Le problème que personne veut voir
Selon une étude Salesforce (2024), 58% des salariés utilisent déjà l'IA générative au travail. Et parmi eux, 28% le font sans que leur employeur le sache.
Concrètement dans votre PME, ça veut dire :
- Votre commercial colle des données clients dans ChatGPT pour rédiger des emails
- Votre comptable utilise une IA pour résumer des contrats confidentiels
- Votre stagiaire génère du code avec Copilot sans vérifier les failles de sécurité
C'est pas de la mauvaise volonté. C'est de l'efficacité mal cadrée.
Les 4 risques concrets
1. Fuite de données confidentielles
ChatGPT (version gratuite) peut utiliser vos données pour entraîner ses modèles. Vous collez un contrat client dedans ? Il peut théoriquement resurgir dans une réponse à quelqu'un d'autre.
Le fix : n'utiliser que des API avec DPA (Data Processing Agreement) et rétention 0. Claude API, GPT-4 API (pas la version chat gratuite), Mistral API.
2. Hallucinations non détectées
L'IA invente avec aplomb. Un collaborateur qui fait confiance aveugle à une réponse IA peut envoyer des chiffres faux à un client, un contrat avec des clauses inventées, ou un email avec des infos incorrectes.
Le fix : règle simple - tout output IA doit être vérifié par un humain avant envoi externe. Pas négociable.
3. Propriété intellectuelle floue
Qui possède le contenu généré par IA ? Si votre développeur utilise Copilot, le code généré peut contenir des fragments sous licence GPL. Légalement, c'est un champ de mines.
Le fix : documenter l'usage d'IA dans les livrables. Pour le code, review systématique. Pour les contenus, toujours reformuler/adapter.
4. Dépendance à un fournisseur
Votre équipe s'appuie à 100% sur ChatGPT. OpenAI change ses prix (ça arrive souvent), change ses conditions, ou tombe en panne. Vous faites quoi ?
Le fix : ne jamais dépendre d'un seul LLM. Avoir un plan B (Claude, Mistral, modèle open source).
La charte IA minimum viable (5 règles)
Pas besoin d'un document de 40 pages. Ces 5 règles suffisent :
Règle 1 : Liste des outils autorisés
"L'entreprise autorise l'usage de : Claude (via API), ChatGPT Plus (pas la version gratuite), Notion AI. Tout autre outil doit être validé par [responsable]."
Règle 2 : Données interdites
"Ne jamais saisir dans un outil IA : données clients nominatives, informations financières confidentielles, mots de passe, contrats non publics."
Règle 3 : Vérification obligatoire
"Tout contenu généré par IA destiné à un client ou partenaire externe doit être relu et validé par un humain avant envoi."
Règle 4 : Traçabilité
"Mentionner l'usage de l'IA dans les livrables quand c'est pertinent. Pas par transparence marketing - par responsabilité."
Règle 5 : Review trimestrielle
"Tous les 3 mois, on fait le point : quels outils on utilise, quels usages ont émergé, quels risques on a identifiés."
RGPD et IA : l'essentiel
Le RGPD n'interdit pas l'IA. Il impose des contraintes sur le traitement de données personnelles :
- Base légale : vous devez avoir une raison légitime pour traiter les données (consentement, intérêt légitime, contrat)
- Minimisation : ne traitez que les données nécessaires. Pas besoin d'envoyer tout le dossier client à l'IA si la question porte sur une facture
- DPA : votre fournisseur IA doit avoir signé un Data Processing Agreement avec vous
- Hébergement : privilégiez les solutions hébergées en EU (Mistral, OVH, Scaleway)
- Droit d'accès : vos clients peuvent demander comment leurs données sont traitées. Ayez une réponse prête
En pratique : utilisez les API (pas les versions chat gratuites), choisissez des providers avec DPA, et documentez vos usages. C'est 90% du travail.
Comment former sans fliquer
Le piège c'est de transformer la gouvernance IA en flicage. Vos équipes vont contourner.
Ce qui marche :
- 1h de formation initiale : "voici les outils, voici les règles, voici pourquoi"
- Un channel Slack #ia-tips où les gens partagent leurs usages et astuces
- Un référent IA (pas forcément le DSI - quelqu'un de curieux et pragmatique)
- Valoriser les bons usages plutôt que punir les mauvais
Ce qui marche PAS :
- Bloquer ChatGPT sur le réseau (ils utiliseront leur téléphone)
- Un document de 30 pages que personne lit
- Des formations obligatoires de 2 jours (trop long, trop théorique)
Par où commencer
- Cette semaine : demandez à votre équipe "qui utilise l'IA au quotidien ?". Pas pour punir - pour comprendre.
- Semaine prochaine : rédigez votre charte en 5 points (copiez les nôtres ci-dessus).
- Dans 1 mois : faites un premier bilan. Quels usages ? Quels risques ? Quels gains ?
C'est pas plus compliqué que ça. Et c'est 100x mieux que de ne rien faire 🎯
Besoin d'un coup de main pour cadrer ? On en discute en 30 min.