » à l’IA en sachant que les données des citoyens sont protégées — ce que demandent précisément les agents publics.

Ce que demandent les agents publics britanniques

La fiche d’information britannique révèle une main-d’œuvre prête, mais en attente. Les agents publics n’ont pas besoin d’être convaincus du potentiel de l’IA — la plupart croient déjà qu’elle permet de gagner du temps (66 %) et 60 % la trouvent facile à utiliser. Ce dont ils ont besoin, c’est de clarté et d’une infrastructure pour passer à l’action.

Les données de l’indice aux États-Unis — où les agents ont été interrogés sur ce qui encouragerait une utilisation accrue de l’IA — donnent un signal clair, valable aussi pour le Royaume-Uni. Des consignes claires et pratiques (38 %), des outils plus simples à utiliser (36 %) et des garanties sur la confidentialité des données (34 %) arrivent en tête. Le budget dédié arrive loin derrière, à 12 %.

Au Royaume-Uni, les chiffres sont cohérents. 46 % citent le manque de directives claires de la direction. 54 % n’ont reçu aucune formation. Environ 2 sur 5 ignorent ce qu’ils sont autorisés à faire avec l’IA. Et 44 % estiment que la formation est reléguée au second plan dans leur organisation.

Les agents publics ne réclament pas de grands programmes. Ils demandent de la clarté, de la simplicité et de la confiance — des éléments qui peuvent être apportés par la politique, la communication et des achats judicieux.

Pourquoi l’intégration est plus cruciale que tout le reste

Le Royaume-Uni obtient 42/100 sur l’intégration — un score qui reflète une intégration précoce ou inégale, l’utilisation de l’IA dépendant encore des initiatives locales, sans soutien systémique. C’est problématique, car les données montrent que l’intégration est la dimension qui génère le plus de valeur.

Dans tous les pays, 61 % des agents travaillant dans des environnements à forte intégration bénéficient de l’IA pour des tâches avancées ou techniques, contre seulement 17 % là où l’intégration est faible. L’intégration gomme aussi les différences d’âge : dans les environnements à forte intégration, 58 % des agents publics de 55 ans et plus gagnent plus d’une heure grâce à l’IA, contre seulement 16 % dans les environnements à faible intégration.

Le Royaume-Uni se situe actuellement du mauvais côté de ce spectre. Seuls 17 % des agents déclarent utiliser l’IA pour des tâches avancées ou techniques. Tant que l’IA ne sera pas intégrée aux systèmes et processus déjà utilisés par les agents, la promesse de productivité de la stratégie IA du gouvernement restera théorique.

Trois priorités pour changer la donne

L’indice met en avant trois actions qui pourraient accélérer l’adoption de l’IA dans le secteur public britannique, à condition d’être menées de front.

Premièrement, rendre les autorisations explicites et opérationnelles — avec une infrastructure sécurisée. L’AI Playbook et les stratégies nationales doivent être renforcés par des signaux cohérents et visibles de la part des directions ministérielles. Mais l’autorisation sans protection crée du risque. Les services doivent déployer des solutions d’IA d’entreprise dotées de contrôles de protection des données, de cadres de gouvernance et d’une journalisation complète — pour que les données sensibles ne quittent jamais l’environnement de confiance. Des plateformes comme le Secure MCP Server de Kiteworks montrent comment cela fonctionne concrètement : elles permettent la productivité avec des outils comme Claude, ChatGPT et Copilot tout en maintenant les contrôles de gouvernance des données exigés par les organisations publiques britanniques. Lorsque les agents savent que les outils sont approuvés, conformes et surveillés, l’hésitation laisse place à la confiance.

Deuxièmement, instaurer la confiance grâce à la preuve et à la préparation aux incidents. Les agents publics britanniques reconnaissent le potentiel de l’IA, mais moins de deux sur cinq la décrivent comme un levier d’autonomisation. Partager des cas concrets — où l’IA a permis de réduire la charge administrative, d’améliorer le tri des demandes ou d’appuyer l’analyse des politiques — aiderait à rendre l’IA tangible. Mais la confiance suppose aussi de savoir quoi faire en cas de problème. Imaginez : un agent colle par erreur des milliers de numéros d’assurance nationale dans un outil d’IA public pour analyse. Les données se retrouvent dans les systèmes du fournisseur — potentiellement stockées indéfiniment ou exposées à d’autres utilisateurs. Le service peut-il dire ce qui a été exposé, quand, par qui, et quelles autres données sensibles ont été partagées ? Sans journaux d’audit immuables, intégration SIEM pour la surveillance en temps réel et documentation de la chaîne de conservation, la réponse est non. Les capacités de réponse aux incidents spécifiques à l’IA ne sont pas optionnelles — elles sont indispensables pour une adoption responsable.

Troisièmement, passer de la sensibilisation à la confiance grâce à des formations adaptées à chaque rôle. Le nouvel AI Skills Hub du Royaume-Uni va dans le bon sens, mais les données montrent que des formations introductives et génériques ne suffisent pas. 44 % des agents estiment que la formation est reléguée au second plan. Des modules courts et pratiques, adaptés à chaque rôle — montrant comment l’IA soutient les tâches déjà réalisées, avec des modèles, des prompts partagés et des exemples concrets — permettent de passer de la sensibilisation à une utilisation confiante. S’associer à des fournisseurs technologiques de confiance peut aider à déployer ces formations à grande échelle tout en apportant les garanties de sécurité et de protection des données attendues par les agents.

Des enjeux bien plus importants qu’un classement

Le fait que le Royaume-Uni soit sixième de cet indice est décevant au vu de ses ambitions nationales, mais le vrai coût n’est pas l’atteinte à la réputation. Il est opérationnel. Chaque jour sans outils d’IA sécurisés et approuvés, ce sont des données publiques qui transitent par des comptes personnels sans contrôle. Chaque semaine sans directives claires au niveau des services, ce sont des gains de productivité qui ne se concrétisent pas. Chaque mois sans gouvernance intégrée de l’IA, l’écart entre l’ambition IA du Royaume-Uni et la réalité du secteur public se creuse.

Le Shadow AI est déjà là. Soixante-dix pour cent des agents publics dans le monde utilisent l’IA ; beaucoup le font hors des canaux approuvés. L’association d’une forte sensibilisation, d’un faible niveau de moyens et d’autorisations floues crée au Royaume-Uni les conditions idéales pour que l’utilisation non autorisée de l’IA se généralise — mettant en danger les données des citoyens au regard du RGPD britannique et du Data Protection Act 2018.

Les 345 agents publics britanniques interrogés dans le cadre de cet indice envoient un message clair : Donnez-nous des consignes, des outils sécurisés, et laissez-nous travailler. La question est de savoir si les dirigeants entendent ce message — et s’ils sont prêts à résoudre le problème du Shadow AI avant qu’il ne devienne une véritable crise de la protection des données.