« On ne touchera pas à l'IA tant que ce ne sera pas sécuritaire. » On entend cette phrase dans presque chaque première rencontre. Et on comprend pourquoi : vos données clients, vos prix, vos marges, vos dossiers d'employés, tout ça a de la valeur. Personne ne veut être l'entreprise qui l'apprend à la dure.
Voici pourtant ce qu'on constate sur le terrain : dans la plupart des entreprises qui « n'ont pas encore adopté l'IA », les employés l'utilisent déjà. Ils collent des courriels de clients dans ChatGPT pour rédiger des réponses. Ils y résument des documents internes. Sans mauvaise intention, et sans aucun cadre.
Le vrai risque n'est pas d'adopter l'IA. C'est de croire qu'on ne l'a pas adoptée, pendant qu'elle s'installe toute seule.
Ce phénomène a un nom : l'IA fantôme (« shadow AI »). Et l'interdiction ne le règle pas. Bloquer ChatGPT sur le réseau du bureau, c'est envoyer l'usage sur les téléphones personnels, là où vous ne voyez plus rien. La question n'est donc pas « est-ce qu'on laisse entrer l'IA ? ». Elle est déjà entrée. La question est : à quelles conditions.
Un enjeu de gouvernance, pas de technologie
La cybersécurité liée à l'IA est d'abord un enjeu humain et organisationnel. La technologie, elle, offre déjà de bonnes réponses :
- Les versions d'affaires des grands outils d'IA offrent des garanties contractuelles : vos données ne servent pas à entraîner les modèles et restent isolées.
- L'IA locale exécute les modèles sur un serveur chez vous : aucune donnée ne quitte votre réseau. On en parle en détail dans notre article sur l'IA locale.
- Les systèmes intégrés sur mesure peuvent être conçus pour ne transmettre que le strict nécessaire, avec des accès nominatifs et journalisés.
Ce qui manque dans la plupart des entreprises, ce n'est donc pas une solution technique. C'est un cadre : qui a le droit d'utiliser quoi, avec quelles données.
Par où commencer, concrètement
- Regardez ce qui se passe déjà. Demandez à vos équipes quels outils d'IA elles utilisent, sans ton de reproche. Vous voulez la vraie réponse, pas la réponse prudente.
- Écrivez un cadre d'une page. Pas une politique de 40 pages que personne ne lira. Une page : ce qu'on peut mettre dans un outil d'IA public (rien de nominatif, rien de confidentiel), ce qui exige un outil approuvé, et à qui poser ses questions.
- Donnez une alternative approuvée. Un cadre qui interdit sans rien offrir sera contourné. Fournissez un outil encadré qui rend les mêmes services.
- Réservez les données sensibles aux environnements contrôlés. Version d'affaires sous contrat, ou IA locale si vos obligations l'exigent.
Les questions à poser à un fournisseur
Si quelqu'un vous propose une solution d'IA, ces quatre questions départagent le sérieux du marketing :
- Où mes données sont-elles traitées, et où sont-elles stockées ?
- Servent-elles à entraîner un modèle ? La réponse doit être un non vérifiable au contrat.
- Qui, chez vous, peut y accéder ?
- Que se passe-t-il si on met fin au service ?
Un fournisseur qui répond avec précision à ces quatre questions mérite la suite de la conversation. Un fournisseur qui répond « c'est sécurisé, ne vous inquiétez pas » ne la mérite pas.
- 41 % des dirigeants nomment la cybersécurité comme premier frein à l'IA : l'inquiétude est légitime.
- Vos employés utilisent probablement déjà l'IA sans cadre : interdire déplace le problème, encadrer le règle.
- Un cadre d'une page, des outils approuvés et des garanties contractuelles couvrent la grande majorité des risques.
- Pour les données qui ne doivent jamais sortir : l'IA locale existe, et elle fonctionne.
Attendre n'est pas une posture de sécurité
Reporter l'adoption de l'IA « le temps que ce soit plus sûr » donne un sentiment de prudence. Dans les faits, ça laisse l'usage non encadré s'installer, et ça prive l'entreprise des gains pendant ce temps. La posture réellement prudente, c'est d'encadrer maintenant : un inventaire honnête, une page de règles, des outils approuvés. Ça se met en place en quelques semaines, pas en quelques années.