Dans votre entreprise, l'IA générative est déjà utilisée, que vous l'ayez décidé ou non : quelqu'un rédige ses courriers avec, quelqu'un d'autre résume des comptes rendus, un troisième fait relire un contrat. La seule question qui vous reste à trancher est de savoir si cet usage se déroule dans un cadre que vous avez posé, ou dans un vide que chacun comble à sa manière. Interdire produit rarement l'effet recherché : l'usage se poursuit, simplement il devient invisible.
Ce sujet évolue vite, aussi bien du côté des outils que du côté du droit. Plutôt que de vous appuyer sur des règles entendues quelque part, appuyez-vous sur les recommandations publiées par la CNIL sur l'intelligence artificielle, qui sont mises à jour et écrites pour des non-juristes. Cet article se concentre sur les décisions d'organisation, qui, elles, resteront valables quelle que soit l'évolution des textes.
En résumé
- L'usage existe déjà dans votre entreprise : la question n'est pas d'autoriser ou non, mais de savoir sous quelles conditions.
- Le risque numéro un est la fuite de données, quand un salarié copie un document confidentiel dans un outil grand public.
- Fournir des comptes professionnels retire l'essentiel du risque sans frustrer personne.
- Ces outils produisent des réponses plausibles, pas des réponses vérifiées : la relecture humaine reste obligatoire.
- Une charte courte, illustrée par des exemples concrets, est mieux appliquée qu'un règlement exhaustif.
Trois risques concrets, pas trois peurs abstraites
La sortie de données
C'est le risque dominant et le plus facile à traiter. Un salarié pressé colle dans un outil en ligne le contrat d'un client, une liste de salaires, un fichier de prospects ou le code source d'un logiciel interne. Selon l'outil et le type de compte utilisé, ces contenus peuvent être conservés, consultés à des fins d'amélioration du service, ou simplement stockés hors de votre contrôle. Ce n'est pas une malveillance, c'est un réflexe de productivité.
La réponse fausse mais crédible
Ces outils produisent un texte cohérent, jamais une vérification. Ils inventent des références juridiques, des chiffres, des articles de loi et des noms de contacts avec le même aplomb qu'ils rédigent un courrier. Le danger vient précisément de la qualité de la forme : un document mal rédigé alerte, un document parfaitement rédigé et faux passe la relecture.
La dépendance silencieuse
Quand un processus entier repose sur un outil souscrit par un salarié avec sa carte bancaire personnelle, l'entreprise ne maîtrise ni la continuité, ni la propriété des contenus, ni la reprise en cas de départ. C'est la version moderne du fichier Excel critique stocké sur un poste unique, un sujet que nous abordons dans nos articles sur le cloud et les outils collaboratifs.
Ce que vous pouvez décider dès cette semaine
| Usage observé | Risque associé | Règle à poser |
|---|---|---|
| Rédiger ou reformuler un courrier, une annonce, un compte rendu | Faible, sauf si le texte contient des données nominatives | Autorisé avec un compte professionnel, relecture avant envoi |
| Résumer un document client ou un contrat | Sortie de données confidentielles hors de l'entreprise | Autorisé uniquement sur outil validé, jamais sur compte personnel |
| Traiter un fichier contenant des données personnelles | Élevé, avec des conséquences réglementaires possibles | Interdit sans validation explicite de la direction |
| Produire un contenu publié au nom de l'entreprise | Erreurs factuelles engageant votre responsabilité | Relecture humaine obligatoire et identifiée avant publication |
| Générer du code ou une automatisation métier | Dépendance et défauts de sécurité non détectés | Revue par un tiers compétent avant mise en production |
La charte qui tient sur une page
Un document long ne sera pas lu. Une page suffit si elle répond à cinq questions dans un langage direct. Quels outils sont autorisés, et lesquels ne le sont pas. Quelles données ne doivent jamais y être copiées, avec des exemples issus de votre activité plutôt que des catégories abstraites. Qui valide un contenu avant qu'il ne sorte de l'entreprise. Comment demander l'ajout d'un nouvel outil, parce que sans cette porte de sortie les gens contournent la règle. Et à qui signaler une erreur ou une maladresse sans crainte de sanction.
Ce dernier point est déterminant. Une charte qui promet une sanction en cas d'erreur produit du silence, et le silence est ce qui transforme un incident bénin en problème. Vous voulez qu'un salarié vienne vous dire qu'il a collé un fichier au mauvais endroit dans l'heure qui suit, pas trois mois plus tard.
Cadrer techniquement plutôt qu'interdire
La mesure la plus efficace ne coûte presque rien : donner à vos équipes un accès professionnel à un outil correct. Un compte professionnel change trois choses. Il permet en général de désactiver la réutilisation de vos contenus, il vous laisse la maîtrise des accès quand quelqu'un quitte l'entreprise, et il rend inutile le recours aux versions gratuites que vous ne contrôlez pas. Vous ne payez pas pour une technologie, vous payez pour reprendre la main.
Complétez par deux réglages simples : intégrez ces comptes à votre annuaire d'entreprise pour que la création et la suppression suivent les arrivées et les départs, et vérifiez auprès de l'éditeur ce qu'il fait des contenus que vous lui envoyez. Ces vérifications relèvent du même travail que le choix d'un hébergement ou d'une suite bureautique, et votre prestataire d'infogérance peut les mener pour vous.
Former en une heure, pas en un séminaire
La formation qui fonctionne dure une heure et repose sur des cas réels de votre entreprise. Montrez une réponse fausse produite sur un sujet que tout le monde maîtrise, l'effet est immédiat et durable. Montrez ce qui arrive quand un document confidentiel est envoyé au mauvais endroit. Puis donnez trois usages recommandés qui font gagner du temps dès le lendemain : reformuler un courrier difficile, préparer une trame de compte rendu, transformer des notes en message clair.
Répétez l'exercice une fois par an. Les outils changent, les habitudes se relâchent, et les nouveaux arrivants n'ont pas assisté à la première session.
Ce que vous devez surveiller ensuite
Une fois le cadre posé, deux points méritent un suivi. Le premier est la multiplication des abonnements souscrits hors de votre visibilité, qui gonfle les dépenses et disperse les données. Une revue annuelle des prélèvements par carte professionnelle suffit à la détecter. Le second est l'apparition de fonctions d'IA dans des outils que vous utilisez déjà, souvent activées par défaut : votre messagerie, votre suite bureautique, votre logiciel de gestion. Ce sont les mêmes questions à poser, sur des outils que vous croyiez connaître.
Enfin, gardez une règle simple en tête pour arbitrer les cas non prévus : si le contenu ne pourrait pas être transmis à un partenaire extérieur sans précaution, il n'a rien à faire dans un outil d'IA non validé. Cette formule tient en une phrase et couvre la quasi-totalité des situations. Si le sujet vous conduit à revoir plus largement votre organisation numérique, nos repères pour choisir un prestataire vous éviteront de confier ce chantier au premier venu.
