8 min de lecture<\/p>\n
Sept employ\u00e9s sur dix dans les entreprises allemandes utilisent des outils d\u2019IA que leur service informatique n\u2019a jamais approuv\u00e9s. Les secrets d\u2019entreprise se retrouvent dans des ensembles d\u2019entra\u00eenement \u00e9trangers, les questions de responsabilit\u00e9 restent sans r\u00e9ponse et le r\u00e8glement europ\u00e9en sur l\u2019IA transforme, \u00e0 partir d\u2019ao\u00fbt 2026, une carence en mati\u00e8re de gouvernance en un risque de conformit\u00e9 passible d\u2019amendes pouvant atteindre 35 millions d\u2019euros. Trois mesures permettent d\u2019assurer imm\u00e9diatement la visibilit\u00e9 \u2013 sans grand projet ni budget suppl\u00e9mentaire.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Qu\u2019est-ce que l\u2019IA fant\u00f4me ?<\/strong> L\u2019IA fant\u00f4me d\u00e9signe l\u2019utilisation d\u2019outils d\u2019IA par les employ\u00e9s sans la connaissance ni l\u2019autorisation du service informatique \u2013 \u00e0 l\u2019instar de l\u2019IT fant\u00f4me, mais avec des risques bien plus \u00e9lev\u00e9s en termes de donn\u00e9es et de responsabilit\u00e9, car de nombreux syst\u00e8mes peuvent r\u00e9utiliser les contenus saisis pour entra\u00eener leurs mod\u00e8les.<\/p>\n Le rapport Logicalis sur les DSI 2024 livre un chiffre frappant : 62 % des DSI interrog\u00e9s admettent avoir d\u00e9j\u00e0 d\u00fb faire des compromis en mati\u00e8re de gouvernance de l\u2019IA. Non pas parce qu\u2019ils ne voient pas le probl\u00e8me, mais parce que le quotidien op\u00e9rationnel va plus vite que toute initiative de gouvernance. Pendant ce temps, les employ\u00e9s ont eux-m\u00eames pris leur d\u00e9cision : ils n\u2019attendent pas.<\/p>\n ChatGPT, Claude, Gemini, Perplexity, variantes de Copilot disponibles sur l\u2019App Store \u2013 la liste des outils non approuv\u00e9s qui tournent quotidiennement dans les entreprises s\u2019allonge plus rapidement que tout outil d\u2019inventaire ne pourrait la recenser. Selon les donn\u00e9es actuelles du march\u00e9, 78 % des travailleurs du savoir utilisent au moins un outil d\u2019IA que leur service informatique n\u2019a jamais vu.<\/p>\n La v\u00e9ritable menace ne r\u00e9side pas dans l\u2019outil lui-m\u00eame. Elle r\u00e9side dans ce que les employ\u00e9s y introduisent : extraits de contrats, donn\u00e9es clients, analyses internes, documents strat\u00e9giques. Lorsqu\u2019un employ\u00e9 t\u00e9l\u00e9charge un projet de contrat dans un outil d\u2019IA grand public pour qu\u2019il soit r\u00e9sum\u00e9, ce contenu peut finir dans l\u2019ensemble d\u2019entra\u00eenement du prochain mod\u00e8le ou sur des serveurs situ\u00e9s hors de l\u2019UE.<\/p>\n 78 %<\/p>\n des employ\u00e9s utilisent des outils d\u2019IA non approuv\u00e9s<\/p>\n<\/div>\n 14 %<\/p>\n ont clairement d\u00e9fini leurs responsabilit\u00e9s en mati\u00e8re de gouvernance<\/p>\n<\/div>\n 35 millions<\/p>\n d\u2019euros, amende maximale pr\u00e9vue par le r\u00e8glement europ\u00e9en sur l\u2019IA<\/p>\n<\/div>\n<\/div>\n L\u2019AI Act de l\u2019UE impose des obligations contraignantes \u00e0 partir d\u2019ao\u00fbt 2026. Les syst\u00e8mes d\u2019IA relevant de domaines \u00e0 haut risque \u2013 d\u00e9cisions RH, \u00e9valuation du cr\u00e9dit, infrastructures critiques \u2013 sont soumis \u00e0 des exigences strictes en mati\u00e8re de documentation et d\u2019audit. Quiconque ne dispose pas d\u2019un inventaire de son utilisation de l\u2019IA d\u2019ici l\u00e0 sera incapable de prouver dans quelle cat\u00e9gorie de risque ses syst\u00e8mes se situent.