IA en entreprise : le vrai risque, c'est de lâcher la main

Fuites de données, contenus médiocres, décisions fragiles : les incidents récents ne trahissent pas une défaillance technique, mais un renoncement au jugement humain. Comment reprendre la main.

Imaginez le directeur d’une agence nationale de cybersécurité copiant des documents internes de son administration dans un robot conversationnel grand public. Ce n’est pas une fiction. Début 2026, la presse américaine a révélé que le directeur par intérim de la CISA, l’agence fédérale chargée de défendre les réseaux critiques des États-Unis, avait versé dans la version publique de ChatGPT plusieurs documents marqués "for official use only". L’affaire a été détectée par les propres systèmes de surveillance de l’administration. L’agence a indiqué que l’accès avait été autorisé et l’usage limité, mais le fait reste : l’homme censé incarner l’exigence en matière de protection des données sensibles les a confiées à un système hors de tout contrôle.

Si cela peut arriver là, cela peut arriver chez vous. Et le problème n’est presque jamais l’outil. Il tient à un geste : suspendre son jugement, déléguer sans vérifier, livrer vite. Bref, lâcher la main.

1. Quand les données s’échappent

L’IA fantôme – l’usage d’outils d’intelligence artificielle sans accord ni supervision de la direction informatique – n’a plus rien de marginal. Selon des données publiées par IBM, la proportion de collaborateurs recourant à l’IA générative est passée de 74 % à 96 % entre 2023 et 2024. Et 38 % d’entre eux reconnaissent y avoir saisi des informations professionnelles sensibles sans autorisation.

Le cas Samsung reste l’illustration la plus documentée. En 2023, en seulement vingt jours, l’entreprise a recensé trois fuites via ChatGPT : un ingénieur y a collé le code source bogué d’une base de données de semi-conducteurs, un deuxième des modèles de test confidentiels servant à repérer les puces défectueuses, et un troisième l’enregistrement d’une réunion interne à résumer. Les données saisies pouvaient alimenter l’entraînement du modèle, hors de portée de l’entreprise. Samsung a ensuite interdit les outils d’IA générative sur le lieu de travail.

La fuite ne concerne pas que les équipes techniques. En février 2026, le juge fédéral américain Jed Rakoff a estimé communicables les analyses qu’un ancien dirigeant de GWG Holdings, poursuivi pour fraude boursière, avait produites avec un assistant IA pour préparer sa défense avant de les transmettre à ses avocats. Motif : un échange avec une IA peut être assimilé à un échange avec un tiers, et perdre ainsi la protection du secret avocat-client.

Dans votre entreprise, savez-vous précisément quels outils d’IA vos équipes utilisent aujourd’hui, et avec quelles données ?

2. Quand l’IA invente et que personne ne vérifie

Le deuxième risque est plus insidieux, car il ne déclenche aucune alerte. L’IA produit un texte fluide, crédible… et faux. Si personne ne contrôle, l’erreur passe.

En octobre 2025, un cabinet de conseil a accepté de rembourser partiellement le montant des honoraires perçus du gouvernement australien pour un rapport truffé d’erreurs générées par l’IA : références universitaires inexistantes et même une citation fabriquée attribuée à un juge de cour fédérale.

Le monde du droit collectionne les mêmes mésaventures. Dès 2023, dans l’affaire Mata contre Avianca à New York, un avocat a été condamné à 5 000 dollars d’amende pour avoir soumis au tribunal six décisions de justice purement inventées par ChatGPT. Au Canada, en 2024, une avocate a dû payer les frais de la partie adverse pour deux jurisprudences fictives citées dans un litige de garde d’enfant. Le réflexe manquant est toujours le même : relire et vérifier.

À côté de ces cas spectaculaires, un risque plus silencieux ronge la productivité au quotidien : le work slop, ce contenu généré par l’IA qui paraît professionnel mais manque de fond, et oblige le destinataire à tout reprendre. Selon une étude BetterUp Labs / Stanford publiée dans la Harvard Business Review en septembre 2025, chaque occurrence coûte en moyenne près de deux heures de correction, soit environ 186 dollars par mois et par salarié concerné.

