IA générative au travail : organiser les usages sans laisser circuler les données sensibles

Un salarié demande à un assistant de reformuler un compte rendu. Un autre lui transmet un fichier client pour préparer une présentation. Une équipe connecte ensuite le même type d’outil à un espace documentaire. Ces usages ont l’air voisins. Ils n’exposent pourtant ni les mêmes données ni les mêmes risques.

La gouvernance de l’IA générative commence avec ces différences concrètes. Elle ne se résume pas à autoriser ou interdire un outil. L’entreprise doit savoir quelles informations circulent, où elles vont, qui peut les consulter, combien de temps elles restent disponibles et quelles décisions dépendent des réponses. Cette organisation permet d’exploiter les usages utiles sans transformer chaque initiative en circulation incontrôlée de documents.

En bref — Recensez les usages, classez les données et vérifiez les conditions de chaque service avant d’envoyer du contenu professionnel. Préparez des règles courtes, des exemples autorisés et un circuit pour les demandes particulières. La vérification humaine doit porter sur les faits et les conséquences, pas seulement sur la qualité du français.

Partir du travail réellement réalisé

Une politique générale échoue souvent parce qu’elle ne répond pas à la question du salarié : « Puis-je utiliser cet outil pour cette tâche, avec ce document ? » Commencez par un inventaire de situations. Rédaction publique, recherche, résumé, traduction, préparation d’une offre, aide au code et exploitation d’un dossier client ne demandent pas la même analyse.

Pour chaque usage, identifiez l’objectif, les données d’entrée, la sortie attendue, le service utilisé et les actions éventuelles. Un outil limité à la rédaction ne possède pas le même périmètre qu’un agent pouvant consulter des fichiers et envoyer des messages. Un contenu préparatoire relu par un professionnel ne se traite pas comme une décision exécutée automatiquement.

N’attendez pas un recensement parfait avant d’agir. Un petit groupe de pilotes peut travailler sur des données appropriées pendant que les usages plus sensibles sont examinés. L’important est de rendre cette progression explicite, avec un responsable et une date de réévaluation.

Les salariés doivent pouvoir déclarer un usage existant sans que la première réaction soit systématiquement punitive. Sinon, les pratiques restent invisibles. Une gouvernance efficace fournit une solution adaptée au besoin, ou explique la restriction et propose une alternative réaliste.

Classer les données selon ce qu’un envoi changerait

Une grille utile distingue informations publiques, données internes courantes, données confidentielles et données dont le traitement demande une attention renforcée. Le classement doit porter sur le contenu réel, pas uniquement sur le nom du fichier.

Un document public peut comporter des annotations internes. Un ticket technique peut contenir un nom, un identifiant, une clé d’accès ou une capture montrant un client. Un tableau supposé anonymisé peut permettre une identification par combinaison de colonnes. Enlever l’adresse électronique ne garantit pas l’anonymat.

La minimisation des données consiste à ne transmettre que ce qui est nécessaire à l’usage autorisé. Pour améliorer la structure d’un courriel, vous pouvez souvent remplacer noms, montants et détails contractuels par des éléments fictifs. Pour expliquer une formule, un petit tableau inventé peut suffire. Ces substitutions doivent être contrôlées : un oubli dans une note, un onglet ou une propriété de document reste possible.

La pseudonymisation réduit certains risques, mais les données peuvent demeurer personnelles si l’identité reste retrouvable. Le classement et les règles applicables ne disparaissent donc pas automatiquement. Pour un usage impliquant des données personnelles, associez le délégué à la protection des données ou la personne compétente au traitement, au lieu de demander au modèle si l’envoi est permis.

Situation	Préparation raisonnable	Question à résoudre avant envoi
Reformulation d’un texte public	Vérifier l’absence d’annotations privées	Le service et l’usage sont-ils autorisés ?
Résumé de notes internes	Limiter le contenu au strict besoin	Qui pourra accéder au texte et au résultat ?
Préparation d’un dossier client	Classifier et réduire les données	Contrat, finalité et traitement sont-ils adaptés ?
Analyse de code	Retirer secrets et contenus hors périmètre	Dépôt et dépendances peuvent-ils être transmis ?
Recherche dans une base documentaire	Contrôler sources et permissions	Les droits sont-ils appliqués à chaque utilisateur ?

Vérifier le service au-delà de sa page commerciale

La même marque peut proposer des offres individuelles, professionnelles et des interfaces techniques avec des conditions différentes. Vérifiez l’offre effectivement utilisée, le compte concerné et les paramètres activés. Un accord signé pour un espace professionnel ne couvre pas nécessairement un compte personnel employé en parallèle.

