Kennisbank

L'extension que personne n'a approuvée, mais qui lit tout de même le courrier

Un collaborateur installe une extension de navigateur qui résume les e-mails, propose des rendez-vous d'agenda ou rédige un brouillon de texte dans Gmail ou Outlook Web. L'installation prend une minute et demande l'autorisation d'accéder au contenu de la page. Cette autorisation est donnée sans que personne ne lise ce qui est précisément partagé, combien de temps cela est conservé, si le modèle s'entraîne dessus, ou si le fournisseur le revend. L'extension fonctionne, gagne du temps, et se propage ensuite de manière informelle : un collègue la voit, demande le lien, l'installe aussi.

Comment cela se produit

Les extensions de navigateur échappent à la plupart des processus d'achat. Rien n'est acquis, il n'y a pas de contrat, pas de facture qui attire l'attention du service financier. L'installation se fait via le navigateur lui-même, souvent avec un compte personnel ou professionnel qui ne passe pas par l'IT. Pour le collaborateur, ce n'est pas un « nouvel outil » au sens où il faudrait une approbation — c'est un petit outil d'aide, comparable à un correcteur orthographique. Le fait que l'extension ait un accès en lecture à l'ensemble du courrier, y compris les pièces jointes, les contrats et les données clients, est un détail technique qui a été balayé d'un clic lors de l'installation.

Ce schéma n'est pas propre au courrier électronique. Le même chemin se retrouve via un outil que personne n'a approuvé au sens large, via des données d'entreprise collées dans une fenêtre de chat gratuite, et via un service qui a souscrit un abonnement de sa propre initiative. L'extension de navigateur n'est que la variante avec l'accès le plus direct : non pas à un seul document, mais à l'intégralité de la boîte de messagerie.

Pourquoi cela ne disparaît pas de soi-même

Une liste IT de logiciels approuvés ne capte pas cela. L'extension ne figure pas dans l'aperçu des contrats, ni dans le flux de factures, ni dans un journal SSO si celui-ci n'est pas utilisé. La seule façon de savoir si elle est présente est de demander — aux personnes qui l'utilisent. Et cela ne fonctionne que si le fait de le signaler n'a pas de conséquences. Dès qu'un signalement débouche sur un reproche, l'information s'arrête. L'extension suivante n'est alors plus signalée, mais utilisée plus discrètement.

L'extension ne disparaît pas non plus parce qu'elle est utile. Celui qui peut traiter son courrier plus rapidement n'y renonce pas parce qu'un document de politique interne le déconseille quelque part. Une interdiction sans alternative déplace le comportement vers un autre compte, un autre navigateur, un téléphone personnel. Le problème devient alors plus invisible, pas plus petit.

Ce qu'une organisation peut en faire

Le point de départ n'est pas de traquer et de sanctionner, mais de cartographier ce qui existe et de faire un choix sur cette base. Cela commence par un inventaire qui ne se limite pas à ce qui a été acquis, mais qui examine ce qui est utilisé : comment construire un inventaire de l'IA décrit cette approche, y compris la question de savoir comment inciter les gens à signaler eux-mêmes ce qu'ils utilisent.

Pour chaque extension qui remonte, quelques questions sont pertinentes. Quelles données touche-t-elle — seulement ce qui s'affiche à l'écran, ou l'intégralité de la boîte de messagerie via une connexion API ? Le contenu est-il traité par un modèle externe, et si oui, dans quelles conditions ? Existe-t-il une raison professionnelle justifiant son utilisation, ou remplace-t-elle quelque chose que l'organisation avait déjà ? Ce qui doit être consigné pour chaque application — qui en est le responsable, quelles données y entrent, quel niveau de risque s'applique — est décrit dans ce que vous devez consigner par application. Ce n'est pas un exercice juridique en soi ; c'est la base permettant de décider au cas par cas : autoriser, remplacer par une variante gérée, ou supprimer progressivement.

Cela implique aussi un regard vers l'extérieur. Toute fonction d'IA dans l'environnement de messagerie ne provient pas nécessairement d'une extension qu'un collaborateur a installée lui-même. Un fournisseur d'un outil existant peut avoir ajouté une fonction d'IA lors d'une mise à jour, sans que cela ait été considéré comme une nouvelle évaluation. Ce que cela signifie pour les contrats existants et les accords de sous-traitance est expliqué dans un fournisseur qui a intégré l'IA dans son produit.

Sans chasse aux sorcières

L'objectif de cet inventaire n'est pas de traquer le collaborateur qui a installé l'extension. Celui qui aboutit à ce résultat ne verra plus jamais l'extension suivante, car plus personne ne la signalera. L'objectif est d'obtenir une image de ce qui se passe réellement avec les données de messagerie, les documents contractuels et la communication avec les clients, afin qu'un dirigeant ou un General Counsel puisse faire un choix argumenté sur ce qui reste, ce qui est remplacé, et ce qui est supprimé progressivement — avec une justification pouvant être présentée à un régulateur ou à un auditeur.

Du risque à la compréhension de l'utilisation du temps

La même question qui révèle qu'une extension lit le courrier révèle aussi combien de temps cette extension reprend effectivement sur le travail qui se faisait auparavant manuellement. Ces deux questions sont étroitement liées : l'une porte sur le risque et le contrôle, l'autre sur l'endroit où l'utilisation du temps change dans le travail lui-même. Pour ce dernier point, le scan de travail de FTE TO AI calcule par tâche quelle part du travail peut être reprise par l'IA, indépendamment de l'outil qui s'en charge — une étape suivante pour qui, après l'inventaire, souhaite savoir ce que l'IA déjà présente signifie pour l'organisation du travail.