Risques & maîtrise

Vos craintes sont fondées. Elles se traitent.

Les cinq risques réels de l'IA en entreprise sont la fuite de données, la dépendance à un fournisseur, les erreurs invisibles, l'érosion des compétences internes et le coût qui dépasse le gain. Aucun n'est une raison de ne rien faire, et aucun ne se règle en interdisant l'outil : l'interdiction produit un usage clandestin, donc non maîtrisé.

Les cinq risques

Ce qui peut réellement mal tourner, et la contre-mesure associée

Chaque risque est présenté tel qu'il se manifeste concrètement, puis suivi des mesures que nous mettons en place.

Élevé

Vos données partent sans que personne l'ait décidé

Un commercial colle un contrat dans un assistant grand public pour le résumer. Un développeur y colle du code propriétaire. Rien n'est malveillant, rien n'est tracé, et l'information est sortie de l'entreprise.

Contre-mesures

Inventaire des outils réellement utilisés, sans sanction, pour obtenir la vérité
Une règle d'usage courte, lisible, que les équipes peuvent appliquer
Un outil interne au moins aussi pratique que l'outil sauvage, sinon la règle sera contournée
Contrats fournisseurs vérifiés sur un point précis : vos données servent-elles à l'entraînement

Élevé

Vous devenez dépendant d'un fournisseur que vous ne contrôlez pas

Les prix changent, les conditions d'utilisation changent, un modèle est retiré du catalogue. Si votre production en dépend directement, vous subissez ces décisions sans recours.

Contre-mesures

Une couche d'abstraction entre vos outils et le fournisseur de modèle
Un second fournisseur qualifié, testé, prêt à prendre le relais
Vos données et vos prompts stockés chez vous, pas dans la plateforme du fournisseur
Un test de bascule effectué au moins une fois avant la mise en production

Sous-estimé

Les erreurs deviennent invisibles

Une réponse fausse arrive avec la même assurance qu'une réponse juste. Quand le volume augmente, plus personne ne relit, et l'erreur circule dans les documents jusqu'au client.

Contre-mesures

Classement des usages par enjeu : ce qui exige une relecture humaine et ce qui n'en exige pas
Traçabilité des sorties produites par une IA, pour pouvoir remonter une erreur à sa source
Jeux de tests métier rejoués à chaque changement de modèle
Un canal simple pour signaler une réponse fausse, et quelqu'un qui le lit

Sous-estimé

Vos équipes perdent la compétence qu'elles délèguent

Une compétence qu'on n'exerce plus s'érode en deux ou trois ans. Le jour où il faut corriger la machine, plus personne dans l'entreprise ne sait juger si la sortie est bonne.

Contre-mesures

Identifier les compétences critiques qu'on refuse de déléguer, et l'écrire
Maintenir une pratique réelle sur ces compétences, même quand l'outil pourrait faire
Faire porter la montée en compétence sur la vérification et l'arbitrage, pas sur l'outil

Moyen

Le projet coûte plus qu'il ne rapporte

Le coût visible est l'abonnement. Le coût réel comprend l'intégration, la reprise des données, la formation, le temps de vérification et la maintenance à chaque changement de version.

Contre-mesures

Chiffrage complet avant lancement, coût de vérification inclus
Un pilote court sur un périmètre étroit, avec un critère d'arrêt défini à l'avance
Mesure du gain sur un indicateur métier existant, pas sur un indicateur créé pour l'occasion

Être remplacé

« Est-ce que je vais être supplanté ? »

Réponse courte

Qui est réellement menacé, et à quel horizon ?

Ce sont les tâches qui sont exposées, pas les personnes. Un poste dont plus des deux tiers du temps est consacré à des tâches répétitives et structurées se transformera dans les prochaines années. Un poste qui engage une responsabilité, arbitre entre des intérêts contradictoires ou tient une relation ne se remplace pas : il se déplace vers la vérification et la décision.

La bonne question n'est donc pas « vais-je être remplacé » mais « quelle part de mon travail est-elle automatisable, et qu'est-ce que je fais du temps libéré ». C'est une question qu'on peut chiffrer poste par poste, et c'est exactement ce que fait l'audit.

Pour un dirigeant, le risque n'est pas d'être remplacé par une machine. Il est d'être devancé par un concurrent qui aura structuré ses données pendant que vous attendiez que le sujet se stabilise. Cette course-là se joue sur l'organisation, pas sur la technologie.

Souveraineté

Garder la main sur son outil de travail

Réponse courte

À quoi reconnaît-on qu'on a encore la main ?

