La question n'est plus de savoir si vos équipes utilisent l'IA générative : elles l'utilisent. La question est de savoir si elles le font avec des règles ou sans.
Et l'interdiction, qui paraît prudente, produit le pire résultat : l'usage continue sur des terminaux personnels, hors de toute visibilité.
L'essentiel
- Risque n° 1 : des données confidentielles tapées dans un service dont on ne sait pas ce qu'il en fait.
- Risque n° 2 : une réponse fausse reprise telle quelle dans un document client.
- Risque n° 3 : un engagement pris au nom de l'entreprise dans un texte généré et non relu.
- Risque n° 4 : une dépendance invisible — un processus qui ne fonctionne plus si l'outil change.
- Ce qui marche : une charte d'une page, dont la ligne la plus utile dit ce qu'on ne tape jamais.
Les quatre risques réels, et leur parade
| Risque | Comment il se matérialise | Parade |
|---|---|---|
| Fuite de données | Un contrat client collé pour en demander un résumé | Liste explicite de ce qu'on ne tape jamais |
| Réponse fausse reprise | Un chiffre réglementaire repris dans une offre | Toute donnée factuelle est vérifiée à la source |
| Engagement non voulu | Un courriel généré qui promet un délai | Relecture obligatoire de tout texte sortant |
| Dépendance invisible | Un processus construit autour d'un outil, sans trace écrite | Documenter ce qui dépend de quoi |
Le deuxième risque est celui qui touche directement un sujet que nous traitons souvent : les dates et montants de la réforme de la facturation électronique. Les sources en ligne se contredisent, et un assistant répète la version la plus répandue avec aplomb.
C'est pourquoi nous indiquons explicitement, sur ces sujets, ce qui est établi et ce qui est contesté. Voir ce que risque une entreprise non conforme.
Pourquoi interdire ne fonctionne pas
Trois mécanismes, observés partout, qui transforment une interdiction en perte de contrôle.
- L'usage se déplace sur le téléphone personnel. Il ne disparaît pas : il devient invisible, et les données partent quand même.
- Les gens cessent d'en parler. Vous perdez la connaissance de ce qui se fait, donc la capacité d'y mettre des règles utiles.
- Les gains réels sont perdus. Rédiger un premier jet, résumer un document long, retrouver un réglage : ce sont des usages légitimes, et les interdire a un coût.
Une interdiction d'IA générative ne supprime pas l'usage : elle supprime votre visibilité sur l'usage. C'est le seul effet mesurable qu'on lui connaisse.
La charte en une page
Elle doit être affichée, pas archivée. Cinq lignes, écrites simplement, sans vocabulaire juridique.
- Ce qu'on ne tape jamais : identifiants et mots de passe, données de santé, documents couverts par un accord de confidentialité, données RH et rémunérations, et le contenu d'un contrat client.
- Ce qui doit être vérifié à la source : toute date, tout montant, toute règle réglementaire. Avec le nom de la source à consulter.
- Ce qui doit être relu avant d'être envoyé : tout texte qui sort de l'entreprise, sans exception.
- Les outils autorisés, nommés. Un outil non nommé n'est pas autorisé — c'est plus clair qu'une liste d'interdits.
- À qui poser une question quand on ne sait pas. Une personne, pas un service.
La première ligne est celle qui protège le plus, parce qu'elle est concrète : « ne tapez pas le contenu d'un contrat client » est une instruction qu'on peut suivre, contrairement à « soyez prudent avec les données sensibles ».
Le cas des données RH et des rémunérations
Une ligne mérite d'être absolue, sans nuance ni exception : les données de personnel ne passent jamais par un service d'IA externe.
La raison n'est pas seulement le RGPD, bien qu'il s'applique pleinement. C'est qu'une fuite de données RH est, dans une PME, l'incident dont les conséquences internes sont les plus durables — davantage qu'une fuite commerciale.
Cette ligne rejoint une mesure de sécurité générale : les droits dans l'ERP doivent déjà limiter l'accès à ces données aux personnes qui en ont besoin. Voir les droits utilisateurs dans Odoo et les six mesures de sécurité qui comptent.
Ce qu'il faut mesurer, trois mois après
Une charte sans retour d'expérience devient un document mort. Trois questions à poser aux équipes, et elles ne demandent aucun outil.
- Qu'avez-vous arrêté de faire à la main ? C'est le gain réel, et il est souvent ailleurs que là où on l'attendait.
- Où avez-vous été induit en erreur ? Cette question ne remonte que si personne n'est blâmé pour y répondre.
- Qu'est-ce que la charte vous empêche de faire, qui serait utile ? C'est ainsi qu'une charte se révise au lieu d'être contournée.
La deuxième question est la plus précieuse, et elle suppose que signaler une erreur ne coûte rien. Si signaler coûte quelque chose, les erreurs restent et se répètent.
Questions fréquentes
Faut-il interdire l'IA générative dans une PME ?
Non : l'usage se déplace alors vers les terminaux personnels, où il échappe entièrement au contrôle, et vous perdez en plus la connaissance de ce qui se fait. Une charte d'une page qui dit ce qu'on ne tape jamais est beaucoup plus efficace qu'une interdiction.
Quelle est la ligne à ne jamais franchir ?
Les données de personnel et les rémunérations ne passent jamais par un service d'IA externe. Au-delà du RGPD, une fuite de données RH est l'incident dont les conséquences internes sont les plus durables dans une PME — davantage qu'une fuite commerciale.
Comment éviter qu'une réponse fausse finisse chez un client ?
Deux règles : toute donnée factuelle — date, montant, règle réglementaire — est vérifiée à la source nommée dans la charte, et tout texte qui sort de l'entreprise est relu. C'est particulièrement vrai sur la réforme de la facturation électronique, où les sources en ligne se contredisent.
Que mettre dans la charte, concrètement ?
Cinq lignes : ce qu'on ne tape jamais, ce qui doit être vérifié à la source, ce qui doit être relu avant envoi, les outils autorisés nommément, et une personne à qui poser une question. Des instructions concrètes — « ne tapez pas le contenu d'un contrat client » — plutôt que des principes.
Comment savoir si la charte fonctionne ?
Posez trois questions aux équipes à trois mois : qu'avez-vous arrêté de faire à la main, où avez-vous été induit en erreur, et qu'est-ce que la charte vous empêche de faire qui serait utile. La deuxième ne remonte que si signaler une erreur ne coûte rien à personne.
Pour aller plus loin
- Les critères d'une IA souveraine en entreprise
- IA dans un ERP : cinq usages qui tiennent
- Les six mesures de sécurité qui comptent dans une PME
En résumé
Vos équipes l'utilisent déjà : l'enjeu est de savoir si c'est avec des règles. Quatre risques — fuite, réponse fausse reprise, engagement non voulu, dépendance invisible — et une charte d'une page, dont la ligne décisive énumère ce qu'on ne tape jamais. Les données RH, jamais. Parlons de votre charte.
