L'IA sous contrôle

Oui. Le règlement vous qualifie alors de « déployeur » : vous devez favoriser la maîtrise de l'IA par votre personnel (article 4), renoncer aux pratiques interdites (article 5) et respecter les obligations de transparence (article 50). Les obligations les plus lourdes visent les fournisseurs et les systèmes à haut risque.

L'usage d'outils d'IA par les collaborateurs sans validation ni cadre de l'entreprise, souvent avec des comptes personnels et des données internes. Il part presque toujours d'une bonne intention et reste le plus souvent invisible pour la direction.

Une interdiction générale pousse les usages vers les téléphones personnels et les rend invisibles. Il vaut mieux savoir ce qui est utilisé, fixer une règle écrite et proposer des outils validés.

ISO/IEC 42001 organise la gouvernance de l'IA dans l'entreprise : c'est un système de management, certifiable. ISO/IEC 27090 traite de la sécurité des systèmes d'IA face aux attaques qui leur sont propres, comme l'injection de requêtes ou l'empoisonnement des données.

Au titre du RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, et avant même l'amende, la limitation ou l'interdiction du traitement en cause. Au titre de l'AI Act, le recours à une pratique interdite expose à une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial (article 99). Le risque le plus fréquent reste la fuite de données confiées à un outil que personne n'a choisi.

Par un état des lieux : quels outils sont utilisés, par qui et avec quelles données. C'est l'objet du DiagFlashIA, mené en une semaine avec trois heures de votre temps.

En trois gestes : savoir quels outils sont utilisés, par qui et avec quelles données ; fixer une règle écrite, la charte IA, avec les usages autorisés et les données interdites ; proposer des outils validés à la place des comptes personnels. La formation des équipes complète le dispositif et répond à l'obligation de maîtrise de l'IA de l'article 4 de l'AI Act.

Identifiez d'abord les risques propres à vos usages : fuite de données confiées à un outil externe, erreurs dans les contenus produits, atteinte à la propriété intellectuelle, attaques propres à l'IA comme l'injection de requêtes. Traitez-les par des règles d'usage, des outils validés aux paramètres maîtrisés, une vérification humaine des contenus et une revue régulière des nouveaux usages.

Préférez les offres professionnelles, administrées par l'entreprise, aux comptes personnels, et vérifiez leurs conditions : usage de vos données pour l'entraînement, lieu d'hébergement, durée de conservation. Pour Copilot, contrôlez d'abord les droits d'accès de Microsoft 365 : l'assistant voit ce que voit l'utilisateur. Fixez enfin dans la charte les données qui ne doivent jamais être saisies.