L'IA au travail : 7 règles de gouvernance indispensables avant de déployer Copilot

Microsoft Copilot est désormais inclus dans de nombreux abonnements Microsoft 365. Google Gemini est activé dans les environnements Google Workspace. ChatGPT Enterprise est expérimenté dans des cabinets d’avocats, des conseillers financiers et des cabinets médicaux à travers le monde. L’IA s’intègre dans les opérations commerciales plus vite que les cadres de gouvernance ne peuvent être mis en place.

Ce n’est pas un problème technologique. C’est un problème de gouvernance des données — et les autorités de protection des données en Europe, au Royaume-Uni et dans le Golfe commencent à l’examiner sérieusement.

Règle 1 : Identifiez quels outils d’IA sont actifs dans votre organisation

Avant de pouvoir gouverner l’IA, vous devez en faire l’inventaire. La plupart des organisations découvrent qu’elles utilisent plus d’outils d’IA qu’elles ne le pensaient — parce que les employés ont adopté des versions gratuites ou d’essai bien avant qu’IT n’approuve quoi que ce soit.

Votre inventaire IA doit couvrir : chaque outil utilisé par un employé pour traiter des informations relatives aux clients ou aux opérations commerciales, y compris Microsoft Copilot, Google Gemini, ChatGPT et ses variantes, les fonctionnalités IA intégrées aux outils de gestion de projet, et les assistants de résumé dans les clients de messagerie.

Règle 2 : Classifiez ce que l’IA peut et ne peut pas voir

Le cadre de gouvernance doit définir quelles catégories de données les outils d’IA sont autorisés à traiter, lesquelles nécessitent une révision humaine avant l’intervention de l’IA, et lesquelles sont totalement interdites.

Une classification opérationnelle :

• Autorisé pour l’IA : procédures internes, documents publics, ordres du jour sans contenu confidentiel
• Examiné par l’IA : correspondance client, projets de contrats — l’IA peut aider mais le résultat doit être revu par un humain
• Restreint à l’IA : données de santé, communications protégées par le secret professionnel, données financières non publiques, mots de passe

Règle 3 : Établissez la résidence des données pour le traitement IA

Lorsque votre outil d’IA traite un document, où ce traitement se produit-il ? Pour Microsoft Copilot, il a lieu dans les limites de votre tenant Microsoft 365, mais le modèle est opéré par Microsoft dans ses centres de données. Pour ChatGPT, les données sont envoyées aux serveurs d’OpenAI.

Les entreprises traitant des données personnelles sous le RGPD doivent pouvoir documenter où le traitement IA des données personnelles se produit et sur quelle base légale. Vérifiez le DPA de votre outil IA avant de le déployer dans des flux de travail touchant des données personnelles.

Règle 4 : Créez une politique d’utilisation acceptable de l’IA

La politique doit couvrir : quels outils sont approuvés pour quels usages, quelles catégories d’informations les employés peuvent saisir dans les outils IA, ce qui ne doit jamais être saisi (mots de passe, données personnelles clients, contenu juridiquement privilégié), quelle révision est requise avant l’utilisation externe de contenu généré par l’IA, et comment signaler les utilisations inappropriées.

Règle 5 : Documentez les décisions assistées par l’IA

Lorsque l’IA assiste une décision commerciale importante, cette assistance doit être documentée : quel outil a été utilisé, quels inputs ont été fournis, quel était le résultat de l’IA, et quelle décision humaine a été prise. Les régulateurs des services financiers, de la santé et du secteur juridique commencent à l’exiger explicitement.

Règle 6 : Formez le personnel avant le déploiement

Points de formation spécifiques importants : ne pas saisir de noms de clients ou d’informations identificatoires dans des outils IA grand public ; le contenu généré par IA relatif à des clients ou des sujets réglementés doit être revu par une personne qualifiée avant utilisation ; si un outil IA produit un résultat inattendu, le signaler et ne pas simplement le supprimer.

Règle 7 : Construisez la piste d’audit

La question que poseront les régulateurs après un incident lié à l’IA n’est pas « avez-vous une politique IA ? ». C’est « pouvez-vous me montrer ce qui s’est passé ? ». Cela nécessite une piste d’audit : un enregistrement des outils IA utilisés, quand, par qui, sur quelles données et avec quel résultat.

La majorité des entreprises ayant déployé Copilot ou d’autres outils IA l’ont fait sans compléter aucune de ces sept étapes. Le cadre de gouvernance ci-dessus est réalisable en quelques semaines, pas en quelques mois, pour une entreprise de toute taille.