Les outils d'IA sont partout au travail, et la plupart des gens les utilisent mal

Il y a de bonnes chances que vous ayez utilisé un outil d'IA au travail cette semaine. Il y a aussi de bonnes chances que vous ayez fait, avec cet outil, quelque chose qui ne mettrait pas à l'aise le service informatique ou juridique de votre employeur.

Ce n'est pas une critique. La plupart des personnes qui utilisent l'IA au travail n'ont reçu aucune formation sur la façon de le faire en toute sécurité. Elles prennent des décisions qui semblent raisonnables, « ce n'est qu'un outil de synthèse, pas une base de données », mais qui se révèlent erronées quant au fonctionnement réel de ces outils.

Ce guide présente ce que vous devez réellement savoir.

Comment les outils d'IA traitent vos données

La première chose à comprendre est que les différents outils d'IA appliquent des politiques de traitement des données très différentes, et cette distinction a une importance considérable.

Les offres gratuites grand public (ChatGPT gratuit, Claude gratuit, Gemini gratuit) : vos conversations peuvent être utilisées pour entraîner de futures versions du modèle. Anthropic, OpenAI et Google proposent chacun des options de refus (opt-out) de l'entraînement, mais le paramètre par défaut autorise souvent cet entraînement. Vos données sont stockées sur leurs serveurs.

Les versions entreprise (ChatGPT Enterprise, Claude for Work, Microsoft Copilot avec licence entreprise) : elles offrent généralement des accords de traitement des données (Data Processing Agreements, DPA) qui engagent le fournisseur à ne pas entraîner ses modèles sur vos données, et incluent souvent des engagements de résidence des données. Ces versions sont nettement plus sûres pour un usage professionnel.

IA locale/sur l'appareil : certains outils d'IA fonctionnent entièrement sur votre appareil, sans qu'aucune donnée ne quitte votre machine. Ce sont les solutions les plus sûres pour les informations sensibles, mais elles sont généralement moins performantes.

La règle pratique : vérifiez si votre organisation dispose d'un accord entreprise avec l'outil d'IA que vous utilisez. En cas de doute, considérez que vous utilisez la version grand public et traitez-la en conséquence.

Ce qu'il ne faut jamais saisir dans un outil d'IA grand public

Le risque n'est pas qu'un outil d'IA « divulgue » directement vos données à un concurrent. Le risque est plus diffus : vos données sont stockées sur des serveurs externes, peuvent être utilisées pour l'entraînement, et sont soumises aux pratiques de sécurité d'un tiers dont vous ne maîtrisez pas l'historique des failles de sécurité.

Ne saisissez jamais les éléments suivants dans des outils d'IA grand public :

  • Noms de clients, adresses e-mail ou coordonnées
  • Informations financières clients, contrats ou données commercialement sensibles
  • Informations personnelles des salariés (salaires, évaluations de performance, informations de santé)
  • Mots de passe internes, clés API ou identifiants d'authentification
  • Informations commerciales exclusives, secrets d'affaires ou détails sur des produits non encore lancés
  • Avis juridiques confidentiels, stratégie contentieuse ou conditions de règlement amiable
  • Informations de santé des patients (cela entraîne des obligations réglementaires supplémentaires dans la plupart des juridictions)

Le test à appliquer : si vous n'enverriez pas cette information par e-mail à un inconnu, ne la collez pas dans un outil d'IA grand public.

Vérifier la politique d'IA de votre organisation

Votre organisation dispose probablement d'une politique d'utilisation de l'IA, ou est en train d'en élaborer une. Il ne s'agit pas d'une simple formalité administrative facultative, mais d'un instrument juridique et réglementaire.

Si vous enfreignez la politique d'IA de votre organisation :

  • Vous pouvez engager votre responsabilité personnelle au regard du droit du travail
  • Votre organisation peut engager sa responsabilité au regard du droit de la protection des données (RGPD, Australian Privacy Act)
  • Vous pouvez avoir créé une preuve que votre organisation ne disposait pas de contrôles adéquats (élément pertinent lors d'enquêtes réglementaires)

Si vous ne savez pas si votre organisation dispose d'une politique d'IA, demandez à votre service informatique, à l'équipe conformité ou à votre responsable. Si cette politique n'existe pas, signalez-le : l'absence de politique constitue en soi une lacune de gouvernance.

Le problème des hallucinations, et comment y remédier

Les modèles de langage d'IA hallucinent. Il ne s'agit pas d'un bug qui sera corrigé, mais d'une caractéristique inhérente au fonctionnement de ces systèmes. Ils génèrent un texte statistiquement probable compte tenu de leur entraînement, ce qui n'est pas la même chose qu'un texte exact.

Schémas d'hallucination courants :

  • Fausses citations : les outils d'IA citent avec assurance des articles, des affaires judiciaires ou des rapports qui n'existent pas
  • Statistiques erronées : les chiffres sont particulièrement peu fiables. Les outils d'IA génèrent fréquemment des données chiffrées plausibles mais incorrectes
  • Informations obsolètes : les outils d'IA ont une date limite d'entraînement ; les informations sur des événements récents, la réglementation en vigueur ou des données en temps réel sont fréquemment erronées
  • Erreurs affirmées avec assurance : les outils d'IA n'expriment pas l'incertitude comme le font les humains. Une réponse hallucinée sonne exactement comme une réponse correcte.

La règle pour un usage professionnel : tout contenu généré par l'IA destiné à être présenté à des clients, utilisé dans une prise de décision, ou intégré à des communications professionnelles, doit être vérifié à partir de sources primaires avant utilisation.

Cela implique :

  • Vérifier toutes les citations par rapport à la source réelle
  • Vérifier les statistiques par rapport aux données d'origine
  • Vérifier les références réglementaires et juridiques par rapport à la législation ou à la jurisprudence réelle
  • Faire relire par une personne les communications aux clients générées par l'IA avant leur envoi

Utiliser l'IA efficacement, pas seulement avec prudence

La sécurité ne signifie pas éviter l'IA. Elle consiste à l'utiliser de manière à créer de la valeur sans créer de risque.

Usages à forte valeur et faible risque :

  • Rédiger des documents internes (lettres, rapports, synthèses) que vous relirez avant envoi
  • Faire du brainstorming et générer des idées sans données confidentielles en entrée
  • Synthétiser des informations publiquement disponibles
  • Améliorer la structure ou la clarté de vos propres écrits
  • Expliquer des concepts techniques en langage simple
  • Générer du code que vous relirez et testerez

Usages nécessitant une vigilance particulière :

  • Toute tâche impliquant des données de clients (utiliser des outils entreprise dotés d'accords de traitement des données appropriés)
  • Tout contenu destiné à être transmis directement à des clients ou à des régulateurs (tout vérifier)
  • Analyse juridique, médicale ou financière (l'IA en simple assistance, un jugement professionnel reste nécessaire)
  • Tout contexte où une erreur formulée avec assurance pourrait causer un préjudice

L'objectif est d'être le type de professionnel qui utilise l'IA pour mieux travailler, et non celui qui crée des problèmes en l'utilisant avec négligence.

Lectures complémentaires

Pour aller plus loin : OCDE : l'intelligence artificielle et l'avenir du travail