L’IA au travail : les droits d’abord, la licence ensuite

Ce qui tourne déjà sans que vous l’ayez activé

Dans presque toutes les organisations où cette conversation commence, l’IA se révèle déjà utilisée. Pas déployée, pas discutée, simplement ouverte. Quelqu’un colle une lettre de réclamation dans une fenêtre de discussion pour en tirer une réponse correcte. Quelqu’un fait résumer un devis. Quelqu’un demande une formule de tableur et colle à côté trois colonnes de chiffre d’affaires réel.

Ce n’est pas de la mauvaise volonté. C’est parce que cela fonctionne et que rien n’a été convenu. Qui ne propose pas de choix récolte celui que les gens font seuls, et c’est presque toujours la version gratuite de ce qu’ils utilisent chez eux.

Dans cette mesure, c’est le même problème que le shadow IT : des outils qui apportent de la valeur et restent hors de votre vue. La différence est qu’ici on ne partage pas un fichier, on saisit du texte, et il ne reste donc aucune trace que vous puissiez retrouver ensuite.

L’essentiel est que la question n’est pas de savoir si vous autorisez l’IA. Cette décision est déjà prise en pratique. La question est de savoir si elle tombe à l’intérieur ou à l’extérieur de vos règles.

Où vont vos données

Une distinction compte plus que toutes les autres, et elle ne sépare pas les fournisseurs entre eux : elle traverse chacun d’eux. La version grand public et la version professionnelle sont deux produits aux conditions différentes.

Sur un compte grand public, le service est gratuit ou peu cher parce que vous n’êtes pas le client mais l’utilisateur. Les conditions permettent que ce que vous saisissez serve à améliorer le modèle, sauf si vous le désactivez vous-même. Il n’y a pas de contrat de sous-traitance, donc au titre du RGPD vous n’avez rien de convenu sur les données personnelles qui y aboutissent. Et vous n’avez aucune visibilité sur qui, chez ce fournisseur, peut y accéder.

Un contrat professionnel — que ce soit Microsoft, Google, OpenAI ou Anthropic — couvre bien ces points. Ce qu’il faut lire soi-même avant de signer :

• Vos saisies servent-elles à l’entraînement ? Sur les abonnements professionnels, la réponse par défaut est non, mais c’est rédigé différemment selon le produit et c’est la première phrase que vous voudrez pouvoir retrouver.
• Y a-t-il un contrat de sous-traitance ? Sans lui, vous ne pouvez pas démontrer ce qu’il advient des données personnelles, et c’est exactement ce que demande une autorité de contrôle.
• Où le traitement a-t-il lieu ? Certains fournisseurs proposent un traitement dans l’UE, d’autres non ou seulement sur une offre plus chère. C’est l’arbitrage exposé dans souveraineté numérique, et la réponse y est rarement tranchée.
• Combien de temps est-ce conservé ? Les conversations sont généralement gardées un temps pour détecter les abus. C’est défendable ; ne pas savoir combien de temps ne l’est pas.

Ce que font les organisations qui s’y prennent bien n’a rien de compliqué : activer un fournisseur professionnel, le payer, et bloquer les versions grand public sur le compte de travail. Cela coûte une licence et retire l’essentiel du risque.

L’assistant lit ce que l’utilisateur pouvait déjà lire

C’est la partie qui ne surgit pas dans l’entretien commercial et qui retarde la plupart des déploiements.

Un assistant qui cherche dans vos propres fichiers — Copilot dans Microsoft 365, Gemini dans Google Workspace, ou un autre connecteur sur vos documents — travaille dans les droits de celui qui pose la question. Il n’invente aucun accès. Cela paraît rassurant et ne l’est pas, car cela signifie qu’il montre exactement quels droits sont trop larges chez vous.

En pratique, cela se passe ainsi. Un site SharePoint a été créé il y a des années pour un projet et mis sur « toute l’organisation » parce que c’était plus rapide. Depuis, s’y trouve le dossier des salaires, ou le rapport d’une réorganisation qui n’a jamais eu lieu. Personne ne l’a trouvé, car personne ne l’a cherché. Puis arrive un assistant capable de chercher partout à la fois, et quelqu’un saisit une question dont ce document se trouve être la meilleure réponse.