<\/p>\n Les sanctions ne sont pas th\u00e9oriques : elles peuvent atteindre 35 millions d\u2019euros ou 7 % du chiffre d\u2019affaires annuel mondial. Pour une entreprise affichant 500 millions d\u2019euros de chiffre d\u2019affaires, cela repr\u00e9senterait 35 millions d\u2019euros. Les autorit\u00e9s de surveillance se concentreront initialement sur les entreprises ayant attir\u00e9 l\u2019attention par des incidents. Celles qui disposent d\u2019un inventaire tra\u00e7able et d\u2019une politique document\u00e9e ne seront pas les cibles les plus \u00e9videntes.<\/p>\n Parall\u00e8lement, il convient de rappeler que la loi ne sanctionne pas l\u2019utilisation de l\u2019IA, mais son usage incontr\u00f4l\u00e9. C\u2019est le levier central d\u2019une strat\u00e9gie de gouvernance pragmatique. La visibilit\u00e9 pr\u00e9c\u00e8de la r\u00e9glementation, elle ne la suit pas.<\/p>\n Inventaire IA (semaines 1-2)<\/p>\n Une enqu\u00eate structur\u00e9e aupr\u00e8s de 20 \u00e0 30 employ\u00e9s issus de diff\u00e9rents d\u00e9partements permet g\u00e9n\u00e9ralement de recenser 80 % des outils utilis\u00e9s. Aucun outil de d\u00e9couverte n\u2019est n\u00e9cessaire. L\u2019anonymat favorise l\u2019honn\u00eatet\u00e9 et r\u00e9v\u00e8le quels outils apportent r\u00e9ellement de la valeur ajout\u00e9e. R\u00e9sultat : une liste claire indiquant le nom de l\u2019outil, le fournisseur, le type de donn\u00e9es et la fr\u00e9quence d\u2019utilisation estim\u00e9e. C\u2019est la base de toute \u00e9tape ult\u00e9rieure.<\/p>\n<\/div>\n<\/div>\n Mod\u00e8le \u00ab Policy Light \u00bb (semaines 3-4)<\/p>\n Pas de directive de 40 pages. Une seule page A4 avec trois cat\u00e9gories : vert (approuv\u00e9 sans restriction), jaune (utilisable sous r\u00e9serve de conformit\u00e9 RGPD) et rouge (interdit avec les donn\u00e9es de l\u2019entreprise). Ce syst\u00e8me de feux tricolores peut \u00eatre \u00e9labor\u00e9 en deux semaines par l\u2019informatique, le service juridique et un repr\u00e9sentant op\u00e9rationnel. Les employ\u00e9s b\u00e9n\u00e9ficient d\u2019une orientation claire, sans interdictions qui ne feraient qu\u2019encourager les pratiques dissimul\u00e9es.<\/p>\n<\/div>\n<\/div>\n Rythme de revue trimestrielle (\u00e0 partir du mois 2)<\/p>\n La gouvernance de l\u2019IA n\u2019est pas un projet que l\u2019on cl\u00f4ture. De nouveaux outils apparaissent plus vite que les directives ne peuvent \u00eatre mises \u00e0 jour. Une revue de 90 minutes par trimestre \u2013 impliquant l\u2019informatique, la protection des donn\u00e9es et un responsable op\u00e9rationnel \u2013 suffit pour maintenir la liste des feux tricolores \u00e0 jour. La fr\u00e9quence d\u2019utilisation d\u2019un nouvel outil d\u00e9termine s\u2019il doit figurer sur la liste des priorit\u00e9s.<\/p>\n<\/div>\n<\/div>\n<\/div>\n Les entreprises qui misent sur des interdictions totales font le m\u00eame constat : l\u2019utilisation d\u2019outils non approuv\u00e9s diminue \u00e0 court terme sur le papier, puis remonte \u00e0 moyen terme via les smartphones. Les collaborateurs basculent vers des appareils personnels et des comptes priv\u00e9s. Le probl\u00e8me de gouvernance devient moins visible, pas moindre.<\/p>\n Approche par l\u2019autorisation<\/p>\n Approche par l\u2019interdiction<\/p>\n L\u2019argument le plus fr\u00e9quent contre la gouvernance de l\u2019IA dans les PME : aucun budget, aucune capacit\u00e9 humaine. Ces contraintes sont compr\u00e9hensibles, mais ne constituent pas un obstacle aux trois mesures d\u00e9crites. L\u2019inventaire n\u00e9cessite trois jours-homme. La politique de type \u00ab feu tricolore \u00bb demande quatre \u00e0 six jours-homme pour son \u00e9laboration, puis une heure par trimestre pour sa maintenance.