L’IA en entreprise ne se pilote pas avec un outil, mais avec cinq règles : un abonnement professionnel au nom de l’entreprise, un compte nominatif par salarié, aucune donnée personnelle ni bancaire recopiée dans une requête, une relecture humaine de tout ce qui engage l’entreprise, et une liste écrite des outils autorisés. Le risque ne vient pas de l’outil. Il vient de ce qu’on lui donne à lire.
La question n’est plus de savoir si l’IA va entrer dans votre entreprise. Elle y est déjà : un devis relu, un courrier reformulé, une lettre de l’URSSAF décryptée. Le plus souvent sur des comptes personnels, sans que le dirigeant en soit informé. Dans une TPE du Douaisis comme ailleurs, ce n’est pas un sujet d’outil, c’est un sujet de sécurité des données. Il se traite comme tel : avec des règles simples, écrites, que tout le monde applique.
Le risque ne vient pas de l’IA, il vient de ce que vous lui donnez
Quand un salarié colle un fichier dans une IA, ce fichier sort de votre réseau. Il part sur les serveurs d’un éditeur, presque toujours hors de vos murs, et vous n’avez plus aucun moyen de le rappeler. Ce n’est pas un risque théorique, parce que les fichiers que l’on colle ne sont jamais anodins. C’est le tableau des clients avec leurs coordonnées, le devis avec la marge, l’appel d’offres signé sous accord de confidentialité, l’export de paie qu’on voulait juste remettre en forme avant une réunion. Or, devant la CNIL, le responsable de traitement, c’est vous. Pas l’éditeur du chatbot, pas le salarié qui a fait le copier-coller. Et si votre donneur d’ordre vous a fait signer une clause de confidentialité, la question ne se pose même pas.
La règle pratique tient en une phrase : si vous n’enverriez pas ce document par mail à un inconnu, ne le collez pas dans une IA. Les noms, les adresses, les numéros de compte, les données de santé et les contrats sensibles se retirent avant, pas après.
Compte personnel ou abonnement professionnel : la seule distinction qui compte
On lit souvent qu’il suffit de payer pour être protégé. C’est faux, et c’est une erreur qui coûte cher. Un abonnement personnel payant reste un compte personnel : il appartient au salarié, il part avec lui le jour où il quitte l’entreprise, et l’historique des requêtes reste dans sa poche.
Ce qui change réellement les choses, c’est la nature du contrat. Une offre professionnelle, souscrite au nom de l’entreprise, apporte trois choses qu’un compte grand public n’apporte pas :
- un engagement écrit de l’éditeur sur le traitement de vos données,
- la possibilité de désactiver la réutilisation de vos contenus pour l’entraînement des modèles,
- une administration centrale des comptes, donc la capacité de couper un accès en une minute.
Si vous êtes déjà équipé de Microsoft 365, regardez d’abord ce que vos licences actuelles incluent avant d’ouvrir un abonnement de plus. C’est un point que nous vérifions avec vous quand nous gérons votre messagerie et vos outils collaboratifs.
Un compte par salarié, jamais de compte partagé
Le compte unique partagé par toute l’équipe pose deux problèmes. Le premier : chacun lit l’historique de tous les autres. Le courrier préparé par le gérant, la négociation en cours, la question posée au comptable. Le second : en cas d’incident, vous ne savez pas qui a envoyé quoi ni quand.
Un compte nominatif par personne, ouvert et payé par l’entreprise, règle les deux d’un coup. Et le jour d’un départ, l’accès se ferme en même temps que la messagerie.
Ce que l’IA ne remplace pas
Une IA produit un texte plausible, pas un texte vrai. Elle invente des références, des articles de loi et des chiffres avec exactement le même aplomb que lorsqu’elle a raison. Sur un sujet juridique, fiscal, comptable ou technique, sa réponse est un brouillon à faire valider par un professionnel, jamais une décision.
Elle ne remplace pas non plus votre protection. Ni votre antivirus, ni votre sauvegarde de données, ni la double vérification d’un changement de RIB fournisseur. Le sujet reste entier, et nous l’avions détaillé dans notre article sur la règle 3-2-1.
Par où commencer cette semaine
1. Faites l’inventaire, sans sanction. Demandez simplement qui utilise quoi, et pour quelles tâches. Tant que la question n’est pas posée, l’usage continue sur les téléphones personnels et vous n’en voyez rien.
2. Ouvrez les bons comptes. Une offre professionnelle, un compte par personne concernée, et rien pour ceux qui n’en ont pas l’usage.
3. Écrivez une page de règles et faites-la signer. Les outils autorisés, ce qui ne sort jamais de l’entreprise, la personne à qui l’on demande en cas de doute. Une page suffit, annexée au règlement intérieur ou diffusée en note de service.
Puis relisez cette page dans six mois. Les outils changent vite, les règles beaucoup moins.
Questions fréquentes
Le RGPD interdit-il d’utiliser l’IA dans une entreprise ?
Non. Le RGPD n’interdit pas l’IA, il encadre l’usage des données personnelles. Vous restez responsable des données que vous confiez à un outil, comme pour n’importe quel prestataire. Concrètement : retirez les noms, coordonnées et informations sensibles avant de coller un document, et souscrivez une offre professionnelle assortie d’un engagement écrit sur le traitement des données. Un compte personnel gratuit n’offre aucune de ces garanties.
Faut-il forcément payer pour utiliser l’IA en entreprise ?
Payer ne suffit pas, et ce n’est pas la bonne question. Un abonnement personnel payant reste un compte personnel. Ce qui compte, c’est de souscrire une offre professionnelle au nom de l’entreprise : elle seule permet d’administrer les comptes, de couper un accès au départ d’un salarié et d’obtenir un engagement écrit de l’éditeur sur l’usage de vos contenus.
Peut-on interdire l’IA à ses salariés ?
Vous pouvez l’encadrer, et c’est nettement plus efficace que l’interdire. Une interdiction pure déplace l’usage vers les téléphones personnels, là où vous ne voyez plus rien du tout. La démarche qui fonctionne : autoriser une liste courte d’outils, fournir les comptes, écrire noir sur blanc ce qui ne doit jamais sortir de l’entreprise.
Un salarié a envoyé un fichier client à une IA, que faire ?
Identifiez d’abord ce qui est parti, quand, et sur quel compte. Supprimez la conversation et le fichier dans l’outil, puis vérifiez les paramètres de réutilisation des contenus. Si le fichier contenait des données personnelles, consignez l’incident. Sur l’obligation de notification à la CNIL, faites le point avec votre conseil. Sur la partie technique, appelez-nous.
Ce qu’il faut retenir
L’IA n’est pas un projet informatique. C’est une décision de dirigeant : quels outils, pour qui, avec quelles données. Une page de règles écrite et signée vous protège mieux qu’un logiciel de plus.
Si vous voulez faire le point sur les comptes ouverts dans votre entreprise et sur ce qui en sort, appelez-nous. Une équipe de 4 personnes basée à Douai, un humain qui décroche au 03 27 94 67 60, du lundi au vendredi, de 9h à 12h et de 14h à 18h. Vous pouvez aussi passer par notre page contact.
Julien, équipe Dakara