Les points à examiner comprennent finalités de traitement, utilisation éventuelle des données pour améliorer des modèles, durée de conservation, options de suppression, accès d’assistance, sous-traitants, localisation et transferts applicables. Les réponses doivent provenir des documents contractuels et techniques pertinents, avec une date de vérification.

Une affirmation comme « les données ne servent pas à l’entraînement » ne répond pas à toutes les questions. Des informations peuvent encore être conservées pour fournir le service, assurer la sécurité ou traiter un incident. Inversement, une conservation courte ne remplace pas un contrôle des autorisations.

Testez les fonctions disponibles plutôt que supposer leur présence : gestion des comptes, retrait d’accès, journaux, export et suppression. Vérifiez aussi les intégrations. Un connecteur peut ouvrir un espace documentaire plus large que l’usage initial, ou offrir des actions qui n’étaient pas prévues au lancement.

Les critères du coût complet et des clauses d’un SaaS s’appliquent ici : intégration, administration, évolution du contrat et sortie du service font partie de la décision. Le tarif par utilisateur ne résume pas le coût ni le risque de l’usage.

Donner aux salariés un cadre qu’ils peuvent appliquer

Une charte utile tient sur quelques règles compréhensibles, complétées par des fiches de cas. Elle nomme les outils autorisés, les données interdites ou soumises à validation, les contrôles attendus et le canal de signalement. Elle explique aussi comment obtenir une autorisation lorsqu’un besoin dépasse le cadre.

Évitez les formules absolues difficiles à mettre en pratique, telles que « ne jamais partager d’information sensible » sans expliquer le classement. Ajoutez des exemples proches du travail : contenu d’un devis, fichier RH, extrait de dépôt, ticket client ou capture d’écran. Le salarié doit reconnaître sa situation.

Précisez ce que signifie la validation humaine. Relire le style n’est pas vérifier une réponse. Selon la tâche, le relecteur doit contrôler chiffres, références, obligations, cohérence avec le dossier et conséquences de l’action. Il doit disposer du temps et de la compétence nécessaires.

Pour un contenu destiné à l’extérieur, attribuez une responsabilité de publication. Une réponse plausible peut créer une promesse commerciale, inventer une caractéristique ou supprimer une réserve importante. Le fait qu’un texte provienne d’un assistant ne transfère pas cette responsabilité à un service technique.

Un exemple de règle suffisamment précis

Voici une formulation pédagogique, à adapter au contexte : « Pour préparer la structure d’une proposition, utiliser uniquement le service professionnel autorisé et des informations publiques ou fictives. L’envoi d’éléments contractuels ou d’un dossier client nécessite le circuit de validation prévu. Avant transmission au client, le responsable du dossier vérifie les montants, les engagements et les caractéristiques de l’offre. »

Cette règle n’est pas une conformité prête à signer. Elle montre comment réunir outil, données, tâche et contrôle. Un encadrement comparable peut être construit pour chaque usage récurrent.

Les accès et les connecteurs changent l’échelle du risque

Un assistant documentaire doit retrouver uniquement les contenus auxquels la personne est autorisée. Les permissions doivent être appliquées par l’application et la recherche, pas par une instruction demandant au modèle de rester discret. Une réponse servie depuis un cache doit respecter le même périmètre.

Le fonctionnement d’un RAG en entreprise montre pourquoi le contrôle commence avant la génération : ingestion, fragments, index et caches transportent eux aussi de l’information. Retirer un accès au document source exige de vérifier la propagation dans toute la chaîne.

Un agent doté d’actions demande une limite supplémentaire. Définissez précisément les opérations possibles, les ressources accessibles et les validations requises. Préparer un message peut être autorisé alors que son envoi demande une confirmation. Lire un état de commande ne donne pas le droit de modifier son paiement.

Les contenus lus peuvent contenir des instructions hostiles ou simplement inadaptées. Ils doivent rester des données, sans autorité pour étendre les droits de l’agent. Limitez les permissions des outils, séparez les étapes sensibles et journalisez les actions de manière proportionnée.

Un contrôle technique de prévention des fuites peut aider à repérer certains motifs, comme des secrets ou identifiants. Il ne comprend pas parfaitement toutes les informations métier. Combinez donc mécanismes techniques, classification, formation et procédures plutôt que promettre une détection exhaustive.

