En brefLe vrai risque n’est pas que ton équipe utilise ChatGPT. C’est qu’elle l’utilise sans cadre, avec de vraies données de clients. Tu n’as pas besoin de tout bloquer. Tu as besoin de décider ce qui a le droit d’entrer dans ces outils, et quelles décisions doivent rester humaines.
Lundi matin, une adjointe colle un courriel de client dans ChatGPT pour gagner du temps. En après-midi, un gestionnaire y résume ses notes de rencontre. Plus tard dans la semaine, quelqu’un aux ressources humaines fait analyser des CV.
Personne ne contourne une règle. Il n’y a simplement pas de règle.
La question n’est pas « est-ce que l’IA est dangereuse? », mais « qu’est-ce qui a le droit d’y entrer? »
Chez Ékivo, notre position est claire : on n’interdit pas l’IA. On décide quelles données peuvent y entrer et quelles décisions doivent rester humaines. Et c’est une décision de direction, pas un réglage technique.
La règle Ékivo : classe tes données avant de classer tes outils
Plutôt que de demander « quel outil? », demande « quelle donnée? ». Trois catégories suffisent pour donner un cadre à ton équipe.
Contenu public ou fictif
Aucune information qui permet de reconnaître un client, un employé ou un dossier.
Exemples : reformuler un texte, préparer un plan, créer un exemple inventé, résumer un document public.
Information d’affaires interne
Uniquement dans un outil approuvé, avec un compte d’entreprise, jamais dans un compte personnel.
Exemples : courriels de clients, notes de rencontre, procédures internes, soumissions.
Données sensibles
Ça ne va dans aucun outil d’IA, peu importe le compte.
Exemples : dossiers d’employés et candidatures, données de santé, mots de passe et clés d’accès, documents sous entente de confidentialité.
Trois catégories, trois exemples chacune. C’est le genre de règle qu’un employé retient et applique le lundi matin suivant.
Les 5 erreurs qu’on voit le plus souvent
1. Penser que l’IA n’est pas utilisée chez toi
L’absence d’outil approuvé ne veut pas dire absence d’usage. Comptes personnels, fonctions déjà intégrées aux logiciels, essais individuels : c’est souvent déjà commencé. Ton premier enjeu n’est pas la sécurité, c’est la visibilité.
2. Laisser sortir des données sans t’en rendre compte
Quand un employé colle un courriel, un contrat ou une note interne dans un outil externe, cette information quitte ton cadre habituel. Le Centre canadien pour la cybersécurité est clair là-dessus : on ne communique pas d’information confidentielle à un outil d’IA sans comprendre comment elle sera utilisée, parce que ce qui est partagé peut servir à entraîner le modèle.
Attention aussi à la fausse sécurité de l’anonymisation. Remplacer un nom par « Client A » ne suffit pas toujours : une date, un montant, un titre de poste ou un secteur d’activité peuvent suffire à reconnaître quelqu’un.
3. Prendre une réponse convaincante pour une bonne réponse
Un outil d’IA générative écrit bien et se trompe quand même. Le Centre canadien pour la cybersécurité recommande de vérifier les faits auprès de sources crédibles avant d’agir sur un contenu généré.
Décide donc qui valide quoi : un brouillon interne, personne n’a besoin de le relire. Une réponse envoyée à un client, un prix, un avis technique ou une décision qui touche une personne, ça se relit toujours.
4. Oublier ce que l’outil peut lire
Le risque ne vient pas seulement de ce qu’on colle à la main. Une fonction d’IA branchée à tes systèmes peut lire des courriels, des fichiers et des espaces collaboratifs. Un assistant ne devrait voir que ce qui est nécessaire à la tâche.
- Limiter les accès au strict nécessaire
- Réviser les applications connectées à Microsoft 365
- Protéger les comptes avec l’authentification multifacteur (MFA, ou AMF en français)
5. Gérer l’IA sans registre
Quand un client, un assureur en cyber assurance ou un donneur d’ordre te demande quels outils d’IA tu utilises, l’absence de registre te fait perdre du temps et de la crédibilité. Le registre n’est pas un exercice de conformité, c’est un outil de gestion. Une ligne par outil suffit : le nom et le fournisseur, le service qui l’utilise, l’objectif, les types de données et qui valide les résultats.
Compte personnel ou compte d’entreprise, ça change tout
Le même outil n’offre pas les mêmes garanties selon le compte utilisé. Les versions grand public et les versions d’affaires ont des engagements différents sur la conservation des données et sur leur utilisation pour entraîner les modèles. C’est la première chose à vérifier avant d’approuver un outil.
Bon à savoir : avant d’acheter un nouvel outil, regarde ce que ton abonnement Microsoft 365 inclut déjà. Un assistant avec protection des données d’entreprise y est souvent disponible sans licence supplémentaire. Si tu veux structurer les accès, les identités et la surveillance autour de tout ça, c’est le travail qu’on fait avec Ékivo Fortify, notre service de cybersécurité gérée pour PME.
Et la Loi 25 dans tout ça?
Dès qu’un renseignement personnel entre dans un outil d’IA externe, tu le communiques à un tiers. Ça ne t’enlève pas ta responsabilité : c’est encore toi qui dois protéger cette information.
Si l’information sort de ton cadre ou devient accessible à des gens qui n’y avaient pas droit, tu es devant un incident de confidentialité. Tu dois l’inscrire à ton registre et aviser la Commission d’accès à l’information et les personnes concernées quand il y a un risque de préjudice sérieux.
Et si une décision qui touche une personne est prise uniquement par un traitement automatisé, sans intervention humaine réelle, tu dois l’en informer et lui permettre de faire valoir ses observations auprès de quelqu’un qui peut réviser la décision. Le tri automatique de candidatures est l’exemple le plus courant en PME.
Une méthode simple pour avancer
- Voir. Fais l’inventaire des outils et des usages réels, sans chercher de coupable.
- Classer. Applique les trois catégories de données ci-dessus.
- Contrôler. Limite les accès, active la MFA et approuve les outils permis.
- Expliquer. Donne à ton équipe des exemples concrets, pas une politique de douze pages.
- Réviser. Reviens au registre quand un outil, un fournisseur ou un processus change.
Questions fréquentes
Faut-il interdire ChatGPT dans l’entreprise?
Rarement. Une interdiction pousse l’usage dans l’ombre, sur des comptes personnels que tu ne vois pas. Il vaut mieux approuver un outil, encadrer les données qui peuvent y entrer et le dire clairement.
Par quoi commencer si on part de zéro?
Par l’inventaire. Demande à chaque service quels outils sont utilisés et pour quelles tâches. Sans cette vue d’ensemble, tu écris une politique pour une réalité que tu ne connais pas.
Est-ce que la Loi 25 est le point de départ?
Non, mais elle fixe les limites à ne pas franchir. Le point de départ opérationnel reste le même : quels usages, quelles données, quels accès.
Une politique d’IA, ça doit faire combien de pages?
Une ou deux. Les outils approuvés, les trois catégories de données, qui valide quoi et à qui poser une question. Une politique que personne ne lit ne protège personne.
L’IA est déjà entrée dans ton entreprise?
Commence par l’inventaire et les trois catégories de données. Tu peux le faire toi-même avec ce qui précède.
Si tu préfères aller plus vite, parlons-en. En 30 minutes, on regarde où l’IA est rendue chez toi et tu repars avec tes prochaines étapes.