Dans beaucoup d'entreprises, l'IA est entrée par la petite porte : un salarié a ouvert un compte gratuit pour gagner du temps. C'est plutôt bon signe. Mais personne n'a fixé de règles, et c'est là que les ennuis commencent.
Cinq situations qui arrivent tous les jours
Le devis collé dans une IA grand public
Pour reformuler un devis, un commercial le colle en entier dans une IA gratuite. Le nom du client, ses prix et vos marges partent chez l'éditeur. Même scène à la paie, avec un bulletin de salaire.
Personne ne sait qui utilise quoi
Trois abonnements pris à la carte bancaire, deux comptes gratuits, un outil testé par le stagiaire. Vous ne savez ni qui s'en sert, ni ce que ça coûte à la fin du mois.
Tout le monde a accès à tout
Branchée sur le dossier partagé, l'IA répond à tout le monde de la même façon. Un salarié curieux peut lui demander les salaires ou les comptes de l'année.
Impossible de prouver ce qui s'est passé
Un client vous demande ce que sont devenues ses données. Un salarié conteste une réponse de l'IA. Sans trace, vous n'avez rien à montrer.
Des documents en vrac, une IA qui répond à côté
Trois versions du même tarif, des scans sans nom, des dossiers jamais rangés. L'IA pioche dans le mauvais fichier et répond avec assurance.
Aucun de ces problèmes ne vient de l'IA elle-même. Ils viennent de l'absence de règles autour d'elle.
Quatre mots, une phrase chacun
- Souveraineté
- Savoir où sont vos données, chez qui, et sous quelle loi. Et pouvoir en changer.
- Gouvernance
- Décider qui a droit à quoi, avec quel budget, et pouvoir le vérifier.
- Pseudonymisation
- Remplacer un nom par un repère, comme
[PERSONNE_1], avant que le texte parte. C'est une mesure de sécurité, pas un effacement : le vrai nom est remis au retour. - Traçabilité
- Garder la trace de chaque demande : qui, quand, avec quel outil, pour quel coût.
Votre IA est-elle sous contrôle ?
Dix questions, à se poser crayon en main. Répondez par oui ou par non, sans tricher.
- Savez-vous quels outils d'IA vos salariés utilisent aujourd'hui ?
- Avez-vous écrit ce qu'on a le droit d'y coller, et ce qu'on n'y colle jamais ?
- Savez-vous où sont hébergées les données envoyées à l'IA, et chez qui ?
- Les noms de vos clients et de vos salariés sont-ils masqués avant de partir ?
- Chaque service ne voit-il que ses propres documents ?
- Pouvez-vous retrouver qui a demandé quoi, et quand ?
- Connaissez-vous votre dépense d'IA du mois dernier ?
- Un plafond arrête-t-il les demandes quand le budget est atteint ?
- Vos documents sont-ils triés, pour que l'IA cite la bonne version ?
- Vos salariés et leurs représentants connaissent-ils les règles ?
Chaque « non » est un point à régler. C'est la grille que nous utilisons pendant le diagnostic.
À quoi ressemble une IA gouvernée
Suivons une question, du clavier du salarié jusqu'à la réponse.
- Le salarié écritQue dit le devis de M. Dupont ?
- Le contrôle, sur votre serveurDroit vérifiéBudget vérifiéNom masqué
- Le modèle d'IA ne voit queQue dit le devis de [PERSONNE_1] ?
- Le salarié lit la réponseLe devis de M. Dupont prévoit…Le nom est remis au retour. Une ligne s'ajoute au journal.
Les cinq garanties
Le commercial ne voit pas la paie. Un outil interdit n'apparaît même pas, et reste refusé si on insiste.
Noms, e-mails, téléphones et IBAN deviennent des repères avant de partir vers le modèle.
Chaque demande y est inscrite : qui, quoi, quand, combien. On ne peut ni le modifier ni l'effacer sans que ça se voie.
Vous fixez un budget. Quand il est atteint, les demandes sont refusées.
Le serveur ne peut joindre que les quelques adresses prévues. Tout le reste est bloqué.
Le masquage n'est pas magique. Il se règle et se mesure sur vos propres documents.
Ce que disent les textes
Deux textes européens reviennent dans toutes les conversations. Voici ce qu'ils demandent, en gros. Nous ne sommes pas juristes : pour votre cas, voyez votre conseil.
Dès qu'il y a des données personnelles
Il s'applique quand une IA traite des données de vos clients ou de vos salariés. Il vous demande de savoir quelles données sont traitées, pourquoi, où et par qui, d'en informer les personnes et d'encadrer vos prestataires par contrat.
Le règlement européen sur l'IA
Il s'applique par étapes, de 2025 à 2028, et classe les usages par niveau de risque. Depuis février 2025, il demande aux entreprises de prendre des mesures pour former les équipes qui utilisent l'IA (une obligation assouplie en 2026). Depuis août 2026, il faut signaler quand on parle à une machine, et certains contenus produits par l'IA doivent être reconnaissables comme tels. La plupart des PME qui utilisent l'IA ont des obligations légères. Elles deviennent lourdes dès que l'IA sert à recruter ou à évaluer des salariés, des usages classés « à haut risque » à partir de décembre 2027.
Un outil ne vous met pas en règle à lui seul. Il vous donne les preuves et les réglages dont vous aurez besoin.
Un exemple, pour se représenter
- Chaque service a son IA, payée au coup par coup.
- Un devis client a été collé dans un outil gratuit.
- La dirigeante ne sait pas ce que ça coûte.
- Un seul assistant pour tous, sur un serveur réservé à l'entreprise.
- Les commerciaux interrogent les tarifs et les devis, la paie ses dossiers, chacun chez soi.
- Une fois par mois, la dirigeante regarde le journal et la dépense.