Mesurer une utilité réelle, avec les vérifications incluses

Le gain de temps annoncé doit tenir compte de la préparation, de la relecture et des corrections. Dans une simulation fictive, une tâche prend trente minutes sans assistant. Avec l’outil, trois minutes de génération s’ajoutent à cinq minutes de préparation et douze minutes de vérification : vingt minutes au total.

Le gain est de dix minutes par tâche, pas vingt-sept. Pour 300 tâches, cela représente cinquante heures de capacité libérée. Avec une valorisation pédagogique de 35 euros par heure, cette capacité vaut 1 750 euros. Elle ne devient une économie de trésorerie que si l’entreprise évite effectivement une dépense ou transforme cette disponibilité en résultat mesurable.

Supposons en parallèle dix heures d’administration à 35 euros et 400 euros de coûts de service : 750 euros de coûts supplémentaires dans cet exemple. Cette comparaison décrit une économie potentielle selon les hypothèses retenues. Elle ne prouve pas une rentabilité générale de l’IA.

Ajoutez les erreurs et les reprises. Une réponse rapide qui oblige un expert à refaire tout le travail peut augmenter le coût total. Mesurez le taux de résultats acceptables, le temps de correction et les conséquences des erreurs, avec des catégories de tâches comparables.

Le calcul du retour sur investissement permet de distinguer économies encaissables, capacité disponible et bénéfices plus incertains. Pour les usages sensibles, la décision doit également intégrer des critères de risque qui ne se résument pas proprement à un montant unique.

Organiser l’incident avant qu’il survienne

Un salarié doit savoir quoi faire s’il transmet un document au mauvais service ou si une réponse dévoile une information inattendue. Préparez un canal court et identifié : responsable opérationnel, sécurité et personne compétente en protection des données selon le cas.

La première étape consiste à conserver les éléments utiles sans rediffuser inutilement les données : service, compte, moment, type de contenu et actions réalisées. Il peut ensuite être nécessaire de limiter un accès, demander une suppression, retirer un connecteur ou suspendre un usage. Les démarches dépendent de ce qui s’est réellement produit.

Ne considérez pas une suppression dans l’interface comme une preuve automatique que toutes les copies ont disparu. Vérifiez les mécanismes disponibles et les engagements du prestataire. Si des secrets d’accès ont été exposés, leur remplacement et la vérification des accès peuvent être nécessaires indépendamment du nettoyage de la conversation.

Lorsqu’il existe un risque pour des données personnelles, le traitement de l’incident relève du cadre applicable, avec une appréciation des obligations et délais par les personnes compétentes. Une procédure interne doit faciliter cette appréciation ; l’assistant ne doit pas improviser la décision réglementaire.

Faire vivre la gouvernance sans bloquer chaque demande

Nommez un responsable métier pour chaque usage important et un interlocuteur technique pour le service. Le premier vérifie que la tâche apporte une valeur et que le résultat est contrôlé. Le second suit accès, paramètres, intégrations et changements de conditions. Les achats, la sécurité et la protection des données interviennent selon le périmètre.

Un registre léger conserve usage, outil, données, contrôles, responsable et date de révision. Réexaminez les cas lorsque le modèle, le connecteur ou la finalité change. Une autorisation pour reformuler un texte ne couvre pas automatiquement un accès permanent à tous les dossiers.

La formation gagne à partir de situations réelles, sur des données adaptées : repérer une référence inventée, préserver une condition importante, réduire les informations envoyées et demander une validation. Les démonstrations spectaculaires impressionnent ; les exercices de vérification rendent l’usage plus sûr.

Réservez également un contrôle aux départs et changements de fonction. Un salarié qui quitte un service ne doit pas conserver automatiquement ses anciens accès documentaires ou ses connecteurs personnels. La suppression d’un compte dans un outil ne suffit pas toujours à retirer des clés techniques et des autorisations accordées ailleurs. L’inventaire initial aide à retrouver ces dépendances.

Lors d’un renouvellement, reprenez les hypothèses du pilote : volume de tâches, temps de vérification et résultats acceptables. Si l’usage a doublé mais que les corrections prennent plus longtemps, l’économie peut avoir changé. Une décision de prolongation doit s’appuyer sur le travail observé, pas uniquement sur le nombre de licences activées.

La bonne organisation donne finalement une réponse simple à la majorité des salariés : voici l’outil, voici les données permises, voici les contrôles et voici qui contacter. Cette clarté évite à la fois l’usage clandestin et les promesses excessives. Elle permet à l’entreprise de développer l’IA là où elle améliore vraiment le travail, avec des limites qu’elle sait expliquer et maintenir.