À une seule chose : vous pouvez changer de fournisseur en quelques jours sans arrêter la production. Si la réponse est non, vous n'avez pas un outil, vous avez une dépendance. Tout le reste — hébergement, contrats, certifications — découle de ce test.

Schéma d'un réseau étendu dont une grappe centrale reste enfermée dans un cadre, reliée au reste par quelques liens seulement, avec un nœud ambre à l'intérieur.

Garder la main, ce n'est pas se couper du reste : c'est savoir exactement quelles liaisons franchissent la frontière, et pouvoir les rompre.

Les quatre choses à garder chez vous

Vos données brutes et nettoyées. C'est le seul actif qui prend de la valeur avec le temps. Il ne doit jamais être stocké uniquement chez un tiers.
Vos règles métier. Écrites, versionnées, lisibles par un humain. Si elles n'existent que dans les instructions données à un modèle, elles disparaissent avec lui.
Vos comptes fournisseurs. À votre nom, avec votre moyen de paiement. Jamais au nom du prestataire, même pendant la mission.
La capacité de juger la sortie. Au moins une personne en interne doit pouvoir dire si le résultat est bon, sans demander au prestataire.

Pilotage

Comment piloter l'IA sans créer une usine à gaz

Quatre règles suffisent pour la plupart des PME. Elles tiennent sur une page et se mettent en place en une réunion.

Un responsable nommé

Une personne, pas un comité. Elle n'a pas besoin d'être technique, elle a besoin d'être écoutée et de pouvoir dire non.

Quatre indicateurs, pas quarante

Temps gagné sur une tâche mesurée, taux d'erreur constaté, coût mensuel réel, nombre d'usages arrêtés. Le dernier est le plus révélateur.

Une revue trimestrielle

On y valide, on y prolonge ou on y arrête. Un usage qui n'a pas de propriétaire à la deuxième revue est arrêté par défaut.

Un registre des usages

Qui fait quoi, avec quel outil, sur quelles données. Sans ce registre, aucune des trois autres règles n'est applicable.

Questions fréquentes

Les questions de risque qui reviennent

L'IA va-t-elle remplacer mes salariés ?

L'IA remplace des tâches, pas des métiers entiers. Elle absorbe en priorité le travail répétitif, structuré et à faible enjeu de décision : saisie, tri, première rédaction, recherche documentaire. Les postes composés majoritairement de ces tâches se transforment et doivent être accompagnés. Les postes qui reposent sur l'arbitrage, la relation client et la responsabilité juridique se déplacent vers la vérification et le pilotage, mais ne disparaissent pas.

Mes données servent-elles à entraîner les modèles ?

Cela dépend entièrement du contrat souscrit. Les offres grand public prévoient souvent une réutilisation des échanges, alors que les offres professionnelles et les accès par interface de programmation l'excluent généralement. C'est une clause à vérifier fournisseur par fournisseur, avant tout déploiement, et à revérifier à chaque changement de conditions.

Peut-on utiliser l'IA sans envoyer ses données hors d'Europe ?

Oui. Des modèles performants s'exécutent sur des serveurs européens, et certains peuvent tourner sur votre propre infrastructure. Le choix se fait selon la sensibilité des données concernées : toutes n'exigent pas le même niveau de protection, et tout héberger chez soi coûte inutilement cher.

Que dit le règlement européen sur l'IA pour une PME ?

Le règlement européen sur l'intelligence artificielle classe les usages par niveau de risque et impose des obligations proportionnées. La majorité des usages d'une PME relève du risque limité ou minimal, avec principalement une obligation de transparence envers les personnes concernées. Les usages touchant au recrutement, au crédit ou à la surveillance des salariés relèvent de catégories plus exigeantes et méritent un examen dédié.

Comment garder la main sur un outil développé par un prestataire ?

En exigeant trois choses dès le contrat : la propriété du code et des données, un accès direct aux comptes fournisseurs à votre nom, et une documentation d'exploitation suffisante pour qu'un tiers reprenne la main. Un prestataire qui refuse l'un des trois vous vend une dépendance, pas un outil.

Le plan de contre-mesuresComment ces réponses deviennent un plan chiffré et séquencé.OpportunitésL'autre moitié du sujet : ce que vous avez à y gagner.

Prochaine étape

Faites l'inventaire avant l'incident

L'audit met sur la table ce que vos équipes utilisent déjà, et ce que cela vous expose réellement.

Réserver 30 minutes Faire le diagnostic