Les échecs les plus courants en matière de politique d'IA dans les entreprises

L'adoption de l'IA dans les entreprises de taille moyenne s'accélère. Souvent, elle va plus vite que ne peuvent suivre les politiques, les contrôles et la supervision. Pour les responsables informatiques, ça crée un risque discret mais grandissant. Les outils d'IA font déjà partie du quotidien, mais peu d'entreprises ont des règles claires sur la façon de les utiliser.

Pourquoi les défaillances des politiques en matière d’IA sont si courantes

Dans la plupart des entreprises, l’adoption de l’IA ne se fait pas via un processus formel, mais plutôt à l’initiative de chaque équipe. Les développeurs utilisent des outils d’IA pour accélérer le développement. Les analystes s’en servent pour synthétiser des données. Les équipes marketing s’en servent pour rédiger du contenu. Ces outils semblent inoffensifs, car ils sont faciles d’accès et souvent gratuits ou peu coûteux.

Le problème principal, ce n’est pas une intention malveillante. C’est plutôt une utilisation non contrôlée. Les employés collent souvent du contenu interne dans des outils d’IA sans comprendre où vont ces données, comment elles peuvent être stockées ou réutilisées.

Lorsque l’adoption de l’IA se fait de manière informelle, les règles ne sont généralement mises en place que plus tard, voire jamais. À ce moment-là, des pratiques à risque sont déjà ancrées dans les processus.

Erreur n° 1 : pas de règles claires sur les données pouvant être partagées avec les outils d’IA

L’une des erreurs les plus courantes, c’est l’absence de limites claires concernant les données. Beaucoup d’organisations ont des politiques générales de protection des données, mais ces politiques ont été rédigées avant l’utilisation généralisée des grands modèles linguistiques. Souvent, elles ne précisent pas si les employés peuvent coller :

• du code source
• Des dossiers clients
• Des documents internes
• Des rapports d'incident
• Des identifiants ou des détails de configuration

En l’absence de règles explicites, les employés prennent leurs propres décisions. Des incidents largement médiatisés montrent que des employés ont copié-collé du code source et des notes confidentielles dans des chatbots publics, ce qui crée un risque d’exposition et de perte de propriété intellectuelle. 

La plupart des fournisseurs commerciaux d’IA collectent les données fournies par les utilisateurs. Certains utilisent ces interactions pour entraîner les futures versions de leurs modèles. Ton code propriétaire, tes données clients et tes documents stratégiques finissent par faire partie d’un ensemble de données auquel tu ne peux ni accéder, ni contrôler, ni supprimer¹.

Erreur n° 2 : supposer que les outils d’IA sont sûrs parce qu’ils sont populaires

Une autre erreur de politique consiste à assimiler la popularité à la sécurité. Des outils comme ChatGPT ou des assistants similaires sont largement utilisés et bien connus. Ça peut créer un faux sentiment de sécurité. Les équipes informatiques peuvent supposer que si un outil est largement adopté, il doit déjà être conforme aux attentes de l’entreprise.

En réalité, la plupart des outils d’IA à usage général sont conçus pour une large utilisation grand public, et non pour des environnements professionnels réglementés. Ils ne sont pas automatiquement alignés sur les politiques de sécurité internes, les exigences de résidence des données ou les obligations de conformité spécifiques à chaque secteur.

Des lacunes en matière de gouvernance apparaissent souvent parce que les outils d’IA ne sont pas officiellement évalués, approuvés ou soumis à des restrictions de la même manière que les autres logiciels.

Erreur n° 3 : ignorer les « hallucinations » de l’IA comme un risque pour l’entreprise

Les systèmes d’IA génèrent des textes qui semblent fiables mais qui sont parfois erronés sur le fond. En termes techniques, on appelle ça des « hallucinations ». En termes commerciaux, ça veut dire que des erreurs peuvent se glisser dans tes documents, ton code et tes communications avec les clients sans que personne ne s’en aperçoive.

En l’absence de contrôles réglementaires, il n’y a souvent aucune obligation de validation ou de vérification. Les résultats issus d’hallucinations se retrouvent souvent dans les documents professionnels, car les équipes font trop facilement confiance aux réponses de l’IA.

Pour les responsables informatiques, ça crée un risque en matière de responsabilité. Des décisions peuvent être prises sur la base de contenus qui semblent fiables mais qui ne reposent pas sur des données vérifiées.

