IA non encadrée : reprendre la maîtrise des usages utiles

Prenons un commercial qui colle un contrat client dans un compte IA personnel pour préparer sa réponse. Le travail peut gagner en qualité tandis que l’entreprise perd la visibilité sur le document transmis.

C’est un scénario à vérifier avec l’équipe. Demandez quelles données ont été transmises, avec quel compte, sous quelle autorisation et ce que le fournisseur conserve.

Établir les usages réels

L’inventaire distingue un service professionnel approuvé d’un compte personnel non géré. Le nom du produit ne renseigne pas sur le contrat, la conservation ni les droits d’accès.

Concrètement, il se passe ceci. Vos collaborateurs sont des gens intelligents, avec des problèmes difficiles et un accès à des outils extraordinaires. ChatGPT. Claude. Gemini. Perplexity. Ils les utilisent tous les jours. Ils y chargent des documents, y collent des données internes, écrivent des prompts avec des noms de clients, des chiffres financiers et des dossiers RH. Ils obtiennent des résultats. Ils continuent.

Du point de vue de la productivité, ça fonctionne.

Du point de vue de la conformité, c'est un fil dénudé.

Le RGPD et NIS2 ne sont pas contradictoires par principe. L’article 32 du RGPD impose une sécurité adaptée au risque. Pour les entités concernées, les articles 21 et 23 de NIS2 portent sur les mesures proportionnées de cybersécurité et la notification des incidents significatifs. La surveillance doit conserver une base légale, rester proportionnée et respecter les droits des salariés.

La tension réglementaire est réelle, et ce n'est même pas le problème le plus urgent. Le plus urgent, c'est que vous pilotez avec un angle mort au coeur de votre activité. Des informations clients confidentielles quittent vos systèmes par des canaux que vous n'avez pas construits, pas autorisés, et que vous ne pouvez pas auditer. Les gens qui le font n'ont aucune mauvaise intention. Ils essaient juste de faire leur travail plus vite, avec les meilleurs outils à leur portée.

La bonne intention ne change rien à l'exposition.

Une annonce d’effectifs faite ailleurs ne prouve ni le rendement ni la sûreté de vos usages IA. Vos éléments de preuve sont le processus, ses résultats et le traitement des données de l’entreprise.

Mais il existe une autre version de l'histoire de l'IA, qui se joue en ce moment, plus discrètement, dans des entreprises qui n'ont rien annoncé. C'est l'entreprise où l'IA est partout, sans structure, sans documentation, sans aucune visibilité centrale. Où l'équipe commerciale rédige ses propositions avec Copilot, où le directeur financier fait tourner ses analyses sur des outils qui n'ont jamais vu l'ombre d'une revue de sécurité, et où le responsable des opérations résume les documents du conseil avec Claude sur un compte personnel.

Tout le monde est plus productif. Personne ne sait quelles données sont parties où.

Quand la question arrivera, et elle arrivera, d'un client qui fait une revue de sécurité, d'un régulateur, d'un acquéreur potentiel en pleine due diligence, la réponse "on ne suivait pas vraiment" n'est pas une bonne réponse.

Vous avez deux options quand vos salariés utilisent l'IA sur les données de l'entreprise.

Donner un cadre aux usages utiles

Restreignez les usages risqués tout en proposant un moyen approuvé de réaliser le travail. Certaines données ou actions doivent rester interdites, même dans un outil utile.

Une politique exige des moyens concrets : comptes gérés, limites d’accès et traitement des exceptions.

Un salarié motivé avec un ordinateur personnel et une extension de navigateur trouvera un moyen. Et l'interdiction coûte cher dans un autre sens : vous renoncez aux gains de productivité que vos concurrents capturent, et vous créez du ressentiment chez vos meilleurs éléments, ceux qui ont vu ce que ces outils savent faire et comprennent que vous leur demandez de revenir en arrière.

Les entreprises qui prennent de l'avance sont celles qui ont canalisé.

Canaliser, c'est construire un environnement IA d'entreprise. Vos données, sous votre contrôle, avec votre structure de permissions, votre piste d'audit, vos règles. Pas le ChatGPT grand public. Un système dont vos équipes juridique et sécurité peuvent répondre quand on leur pose la question. Un système où les capacités que vos salariés utilisent déjà sont disponibles dans un cadre que vous maîtrisez.

C'est une décision de gouvernance.

Commencez par un usage autorisé. Confirmez la classification des données et les conditions du fournisseur, définissez conservation et droits, testez les résultats puis désignez le responsable de l’exploitation.

Le périmètre dépend des connexions, de la sensibilité des données, des droits hérités et de l’équipe d’exploitation. Convenez-en avant d’annoncer une date de lancement.

NIS2 fixait la transposition nationale au 17 octobre 2024, avec application des mesures à partir du 18 octobre. Le champ dépend du secteur, de la taille, des exceptions et du droit national. Vérifiez la situation de votre entité ; toute entreprise de taille intermédiaire n’est pas automatiquement concernée.

La vraie question n'est pas de savoir s'il faut agir. La vraie question, c'est à quoi ressemble l'action dans une entreprise de votre taille, avec votre mix de clients, de types de données et d'exposition réglementaire.

Vos salariés utilisent déjà ces outils. La question est de savoir si ça se passe selon vos règles ou selon les leurs.