<\/p>\n Il ne s\u2019agit pas d\u2019un projet, mais d\u2019une d\u00e9cision que le DSI peut engager lors du prochain comit\u00e9 de direction. En revanche, ce qui co\u00fbtera cher : respecter les obligations de tra\u00e7abilit\u00e9 \u00e0 partir d\u2019ao\u00fbt 2026 sans pr\u00e9paration pr\u00e9alable. Ces trois mesures ne remplacent pas une strat\u00e9gie IA compl\u00e8te. Elles en constituent le socle indispensable. La visibilit\u00e9 doit pr\u00e9c\u00e9der toute capacit\u00e9 de pilotage.<\/p>\n La plupart des dispositions de l’AI Act de l’UE entrent en vigueur de mani\u00e8re contraignante \u00e0 partir d’ao\u00fbt 2026. Les syst\u00e8mes d’IA \u00e0 haut risque seront alors soumis \u00e0 des obligations strictes en mati\u00e8re de documentation et d’audit. Les pratiques interdites, telles que le social scoring, \u00e9taient d\u00e9j\u00e0 interdites depuis f\u00e9vrier 2025. Les entreprises disposent donc encore d’un d\u00e9lai limit\u00e9 pour mettre en place un inventaire et une politique.<\/p>\n<\/details>\n Sont consid\u00e9r\u00e9s comme \u00e0 haut risque les syst\u00e8mes d’IA dans huit domaines d\u00e9finis : infrastructures critiques, \u00e9ducation, emploi et RH (y compris le screening des candidats), services essentiels, application de la loi, migration, justice et processus d\u00e9mocratiques. Les outils d’IA grand public utilis\u00e9s en interne pour la synth\u00e8se de texte ou la recherche ne sont g\u00e9n\u00e9ralement pas automatiquement \u00e0 haut risque – c’est le cas d’utilisation concret qui est d\u00e9terminant.<\/p>\n<\/details>\n La m\u00e9thode la plus rapide est une enqu\u00eate anonyme aupr\u00e8s des employ\u00e9s avec 10 \u00e0 15 questions, compl\u00e9t\u00e9e par des journaux DNS sur les appareils professionnels et une analyse des extensions de navigateur utilis\u00e9es. Les outils sp\u00e9cialis\u00e9s de d\u00e9couverte de Shadow IT tels que Netskope ou Microsoft Defender for Cloud Apps fournissent des donn\u00e9es plus d\u00e9taill\u00e9es, mais ne sont pas indispensables pour un premier inventaire.<\/p>\n<\/details>\n Pour commencer, oui – avec une r\u00e9serve importante : d\u00e8s lors que des syst\u00e8mes d’IA sont utilis\u00e9s dans les processus RH ou lors du traitement de donn\u00e9es personnelles particuli\u00e8rement sensibles, une \u00e9valuation juridique est obligatoire. Le mod\u00e8le feu tricolore cr\u00e9e une base documentable sur laquelle l’examen juridique peut s’appuyer, sans avoir \u00e0 repartir de z\u00e9ro.<\/p>\n<\/details>\n Le ton fait la diff\u00e9rence : \u00ab\u00a0Nous d\u00e9finissons ce qui est autoris\u00e9\u00a0\u00bb g\u00e9n\u00e8re plus d’acceptation que \u00ab\u00a0Nous interdisons ce qui est risqu\u00e9.\u00a0\u00bb Qui implique les unit\u00e9s commerciales dans le d\u00e9veloppement du feu tricolore dispose d’un champion interne lors du d\u00e9ploiement. Il est utile de communiquer explicitement quels outils peuvent \u00eatre utilis\u00e9s sans restriction. La liste verte inspire plus confiance que la liste rouge n’\u00e9limine la m\u00e9fiance.<\/p>\n<\/details>\n\n
Le probl\u00e8me a d\u00e9j\u00e0 pris une ampleur consid\u00e9rable<\/h2>\n
Pourquoi ao\u00fbt 2026 marque une rupture nette<\/h2>\n
Trois mesures aux effets imm\u00e9diats<\/h2>\n
Interdiction vs. Autorisation : ce que la pratique r\u00e9v\u00e8le<\/h2>\n
\n
\n
Ce qu\u2019un budget r\u00e9aliste implique<\/h2>\n
Foire aux questions<\/h2>\n
\u00c0 partir de quand l’AI Act de l’UE s’applique-t-il contrairement pour les entreprises allemandes ?<\/strong><\/summary>\n
Quels outils d’IA sont consid\u00e9r\u00e9s comme \u00e0 haut risque au sens de l’AI Act de l’UE ?<\/strong><\/summary>\n
Comment savoir quels outils d’IA mes employ\u00e9s utilisent r\u00e9ellement ?<\/strong><\/summary>\n
Une politique interne d’IA sans examen juridique suffit-elle ?<\/strong><\/summary>\n
Comment communiquer une politique d’IA en interne sans g\u00e9n\u00e9rer de r\u00e9sistance ?<\/strong><\/summary>\n
Suggestions de lecture<\/h2>\n