Échec n° 4 : l’IA est exclue des cadres de conformité existants

Si ton entreprise traite des données clients en Europe, tu es soumis aux obligations du RGPD que les outils d’IA enfreignent discrètement. Le problème est simple : lorsque des systèmes d’IA accèdent à des bases de données contenant des informations personnelles, cet accès doit être documenté, divulgué et justifié conformément à la législation sur la protection des données.

Cependant, la plupart des réglementations d’entreprise en matière de confidentialité des données ont été mises en place avant que les outils d’IA ne se généralisent. Elles régissent la circulation des données clients entre les systèmes internes et les partenaires externes. Elles précisent la durée de conservation des données et qui peut y accéder. Mais elles abordent rarement la question de savoir si un système d’IA peut traiter ces données, ni ce qui se passe lorsque ce traitement a lieu sur des serveurs que tu ne contrôles pas.

Il en résulte un angle mort en matière de conformité. Ta politique de confidentialité explique comment les données de tes clients sont protégées. Mais si un employé introduit ces données dans un outil d’IA externe, tu risques de ne pas respecter des engagements dont tu n’as même pas conscience. 

Erreur n° 5 : pas de liste approuvée d’outils d’IA

Une autre lacune courante est l’absence de liste d’outils validés. Dans de nombreuses organisations, les employés choisissent leurs outils d’IA de leur propre chef. Certains utilisent des outils accessibles via un navigateur. D’autres installent des extensions ou intègrent directement des API dans leurs processus. Les équipes informatiques ne s’en rendent souvent compte qu’après un incident ou un audit.

Sans liste approuvée, les responsables informatiques ne peuvent pas :

• Appliquer des contrôles de sécurité cohérents.
• Garantir le respect des exigences de localisation des données.
• Mettre en place la journalisation ou la surveillance.
• Réagir efficacement aux incidents.

Erreur n° 6 : considérer l’IA uniquement comme un outil de productivité

En interne, l’IA est souvent présentée comme un levier de productivité. Cette vision peut limiter la réflexion sur les politiques à adopter. Quand l’IA est vue uniquement comme un moyen de gagner du temps, les organisations risquent de négliger l’analyse des risques. Elles peuvent ne pas se poser les questions suivantes :

• Quelles données sont exposées ?
• À qui appartiennent les résultats ?
• Comment le modèle est-il entraîné ?
• Qu’advient-il de nos données d’entrée ?

Cette vision étroite ignore les risques à long terme, notamment la fuite de propriété intellectuelle, les risques liés à la conformité et la perte de contrôle sur les informations sensibles.

Des études indépendantes montrent que l'exposition des données reste l'un des risques commerciaux les plus coûteux et les plus préjudiciables, en particulier pour les entreprises de taille moyenne³.

Erreur n° 7 : aucune responsabilité quant à l’utilisation de l’IA

Enfin, de nombreuses politiques en matière d’IA échouent parce que personne n’en assume la responsabilité.

Souvent, il n’y a pas de réponse claire à des questions telles que :

• Qui approuve les outils d’IA ?
• Qui met à jour la politique IA ?
• Qui contrôle l'utilisation de l'IA ?
• Qui intervient en cas d'incidents liés à l'IA ?

Sans responsable, les politiques restent théoriques. L'utilisation se généralise sans contrôle. Quand des problèmes surviennent, la responsabilité n'est pas clairement établie.

Pourquoi ces défaillances sont-elles importantes aujourd'hui ?

Ces défaillances sont importantes parce que l’adoption de l’IA s’accélère, elle ne ralentit pas. Les entreprises de taille moyenne se retrouvent dans une situation délicate. Elles sont assez grandes pour être soumises à la vigilance des autorités de régulation, mais manquent souvent des ressources des grandes entreprises.

Une gouvernance insuffisante de l’IA augmente le risque de :

• des violations de la confidentialité des données.
• Non-conformité réglementaire.
• Une perte de propriété intellectuelle.
• Des erreurs opérationnelles.
• Une atteinte à la réputation.

Pour les cadres intermédiaires de l'informatique, ce risque est à la fois personnel et organisationnel. Les lacunes en matière de gouvernance apparaissent souvent lors d’audits, d’incidents ou d’examens par la direction, mais à ce moment-là, c’est déjà trop tard.

