L'IA sur compte personnel : le risque que la plupart des PME ignorent

Dans les dernières entreprises où nous sommes intervenus pour un diagnostic, nous avons posé les mêmes questions à chaque personne, service par service, sans la direction dans la salle. Utilisez-vous l'IA ? Sur quel compte ? Avec quelles données ? Existe-t-il une règle chez vous ? Les réponses ont été d'une régularité presque gênante. Tout le monde utilise l'IA. Tout le monde le fait sur un compte personnel. Tout le monde y met des données de l'entreprise. Et à la question de la règle interne, nous avons obtenu autant de réponses différentes que de personnes interrogées. Une personne, à qui nous demandions si elle copiait-collait des informations internes, a répondu « je préfère ne pas répondre ». Ce qui est une réponse.

Ce constat n'est pas propre à un secteur. Nous l'avons fait dans l'industrie, dans les services, dans la protection sociale, dans des structures de dix personnes et dans d'autres qui en comptent plusieurs centaines. Le point commun, c'est que personne n'avait décidé de faire comme ça. C'est arrivé.

Ce que « compte personnel » veut dire concrètement

Un compte personnel, c'est un compte ouvert avec une adresse mail privée, gratuit la plupart du temps, ou un abonnement à une vingtaine d'euros par mois que la personne paie de sa poche parce qu'elle a vu que ça lui faisait gagner du temps. Et ça lui en fait gagner, c'est le point qu'il ne faut jamais perdre de vue.

Le problème n'est pas l'outil, ce sont les conditions qui vont avec. Sur une offre grand public, les conversations peuvent servir à améliorer les modèles, sauf si la personne a pensé à désactiver l'option (elle y a rarement pensé). L'historique de tout ce qui a été saisi vit sur ce compte, que l'entreprise ne voit pas, ne contrôle pas, et ne pourra jamais fermer. Le jour où la personne part, elle part avec six mois de devis, de mails clients et de comptes rendus soigneusement conservés dans un historique auquel vous n'avez pas accès. Elle ne l'a pas fait exprès. C'est simplement là que ça a été rangé.

Ce qui sort vraiment de l'entreprise

Quand on demande aux gens ce qu'ils font avec l'IA, la première réponse est presque toujours modeste : « reformuler des mails ». C'est vrai, et ce n'est pas tout. Voici ce que nous avons vu passer, dans chaque entreprise diagnostiquée, sans exception.

• Un devis complet, avec les prix, les remises et le nom du client, collé pour « améliorer la formulation ».
• Un contrat de travail, ou une rupture conventionnelle, pour en faire un résumé.
• Un extrait de tableau de paie, pour obtenir une formule de calcul.
• Un échange complet avec un client mécontent, pour rédiger la réponse. Avec son nom, sa société et le détail du litige.
• La liste des clients avec le chiffre d'affaires de l'année, pour « la trier par priorité ».
• Le compte rendu d'un comité de direction, pour le mettre au propre.

Faites le compte à l'échelle d'une entreprise de quarante personnes. Trente d'entre elles utilisent l'IA, disons cinq fois par jour. Cela fait cent cinquante requêtes quotidiennes, plus de trois mille par mois, dont une part contient des données personnelles au sens du RGPD, des données commerciales que vous avez promis de ne pas divulguer, et des éléments qui intéresseraient beaucoup un concurrent. Tout cela sur des comptes dont vous ignorez jusqu'à l'existence.

Et il y a le second risque, moins visible : la réponse qui sonne juste mais qui est fausse. Dans une entreprise que nous avons accompagnée, un calcul de TVA erroné et un chiffre embelli par l'IA étaient passés dans des documents sans que personne ne les relise. Pas par négligence. Parce que la réponse était bien écrite.

