IA en entreprise : poser le cadre avant que vos équipes s'en servent

Il y a de fortes chances que quelqu'un, dans votre entreprise, ait collé cette semaine un extrait de contrat, un tableau de prix ou un compte rendu d'entretien dans un outil d'IA grand public. Sans mauvaise intention, sans se poser de question, et sans vous en parler.

C'est la situation la plus courante en PME aujourd'hui, et elle est logique : ces outils sont gratuits, accessibles depuis n'importe quel navigateur, et ils rendent réellement service. Personne n'attend une autorisation pour utiliser un correcteur d'orthographe.

Nous avons déjà écrit sur comment intégrer l'IA dans une entreprise industrielle et sur les gains possibles dans les services supports. Ces deux articles traitent du quoi faire. Celui-ci traite de ce qui vient avant, et qui manque presque partout : le cadre.

Bonne nouvelle : ce cadre tient en une page. Il ne demande ni juriste ni comité de gouvernance. Il demande quelques décisions claires, prises une fois, et expliquées à vos équipes.

Quand un collaborateur colle un document dans un outil d'IA en ligne, trois questions se posent — et la réponse dépend entièrement de l'offre utilisée.

Où part la donnée ? Sur des serveurs qui ne sont pas les vôtres, souvent hors de l'Union européenne. Pour des documents anodins, c'est sans conséquence. Pour un fichier client, un contrat en cours de négociation ou des données de santé, la question change de nature.

Combien de temps est-elle conservée ? La plupart des services conservent les conversations, au minimum pour des raisons techniques. Un salarié qui teste un outil imagine rarement qu'il alimente un historique.

Sert-elle à entraîner le modèle ? C'est la différence majeure entre les offres. Les versions grand public réutilisent fréquemment les échanges pour améliorer leurs modèles ; les offres professionnelles s'engagent en général à ne pas le faire. Cette distinction est décisive et elle est rarement connue de ceux qui utilisent l'outil.

Le point pratique à retenir : ces trois réponses ne dépendent pas de l'outil mais de l'abonnement. Le même service peut être inutilisable en version gratuite et parfaitement acceptable en version professionnelle. C'est pour cela qu'interdire « l'IA » en bloc n'a pas de sens — et que laisser chacun se débrouiller n'en a pas davantage.

Le test. Prenez le dernier document que vous auriez envie de soumettre à une IA. Posez-vous une seule question : seriez-vous à l'aise s'il se retrouvait chez un prestataire dont vous ignorez le nom ? Si la réponse est non, il vous faut soit une offre professionnelle avec engagement contractuel, soit une version anonymisée.

Une charte d'usage n'est pas un document juridique. C'est une note de service que tout le monde peut lire en trois minutes et appliquer sans réfléchir. Cinq règles suffisent.

Règle 1 — Ce qui ne sort jamais. Listez explicitement les catégories interdites : données personnelles de clients ou de salariés, données de santé, contrats en cours de négociation, secrets de fabrication, plans, prix de revient. Une liste courte et concrète vaut mieux qu'un principe général que chacun interprétera à sa façon.

Règle 2 — Les outils autorisés. Nommez-les. « Vous pouvez utiliser tel outil avec le compte professionnel de l'entreprise » est une consigne applicable ; « soyez vigilants avec l'IA » ne l'est pas. Fournir un accès professionnel coûte quelques dizaines d'euros par mois et par personne — nettement moins qu'un incident.

Règle 3 — La relecture humaine obligatoire. Rien de ce qui sort d'une IA ne part vers un client, un fournisseur ou une administration sans avoir été relu et validé par une personne. Cette règle protège votre entreprise contre l'erreur factuelle, qui reste le défaut majeur de ces outils.

Règle 4 — La transparence sur les usages sensibles. Décidez dans quels cas l'usage de l'IA doit être signalé : réponses à des clients, documents contractuels, contenus publiés. La règle interne anticipe une exigence qui devient par ailleurs réglementaire.

Règle 5 — Un référent identifié. Une personne à qui poser la question « est-ce que j'ai le droit de faire ça ? ». Sans elle, chacun tranche seul, et généralement dans le sens qui l'arrange.