Rien n’a mal tourné du côté de l’IA. Ce qui a mal tourné s’est produit des années plus tôt. Mais cela remonte le jour où vous activez l’assistant, et cela s’appelle alors le projet IA.

Ce qui aide, dans cet ordre :

• Regardez d’abord ce qui est ouvert. Quels sites et dossiers sont à l’échelle de l’organisation ou derrière un lien partageable sans date de fin. C’est un rapport que vous avez en une journée.
• Nettoyez le pire avant le déploiement, pas après. Nettoyer après signifie que le contenu est déjà sorti.
• Mettez les endroits sensibles hors de portée par des étiquettes ou en en excluant l’assistant. Tout fournisseur sérieux dispose d’un réglage pour cela.
• Commencez par un groupe de dix à vingt personnes. Ce qu’ils rencontrent en premier remonterait sinon pour tout le monde d’un coup.

C’est le même travail que la couche identité de Zero Trust, et c’est pourquoi nous traitons rarement un déploiement d’IA comme une question de licences.

Quel fournisseur, et pourquoi cela compte moins qu’on ne croit

Aucun fournisseur ne gagne sur tous les points, et dans la plupart des cas le choix n’est pas décidé par le modèle mais par l’endroit où vivent déjà vos documents.

Si tout est dans Microsoft 365, Copilot est le chemin le plus court : il est dans les programmes que les gens ouvrent déjà, il travaille avec vos droits existants et il n’y a rien de plus à raccorder. Si vous travaillez dans Google Workspace, il en va de même pour Gemini. Ce n’est pas un jugement sur la qualité, c’est un jugement sur la friction : un assistant qui vit dans un onglet séparé reste inutilisé la moitié du temps.

Vient ensuite la catégorie indépendante de votre suite bureautique : ChatGPT et Claude dans leur forme professionnelle. Ils sont forts pour le travail fait surtout de texte et de raisonnement — poser un brouillon, confronter un long appel d’offres à un cahier des charges, relire un bout de code — et plus faibles pour regarder dans vos propres documents, sauf raccordement explicite.

Ce que nous voyons le plus souvent fonctionner est une combinaison, et ce n’est pas un compromis mou. L’assistant de votre suite pour le quotidien, et un outil séparé pour ceux qui s’appuient vraiment dessus. Deux licences coûtent moins cher qu’un déploiement que personne n’utilise.

Ce que nous déconseillons, c’est de reporter le choix jusqu’à ce qu’il y ait un gagnant. Il n’y en aura pas, et entre-temps vos collaborateurs utilisent la version gratuite.

Ce que vos règles doivent dire

Depuis le règlement européen sur l’IA, il y a aussi un volet formel, et il est plus petit que le titre ne le laisse croire. Le règlement vise surtout ceux qui construisent des systèmes d’IA et les usages à haut risque ; un collaborateur qui se sert d’un assistant pour écrire un courriel n’entre pas là-dedans.

Une obligation touche en revanche tous ceux qui déploient de l’IA : vous devez veiller à ce que les personnes qui l’utilisent en sachent assez pour s’en servir avec discernement. Ce n’est pas un certificat, c’est de l’explication — ce qu’elle peut et ne peut pas, et ce qu’on n’y met pas. Cela vaut depuis le début de 2025.

Pour le reste, la plupart des questions relèvent simplement du RGPD. Des données personnelles saisies dans un assistant restent des données personnelles, et la base légale, la durée de conservation et le contrat de sous-traitance s’appliquent sans changement.

Une politique d’IA utilisable tient sur une page et répond à cinq questions :

• Quels outils sont autorisés. Par leur nom, avec la version professionnelle précisée, car « l’IA est permise » n’est pas une règle.
• Ce qu’on n’y met pas. Données personnelles de clients ou de collègues, données de santé, mots de passe, et code ou contrats couverts par une clause de confidentialité.
• Qui reste responsable. Ce que produit l’assistant est un brouillon. Celui qui l’envoie en est l’auteur.
• Où elle ne doit pas décider. Rien qui concerne des personnes — candidatures, évaluations, dossiers — ne devrait sortir d’un modèle sans que quelqu’un le regarde.
• À qui poser une question. Sans cette adresse, la politique est ignorée au lieu d’être consultée.

Cette page vaut mieux qu’un règlement fourni que personne ne lit, et elle s’écrit en une après-midi.