Un collaborateur souhaite faire résumer une réunion, faire rédiger un e-mail ou faire gérer un agenda. Il existe une extension pour cela, installable gratuitement dans le navigateur, avec accès à la boîte mail en quelques clics. L'extension ne demande pas à l'IT si cela est autorisé. Elle demande au collaborateur s'il souhaite donner accès, et la plupart des gens cliquent sur accepter sans lire les autorisations. Ainsi, un logiciel externe dispose d'un accès en lecture à la correspondance, aux pièces jointes et aux coordonnées, hors de tout regard de l'organisation.
Ce n'est pas une exception. C'est la manière habituelle dont l'IA entre dans une organisation : pas via un projet avec un commanditaire et un budget, mais via un choix individuel visant à simplifier une tâche. L'extension ne figure sur aucune liste IT, car l'IT ne l'a pas installée. Elle ne figure dans aucun registre des risques, car personne ne l'a signalée. Elle fonctionne, et c'est pour l'utilisateur une raison suffisante pour continuer à cliquer.
Un aperçu des logiciels approuvés indique ce qui a été demandé et autorisé. Il ne dit rien de ce qui est réellement utilisé. Entre ces deux réalités se trouve un écart qui s'agrandit à mesure que les outils d'IA deviennent plus faciles à installer et fonctionnent de manière moins visible. Une extension dans le navigateur ne laisse pas de trace sur le réseau comme le ferait une nouvelle application. Elle s'exécute dans une session qui semble par ailleurs tout à fait normale.
Ce que cela produit n'est pas une seule fuite de données, mais un schéma diffus : ici une extension avec accès aux e-mails, là une fenêtre de chat gratuite dans laquelle des données d'entreprise sont collées, ailleurs encore un service qui a souscrit de sa propre initiative à un abonnement. Des décisions isolées, prises sans mauvaise intention, qui forment ensemble une couche cachée d'usage de l'IA que l'organisation ne peut pas cerner parce qu'elle ne s'est pas renseignée à ce sujet.
Une interdiction des extensions avec accès aux e-mails semble être une solution, mais une interdiction que personne ne contrôle est une règle sur papier. Le collaborateur qui utilisait l'extension le faisait parce que le travail avançait plus vite. Ce problème existe toujours après l'interdiction. Il supprimera peut-être l'extension, ou il la laissera en place et n'en parlera plus. Les deux issues sont pires que la situation avant l'interdiction : auparavant, vous saviez au moins que l'extension existait, maintenant vous ne le savez plus, ou la raison pour laquelle elle existait reste non résolue.
La seule manière de savoir ce qui fonctionne réellement est de poser la question. Pas comme un contrôle, mais comme un inventaire. Celui qui craint des représailles ne répond pas honnêtement, ou ne répond pas du tout. Cela rend la manière de poser la question tout aussi importante que la question elle-même. Ce schéma, et la façon dont une organisation peut le gérer sans chasse aux sorcières, est décrit sur la page consacrée à ce que vous faites avec des collaborateurs qui utilisent un outil que personne n'a approuvé.
Tant qu'une extension avec accès aux e-mails reste hors de vue, il n'y a aucune supervision de ce qu'elle fait des données qu'elle traite. Non pas parce que personne ne veut le réguler, mais parce que la supervision ne peut porter que sur ce qui est connu. Pour les outils qui sont bien connus, la question de ce que signifie la supervision humaine en pratique est déjà suffisamment complexe : qui vérifie, à quelle fréquence, et que se passe-t-il en cas d'écart. Cette question est traitée sur la page consacrée à ce que signifie la supervision humaine en pratique. Pour une extension que personne n'a signalée, la réponse à cette question est : rien encore, car la première étape, en avoir connaissance, n'a pas encore eu lieu.
Le même schéma d'une chose qui apparaît en marge de la structure existante, au lieu d'y être intégrée, se produit à plus grande échelle lorsqu'un fournisseur intègre l'IA dans son produit sans que cela apparaisse dans le contrat ou dans l'évaluation des risques ; comment cela se manifeste et pourquoi cela échappe aux accords existants est décrit dans ce que vous faites avec un fournisseur qui a intégré l'IA dans son produit. Et si un processus a bien été mis en place pour signaler ce type d'usage, mais que ce processus est ignoré parce qu'il se situe à côté du travail existant plutôt qu'à l'intérieur de celui-ci, il s'agit là d'un schéma reconnaissable, détaillé sur la page consacrée à pourquoi un second processus placé à côté de l'existant est ignoré.
Un inventaire des extensions, abonnements et outils que personne n'a approuvés montre où l'IA est déjà présente dans le travail. Cette information suscite naturellement une question suivante : si quelqu'un a déjà confié une partie de ses tâches à l'IA, quelle est exactement cette part du travail, et comment se situe-t-elle par rapport à ce qui est possible ou souhaitable pour le reste de l'organisation ? Le scan de travail de FTE TO AI calcule, pour chaque tâche, quelle part du travail peut être reprise par l'IA, offrant ainsi un point de repère chiffré en complément de la vision de gouvernance qu'apporte un inventaire.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.