Trois mécanismes nourrissent ces dérives : l’excès de confiance (on suspend son esprit critique face à un texte bien tourné), la course à l’adoption (les managers déploient les usages plus vite que les contrôles ne suivent) et la délégation excessive (on confie à la machine la synthèse, le conseil, parfois la décision, sans vérifier le résultat).

Sur vos derniers livrables à fort enjeu, combien ont été relus par un humain capable d’en repérer une erreur de fond ?

3. Reprendre la main

Interdire ne marche pas : le blocage pur et simple pousse les usages dans l’ombre. Une charte ou une formation isolée ne pèsent rien face à la pression de livrer. Pour réduire le risque de façon structurelle, une organisation doit construire trois capacités qui répondent directement aux trois risques identifiés.

La visibilité des usages réels. Tant que l’entreprise ignore quels outils sont utilisés, par qui et avec quelles données, elle reste aveugle. Cela suppose de détecter non seulement les applications officiellement déclarées, mais aussi les extensions navigateur, les fonctionnalités IA intégrées aux logiciels métiers et les usages via des comptes personnels.

Le contrôle au moment de l’interaction et de l’exécution. Il ne suffit plus de bloquer des sites. Il faut pouvoir analyser le contenu d’un message avant qu’il ne parte vers un modèle externe, et surtout surveiller les actions que l’IA propose d’exécuter. Cette exigence devient critique avec les agents autonomes, capables d’agir directement sur les systèmes d’information.

L’exécution locale pour les données sensibles. Pour les cas relevant du secret professionnel, des informations stratégiques ou de données personnelles à haut risque, faire transiter systématiquement l’information vers un fournisseur externe crée une exposition permanente. Exécuter le modèle sur une infrastructure interne – ou via une passerelle sécurisée vers un modèle plus puissant quand c’est nécessaire – permet de garder la donnée dans le périmètre de l’entreprise.

Ces trois capacités ne remplacent pas la culture d’usage, elles la rendent opérationnelle. Sans visibilité, on ne peut pas former ni responsabiliser. Sans contrôle en temps réel, les bons réflexes restent insuffisants. Sans exécution locale, le collaborateur est parfois contraint de choisir entre productivité et conformité.

Cette culture se décline par métier. Un juriste n’envoie jamais les faits d’une affaire sensible à un outil externe. Un manager exige une relecture humaine sur tout livrable à impact client ou stratégique, ainsi qu’une traçabilité de l’usage de l’IA. Un développeur teste et sécurise le code généré au lieu de le croire prêt à l’emploi.

La preuve que cette approche porte ses fruits existe. Une plateforme du secteur de la construction a obtenu en six mois la première certification mondiale ISO 42001 en structurant à la fois ses outils de contrôle et ses processus de validation. Selon des retours d'éditeurs, une grande entreprise mondiale de technologie de santé a, de son côté, ramené à un niveau proche de zéro les usages d’IA non autorisés sur plus de 60 000 utilisateurs en combinant découverte automatisée et surveillance des interactions.

Le coût de l’inaction

La question n’est plus de savoir si l’IA va se déployer dans votre entreprise. Elle est déjà déployée. La vraie question est de savoir à quel prix. Les organisations qui traitent encore la gouvernance comme un sujet secondaire accumulent des coûts cachés : temps passé en corrections, incidents de données, décisions fondées sur des bases fragiles et érosion progressive de la qualité des livrables.

Celles qui construisent visibilité, contrôle en temps réel et capacité d’exécution locale – et qui ancrent les bons réflexes dans chaque métier – réduisent ces coûts tout en rendant l’adoption plus rapide et plus stable.

Les prochains incidents ne viendront pas d’une faille technique isolée, mais d’un enchaînement de gestes quotidiens répétés sans cadre. Dans votre organisation, la gouvernance de l’IA est-elle encore un règlement à faire respecter, ou un système de capacités à construire ?