IA générative en entreprise : cadrer les usages avant d’ouvrir les outils

L’IA générative est entrée dans les entreprises par la porte la plus rapide : les usages individuels. Un collaborateur résume un document, un manager prépare une note, une équipe marketing produit des variantes de contenu, un support client teste une réponse assistée. Le mouvement est naturel. Il est même souvent utile. Mais lorsqu’il reste invisible, il crée un risque simple : l’entreprise utilise déjà l’IA sans avoir vraiment décidé comment elle veut l’utiliser.

Le sujet n’est donc pas de savoir s’il faut interdire ou autoriser. Cette opposition est trop pauvre. La vraie question est plus concrète : quels usages méritent d’être ouverts, avec quelles données, sous quelle responsabilité, avec quels contrôles et quelle preuve de maîtrise ?

Commencer par les usages, pas par les outils

Beaucoup de projets IA commencent par un choix de solution. C’est rassurant, car un outil donne l’impression d’avancer. Pourtant, la première étape devrait être une cartographie des usages attendus.

Une entreprise peut distinguer quatre familles simples.

La première concerne les usages de productivité personnelle : synthèse, reformulation, préparation de réunion, aide à la rédaction. Ils sont souvent rapides à déployer, mais ils exigent des règles claires sur les données autorisées.

La deuxième concerne les usages métier : assistance commerciale, analyse documentaire, support client, contrôle qualité, aide au recrutement, préparation d’appels d’offres. Ici, l’enjeu n’est plus seulement la productivité. Il touche les processus, la qualité de décision et parfois les droits des personnes.

La troisième concerne les usages techniques : aide au développement, génération de scripts, analyse de journaux, diagnostic d’incident, documentation. Ces usages peuvent faire gagner du temps, mais ils exposent aussi des secrets, des architectures, des accès ou du code sensible.

La quatrième concerne les usages décisionnels : scoring, priorisation, recommandation, détection d’anomalies, assistance à l’arbitrage. Dès qu’une sortie d’IA influence une décision importante, il faut savoir qui vérifie, qui tranche et quelle trace conserver.

Sans cette classification, l’entreprise finit avec une règle trop générale. Trop stricte, elle pousse les équipes au contournement. Trop vague, elle laisse chacun improviser.

Classer les données avant de généraliser

L’IA générative ne pose pas seulement une question d’outil. Elle pose une question de circulation de l’information. Un prompt peut contenir un nom de client, une donnée RH, une marge commerciale, une clause contractuelle, une vulnérabilité technique, un extrait de code ou une stratégie encore confidentielle.

La règle la plus utile consiste à créer une grille lisible par tous :

• données publiques ;
• données internes non sensibles ;
• données confidentielles ;
• données personnelles ;
• données critiques ou secrètes.

Chaque niveau doit être associé à des usages autorisés, interdits ou soumis à validation. Cette grille doit être compréhensible par les métiers, pas seulement par l’IT ou le juridique. Une règle que personne ne comprend devient une règle décorative.

La CNIL rappelle que l’utilisation de données personnelles dans un système d’IA reste soumise au RGPD et aux droits des personnes. Cela implique de regarder la finalité, la base juridique, la minimisation, la sécurité, l’information des personnes et la capacité à exercer leurs droits. En pratique, cela veut dire qu’un cas d’usage IA ne doit pas être validé uniquement parce qu’il est techniquement possible.

Installer une gouvernance légère mais réelle

La gouvernance IA n’a pas besoin d’être lourde pour être efficace. Elle doit surtout être explicite.

Un bon cadrage répond à six questions :

• quel problème veut-on résoudre ?
• quelles données sont utilisées ?
• qui utilise l’outil ?
• qui valide le résultat ?
• quel risque accepte-t-on ?
• quelle preuve conserve-t-on ?

Ces questions peuvent tenir dans une fiche d’usage d’une page. L’objectif n’est pas de ralentir l’entreprise. L’objectif est d’éviter que trente expérimentations dispersées deviennent trente risques non suivis.