Aller de l’avant : la visibilité et le contrôle comme point de départ

Le but n’est pas d’empêcher l’utilisation de l’IA, mais de la maîtriser. La première étape pour tout responsable informatique d’une entreprise de taille moyenne consiste à comprendre comment les outils d’IA sont réellement utilisés aujourd’hui au sein de l’organisation. À quels outils les employés ont-ils accès ? Quelles données transitent par ces outils ? Où finissent ces données ?

La plupart des organisations se rendent compte qu’elles ont bien moins de visibilité qu’elles ne le pensaient. Les outils fonctionnent souvent via un navigateur et contournent les contrôles informatiques traditionnels. Leur utilisation est répartie entre les équipes sans suivi centralisé. Le fossé entre la politique officielle et la pratique réelle est énorme.

Pour combler ce fossé, il faut mettre en place une gouvernance autour d’outils validés, assurer la localisation des données et établir des directives claires sur les informations qui peuvent ou ne peuvent pas être partagées avec les systèmes d’IA. Il faut aussi mettre à jour les programmes de conformité pour intégrer l’IA en tant que catégorie de traitement des données. Et il faut mettre en place des processus de vérification qui tiennent compte des risques spécifiques liés au contenu généré par l’IA.

Comment Upsun Cloud t’aide à combler ces lacunes

Upsun Cloud aide à relier la politique en matière d’IA aux opérations quotidiennes en rendant les contrôles visibles, reproductibles et applicables.

• Configuration YAML pilotée par Git : l’infrastructure, les services et les règles d’accès sont définis dans un fichier YAML sous contrôle de version, ce qui rend les modifications vérifiables et faciles à examiner sous forme de code.
• Aperçus automatiques par branche : chaque modification peut être exécutée dans un environnement de test isolé, avec la possibilité de cloner des données et d’appliquer un nettoyage des données. Ça permet aux équipes de tester en toute sécurité les processus liés à l’IA avant leur mise en production.
• Orchestration multiservice : les applications, les API et les services associés sont déployés et gérés ensemble, ce qui réduit le risque de scripts non gérés ou de composants d’IA déconnectés.
• Observabilité et APM intégrées : la journalisation et la surveillance des performances intégrées facilitent le suivi du comportement, des performances et des défaillances dans tous les environnements dès le premier jour.
• Contrôles de conformité et de sécurité au niveau de la plateforme : Upsun Cloud fonctionne selon des cadres de sécurité et de conformité bien établis, ce qui offre aux équipes informatiques une base contrôlée pour exécuter des charges de travail basées sur l’IA aux côtés de systèmes réglementés. Ça soutient les efforts de gouvernance interne en alignant l’infrastructure sur des normes reconnues. Rends-toi sur le Centre de confiance d’Upsun pour en savoir plus.

Ensemble, ces fonctionnalités aident les équipes informatiques à trouver le juste équilibre entre la rapidité de développement et la supervision opérationnelle. 

Sources

1. OpenAI, « Politiques d’utilisation et de conservation des données ».
   https://openai.com/policies
2. Commission européenne, « Règlement général sur la protection des données (RGPD) »
   https://gdpr.eu
3. IBM, « Rapport sur le coût d’une fuite de données 2024 »
   https://www.ibm.com/reports/data-breach
4. Article de TechRadar sur les conclusions de Dataiku concernant l’IA fantôme (https://www.techradar.com/pro/businesses-are-losing-control-of-ai-and-bosses-are-starting-to-despair)
5. Récapitulatif de Cybernews sur les incidents de fuite chez Samsung (https://cybernews.com/security/chatgpt-samsung-leak-explained-lessons/)
6. Avis de l’EDPB sur les modèles d’IA et les principes du RGPD (https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_en)
7. Guide du Support Pool de l’EDPB sur les « risques liés à l’IA en matière de protection de la vie privée et les mesures d’atténuation » (https://www.edpb.europa.eu/our-work-tools/our-documents/support-pool-experts-projects/ai-privacy-risks-mitigations-large_en)
8. Recommandations de l’ICO britannique sur l’IA et la protection des données (https://ico.org.uk/for-organisations/uk-RGPD-guidance-and-resources/artificial-intelligence/guidance-on-ia-and-data-protection/)