Pourquoi personne n'est fautif

Le salarié qui a ouvert un compte a fait exactement ce qu'on lui demande depuis toujours : aller plus vite et mieux faire son travail. Personne ne lui a dit ce qui était permis, donc il a supposé que tout l'était. Le dirigeant, lui, n'a pas vu venir l'usage, parce que ça ne s'est pas installé comme un logiciel, avec un bon de commande. Ça s'est installé comme une habitude. L'éditeur de l'outil vend de la commodité, et il le fait très bien.

Il serait absurde d'interdire. Nous avons vu des services entiers gagner une à deux heures par jour avec ces outils, et une interdiction ne ferait que renvoyer l'usage dans la clandestinité, sur le téléphone personnel cette fois. Le problème n'est pas que vos équipes utilisent l'IA. Le problème, c'est qu'aucune d'elles ne sait quelle est la règle, parce qu'il n'y en a pas. Une règle absente, c'est une décision prise par défaut, par trente personnes différentes, chacune de son côté.

Trois mesures simples, applicables en un mois

1. Des comptes d'entreprise, pas des comptes personnels

Les principaux éditeurs proposent des offres professionnelles, autour de 25 à 30 € HT par utilisateur et par mois. Ce que vous achetez, ce n'est pas un meilleur modèle, c'est le contrat qui va avec : vos données ne servent pas à l'entraînement, vous administrez les comptes, vous pouvez en fermer un le jour d'un départ, et l'historique reste dans l'entreprise. Pour trente personnes, c'est moins de 900 € HT par mois. Rapporté au temps gagné, la question ne se pose pas longtemps.

2. Une règle qui tient en une page

Pas une charte de douze pages rédigée par un cabinet, que personne ne lira. Une page. Ce qui peut circuler vers quel outil, en trois catégories : ce qui est public et peut aller partout, ce qui est interne et reste sur les outils validés, ce qui ne sort jamais (données personnelles, santé, paie, contrats sous confidentialité, secrets de fabrication). La liste des outils validés, et le nom de la personne à qui poser la question quand on hésite. C'est tout.

3. Une heure avec les équipes, sur leurs propres cas

Pas une formation générale sur l'IA. Une heure par groupe, avec les vrais usages de l'entreprise, pour deux choses : montrer où sont les limites, et apprendre à repérer une réponse fausse qui a l'air juste. Cette seconde compétence vaut à elle seule le déplacement. C'est aussi le moment où les gens racontent ce qu'ils font vraiment, et c'est souvent là que le dirigeant découvre les meilleures idées d'automatisation de son entreprise.

Ce qu'est un audit d'usage de l'IA

Si vous voulez savoir précisément ce qu'il en est chez vous avant de décider, c'est l'objet d'un audit d'usage de l'IA. Deux jours. Le premier est consacré à des entretiens individuels, courts, service par service, toujours sans la direction dans la salle, parce que c'est ce qui garantit la franchise des réponses. Qui utilise quoi, sur quel compte, avec quelles données, pour quel gain. Le second jour produit la restitution : la cartographie des usages et des expositions, la charte en une page adaptée à votre activité, et la procédure de validation des connecteurs, c'est-à-dire la règle qui s'applique avant de brancher un nouvel outil d'IA sur vos données.

Ce point mérite une parenthèse. Dans une entreprise que nous avons accompagnée, un connecteur branché sur la salle de données avait déclenché une alerte de sécurité interne avant même d'être activé. Un connecteur, c'est une porte ouverte sur vos données, en permanence. Il mérite au moins une signature.

L'audit coûte 2 400 € HT. Il ne vous engage à rien d'autre. Ce qu'il change, c'est qu'à la fin vous savez, et que vos équipes savent aussi. Le reste, les ponts entre logiciels, les assistants sur vos documents, viendra, ou pas, selon ce que l'audit aura montré.

Si vous voulez commencer par la question la plus simple, posez-la à vos équipes ce soir : « sur quel compte utilisez-vous l'IA ? ». La réponse vous dira si vous avez besoin de nous. Chez IAscension, l'audit d'usage de l'IA est la porte d'entrée la plus courte : deux jours, une page de règles, et une équipe qui sait où sont les limites.