La gouvernance doit aussi prévoir un seuil d’escalade. Si l’usage concerne une donnée sensible, une décision importante, un client, un salarié, un contrat ou un système critique, il doit sortir du simple test individuel. Il devient un sujet de décision.

Ne pas séparer IA et cybersécurité

L’IA générative élargit la surface d’exposition. Les connecteurs, les extensions, les comptes personnels, les intégrations SaaS, les bases documentaires indexées et les agents capables d’agir dans des outils métiers créent de nouveaux chemins d’accès.

Un projet IA sérieux doit donc vérifier quelques points de cybersécurité dès le départ :

• authentification et gestion des comptes ;
• cloisonnement des droits ;
• journalisation des usages sensibles ;
• règles sur les données copiées dans les prompts ;
• validation des connecteurs ;
• clauses contractuelles avec les fournisseurs ;
• capacité à retirer un accès ou arrêter un usage ;
• plan de réaction en cas de fuite ou de mauvaise décision automatisée.

Ce n’est pas une posture de méfiance. C’est une hygiène normale. Plus l’IA devient utile, plus elle se connecte au système d’information réel. Et plus elle se connecte au réel, plus elle doit être gouvernée comme un composant du SI.

Former les équipes à décider, pas seulement à prompter

La formation IA ne doit pas se limiter à montrer comment poser une bonne question. C’est utile, mais insuffisant. Les équipes doivent aussi comprendre les limites : erreurs plausibles, absence de source, biais, données interdites, confidentialité, validation humaine, responsabilité.

La Commission européenne rappelle que la culture IA concerne les personnes qui utilisent ou exploitent des systèmes d’IA pour le compte d’une organisation. Autrement dit, il ne s’agit pas seulement de former les spécialistes. Les acheteurs, managers, juristes, métiers, développeurs et décideurs doivent recevoir un niveau d’explication adapté à leur rôle.

Une formation efficace part de cas concrets. On montre une réponse fausse mais convaincante. On demande quelles données ne doivent pas être envoyées. On simule un incident. On vérifie si la personne sait quand escalader. La bonne mesure n’est pas le nombre de participants formés, mais la capacité réelle à prendre une meilleure décision.

Une méthode en trente jours

Une entreprise peut avancer rapidement sans improviser.

Semaine 1 : inventorier les usages existants, même informels. Identifier les outils déjà utilisés, les populations concernées et les données manipulées.

Semaine 2 : classer les usages par niveau de risque. Séparer productivité personnelle, usages métier, usages techniques et usages décisionnels.

Semaine 3 : définir les règles minimales. Données autorisées, données interdites, validation humaine, traçabilité, fournisseurs acceptés, seuils d’escalade.

Semaine 4 : lancer trois pilotes propres. Chaque pilote doit avoir un responsable, un objectif, un périmètre, une mesure de valeur, un contrôle de risque et une date de revue.

Cette approche évite deux erreurs fréquentes : bloquer toute initiative par peur du risque, ou ouvrir tous les usages au nom de l’innovation.

Le point de vue GDLTC

L’IA générative ne devient vraiment utile que lorsqu’elle rejoint la gouvernance, la donnée, la cybersécurité, les processus et les responsabilités. C’est exactement le fil directeur de Révolution Numérique !, qui propose une méthode pour comprendre, décider et agir dans l’entreprise numérique : https://amzn.eu/d/04bEf6v3

Pour les dirigeants et responsables IT qui veulent relier IA, risques et résilience, CyberDéfense et Résilience complète utilement cette réflexion avec une approche pragmatique de la protection du système d’information : https://amzn.eu/d/0dR24Rnw

Besoin de cadrer vos usages IA ?

GDL T&C accompagne les dirigeants, DSI, managers de transition et équipes métiers dans le cadrage des usages IA, la gouvernance numérique, la cybersécurité, les diagnostics SI et les feuilles de route pragmatiques.

Pour préparer un cadrage IA simple, réaliste et directement actionnable : https://gdltc.fr