L'IA est déjà dans votre entreprise. La question, c'est où.

La conversation sur l’IA en entreprise commence presque toujours au mauvais endroit : « devrions-nous adopter l’IA ? ». Elle est déjà adoptée. Elle est entrée par les comptes personnels, les extensions de navigateur et les fonctionnalités activées par défaut dans des logiciels que vous payez déjà.

Commencer par regarder, pas par interdire

La première politique d’IA rédigée dans l’urgence est presque toujours une interdiction. Elle produit deux effets : elle ne change rien aux usages, et elle les rend invisibles. Les gens continuent, simplement sans le dire.

Une cartographie honnête vaut mieux qu’une règle ignorée. Concrètement :

1. Les fonctionnalités d’IA déjà actives dans la suite bureautique existante
2. Les extensions de navigateur installées sur les postes
3. Les abonnements individuels payés en note de frais
4. Les intégrations branchées sur le SaaS métier, souvent activées par défaut

Cette liste surprend systématiquement. C’est le bon point de départ.

Trois questions par usage

Pour chaque usage recensé, trois questions suffisent à trier :

• Quelles données sortent ? Publiques, internes, personnelles, réglementées.
• Vers qui ? Fournisseur, juridiction, engagement contractuel sur l’entraînement.
• Qu’arrive-t-il si la sortie est fausse ? Un brouillon relu ne porte pas le même risque qu’une réponse envoyée directement à un client.

La plupart des usages tombent dans la case « sans conséquence ». Les isoler permet de concentrer l’effort sur la minorité qui compte vraiment.

La surface d’attaque qui vient avec

Un agent branché sur vos outils devient un utilisateur de plus — un utilisateur qui suit des instructions trouvées dans les données qu’il lit.

L’injection de consignes n’est pas théorique. Un document, un courriel ou une page web peuvent contenir du texte destiné non pas à l’humain, mais à l’assistant qui le résumera. Si cet assistant a le droit d’envoyer des courriels ou d’écrire dans un système, le texte devient une commande.

La règle est la même qu’ailleurs : le moindre privilège. Un agent ne reçoit que les accès dont il a besoin pour la tâche décrite, et un humain reste sur les décisions irréversibles.

Une politique qui se lit

Une politique d’utilisation acceptable tient en deux pages. Au-delà, elle n’est pas lue, donc elle n’existe pas. Ce qu’elle doit contenir : ce qui est permis sans demander, ce qui demande un accord, ce qui est exclu, et à qui poser la question quand un cas n’est pas prévu.

Le reste est de la mise en œuvre technique — et celle-là, elle, peut faire cinquante pages.