Le règlement européen sur l'intelligence artificielle, dit AI Act, est entré en vigueur en août 2024 et s'applique par étapes successives. Quelques repères utiles, sans entrer dans un détail juridique qui dépasserait le cadre de cet article.

Vous êtes très probablement « déployeur », pas « fournisseur ». C'est la distinction structurante du texte. Une entreprise qui utilise des outils d'IA du commerce a des obligations nettement plus légères qu'une entreprise qui en conçoit et en met sur le marché. La très grande majorité des PME est dans le premier cas.

La plupart des usages courants ne sont pas classés à haut risque. Rédiger un compte rendu, résumer un document, aider à préparer une réunion : ces usages relèvent du régime le plus léger. Les catégories à haut risque visent des domaines précis — dont, et c'est le point qui concerne le plus les entreprises, certains usages liés au recrutement et à la gestion des ressources humaines.

Deux obligations méritent votre attention. La première porte sur la compétence des personnes qui utilisent ces outils : il est attendu que les collaborateurs concernés disposent d'un niveau de maîtrise suffisant. Autrement dit, former plutôt que laisser faire. La seconde porte sur la transparence : signaler qu'un contenu ou un échange est généré par une IA lorsque l'interlocuteur pourrait s'y méprendre.

Ces deux points rejoignent exactement les règles 3, 4 et 5 de la charte proposée plus haut. Une charte bien faite ne coche pas des cases réglementaires par hasard : elle traite les mêmes risques, pour les mêmes raisons.

L'interdiction pure est la réponse la plus tentante et la moins efficace. Elle produit invariablement le même résultat : l'usage continue, sur les téléphones personnels, hors de toute visibilité. Vous perdez le contrôle que vous pensiez gagner.

La démarche qui fonctionne tient en trois temps, et elle est peu coûteuse.

Ouvrir la discussion. Demandez qui utilise quoi, sans chercher de responsable. Vous découvrirez des usages que vous n'imaginiez pas — et souvent d'excellentes idées que personne n'avait osé remonter.

Fournir un cadre et des outils. Un compte professionnel, la charte d'une page, un référent. Vous remplacez une pratique clandestine par une pratique encadrée, sans perdre le bénéfice.

Former, brièvement. Une à deux heures suffisent à couvrir l'essentiel : ce que ces outils savent faire, ce qu'ils inventent, ce qui ne doit jamais leur être transmis, et comment vérifier une réponse. C'est peu, et c'est ce qui distingue une équipe qui utilise l'IA correctement d'une équipe qui l'utilise au hasard.

Ce troisième point n'est pas seulement de bonne gestion : il rejoint l'attente réglementaire sur le niveau de maîtrise des utilisateurs.

Dès que l'usage se structure, la question suivante arrive : plutôt que de coller des extraits dans un outil public, pourquoi ne pas disposer d'un assistant connecté à nos propres données ?

C'est souvent le bon mouvement, et il change la nature du problème. Les données restent dans un environnement que vous maîtrisez, l'hébergement peut être choisi en Union européenne, la conservation et les accès sont définis par vous. Les questions de confidentialité ne disparaissent pas — elles deviennent des paramètres au lieu d'être subies.

Trois points à cadrer dès la conception, et pas après : où sont hébergées les données, qui a accès à quoi, et ce qui est conservé et pour combien de temps. Ce sont les mêmes exigences que pour n'importe quelle application métier — nous les détaillons dans nos engagements sécurité et RGPD.

Un dernier conseil, valable pour tout projet d'IA interne : commencez par un usage précis et mesurable plutôt que par un assistant généraliste. Un outil qui traite bien un seul cas rend service dès la première semaine ; un assistant qui promet de tout faire n'est jamais adopté.

Le sujet paraît vaste, il ne l'est pas. Une page de règles claires, des comptes professionnels pour ceux qui en ont besoin, deux heures de formation et un référent identifié : voilà le cadre. Il se met en place en quelques jours.

Ce cadre vous fait gagner sur trois plans à la fois. Vous réduisez un risque réel de fuite d'informations. Vous anticipez des obligations qui se précisent. Et surtout, vous transformez une pratique clandestine et hétérogène en un usage assumé, que vous pouvez enfin faire progresser.

La plupart des entreprises de votre taille n'ont encore rien posé. Une page suffit à faire la différence.