Votre plus grand risque lié à l'IA se trouve déjà au sein même de votre entreprise

Et si le risque le plus pressant lié à l'IA auquel votre entreprise est confrontée n'était pas une cyberattaque sophistiquée ou un agent malveillant au comportement imprévisible ? Et si c'était votre propre équipe de direction qui utilisait des outils dont le service informatique ignore l'existence ?

C’est ce que révèle l’étude de Nitro  intitulée «    » ( ) sur l’adoption de l’IA en entreprise, qui a montré que 68 % des cadres dirigeants ont utilisé des outils d’IA grand public non autorisés pour pallier les lacunes de leurs outils approuvés. Lors d’une récente intervention dans le podcast« Tech Talks Network »  de l’   , le PDG de Nitro, Cormac Whelan  , a fait valoir qu’ e statistique ne reflétait pas seulement un échec de la gouvernance, mais était plutôt le symptôme d’un problème plus profond. Les organisations adoptent l’IA sans disposer d’un cadre permettant de déterminer où, pourquoi et dans quelles conditions elle doit être utilisée. Tant que ce cadre n’existera pas, l’IA fantôme à tous les niveaux de l’entreprise en sera le résultat prévisible.

Pourquoi l’IA « fantôme » se concentre-t-elle au sommet de l’organigramme ?

La pression exercée sur les dirigeants pour qu’ils démontrent les progrès en matière d’IA est énorme et provient de toutes parts — salles de conseil, conférences téléphoniques avec les investisseurs, réunions de direction — et les outils eux-mêmes n’ont jamais été aussi faciles d’accès. Cette combinaison engendre un schéma de comportement spécifique : les dirigeants mènent des expériences de leur propre chef, car les outils approuvés n’existent pas encore ou ne répondent pas assez rapidement à leurs besoins.

« Le battage médiatique, la pression et l’accessibilité — l’IA est tellement accessible aujourd’hui », explique Cormac. « Et la pression que ressentent de nombreux dirigeants, tant au sein de leur équipe de direction qu’au conseil d’administration, pour montrer qu’ils progressent, qu’ils parviennent à des résultats en tirant parti de l’IA. Je pense que cela les a poussés à se lancer dans l’expérimentation. »

Cet instinct d’expérimentation est compréhensible. Mais expérimenter sans cadre de référence signifie que les plus hauts responsables de l’organisation prennent des décisions au cas par cas concernant les données à exposer et les outils auxquels faire confiance, sans critères communs pour l’un ou l’autre.

Pourquoi les flux de travail documentaires constituent-ils le domaine le plus à risque en matière d’utilisation non approuvée de l’IA ?

La raison pour laquelle cela revêt une importance plus grande qu’un simple problème d’informatique parallèle tient au contenu des fichiers traités. Les documents sont au cœur de presque toutes les fonctions métier essentielles, et ils contiennent certaines des informations confidentielles les plus sensibles détenues par une organisation.

« Qu’il s’agisse d’un document d’approvisionnement avec un fournisseur, d’un dossier juridique, d’un accord d’achat d’actions ou d’un contrat de travail, ces documents contiennent une quantité considérable de données hautement confidentielles et spécifiques à un domaine », explique Cormac. « Ce qui importe, c’est de garantir la sécurité et l’intégrité de ces informations. »

Lorsqu’un dirigeant soumet un contrat à un outil d’IA non approuvé pour obtenir un résumé ou une comparaison rapide, il risque de confier ces données à un système dont les politiques de conservation, les pratiques d’entraînement et les contrôles d’accès sont inconnus. Multipliez cela à l’échelle d’une organisation où les deux tiers de l’équipe de direction agissent de la même manière, et l’exposition aux risques s’accumule rapidement. Ce risque est déjà ancré dans le flux de travail quotidien de chaque cadre qui a besoin d’une réponse plus rapidement que ne le permettent ses outils approuvés.

Comment une approche axée sur les résultats résout à la fois les enjeux stratégiques et de gouvernance

La raison pour laquelle les cadres ont recours à des outils non approuvés est qu’ils ont un résultat métier en tête — résumer ce contrat, extraire ces chiffres, comparer ces conditions — mais ne disposent d’aucune voie autorisée pour y parvenir. Pour remédier à cela, il faut définir les résultats que l’IA doit fournir à l’échelle de l’organisation, puis, et seulement alors, mettre en place la gouvernance autour de ces cas d’utilisation spécifiques.« Parfois, les dirigeants se laissent emporter par des idées du genre “ça doit être de l’IA par-ci, ça doit être de l’IA par-là” », explique Cormac. « La question qu’il faut se poser en premier lieu est la suivante : quel est le résultat que nous cherchons à obtenir ? Et en quoi l’IA nous aide-t-elle réellement à y parvenir ? »

Lorsque le résultat est défini en premier lieu, la gouvernance devient nettement plus simple car le périmètre est clair. De quelles données ce cas d’utilisation a-t-il besoin ? Quel est le niveau de sensibilité de ces données ? À quelles politiques de conservation et de formation l’outil doit-il se conformer ? Il est possible de répondre à ces questions lorsque le cas d’utilisation est précis dès le départ.

« Notre équipe juridique, notre équipe financière et notre équipe marketing exploitent toutes l’IA », explique Cormac. « Et cela commence avant tout par la question suivante : en quoi cela nous aide-t-il à obtenir un meilleur résultat, que ce soit en termes de productivité, de rapidité de mise sur le marché, de capacité à améliorer la qualité de notre code ou l’ergonomie de notre produit ? Nous commençons par garder le résultat à l’esprit. »

Au niveau organisationnel, cette même rigueur s’applique. Lorsque les organisations identifient les résultats dont elles ont besoin, évaluent dans quels domaines l’IA permet véritablement de les accélérer et mettent en place une gouvernance autour de ces déploiements spécifiques, l’IA « fantôme » cesse d’être une solution de contournement attrayante.

Comment tester la résistance de votre infrastructure d’IA

À mesure que les outils d’IA se multiplient au sein de l’entreprise, la question de la destination des données et de leur traitement devient un critère d’achat, plutôt qu’un simple exercice de conformité. Les organisations qui évaluent des fournisseurs d’IA (ou examinent ce que leurs dirigeants utilisent déjà) doivent poser des questions précises : cet outil conserve-t-il les données qui lui sont transmises ? Ces données sont-elles utilisées pour entraîner des modèles ? Qui y a accès, et sous quelle juridiction ?

« Nous avons toujours considéré l’Europe comme le plus grand dénominateur commun en matière de réglementation des données à caractère personnel », explique Cormac. « Nous y voyons un atout. Lorsque nous pénétrons les marchés d’Asie, d’Australie ou des États-Unis, nous opérons généralement bien au-delà des exigences locales en matière de protection des données. »

En soumettant la sélection des fournisseurs et le déploiement interne aux normes de confidentialité les plus strictes disponibles plutôt qu’au minimum requis, on réduit les risques, on simplifie les opérations transfrontalières et on renforce notre crédibilité auprès des clients et des partenaires dans les secteurs réglementés. Si votre cadre de référence est capable de répondre aux exigences les plus strictes en matière de confidentialité des données, il peut répondre à toutes les autres.

Combler le fossé

Ce chiffre de 68 % est un indicateur concret du nombre de dirigeants confrontés à un besoin métier que l’approche actuelle de leur organisation en matière d’IA ne parvient pas à satisfaire. Et chaque fois que l’un d’entre eux se tourne vers un outil non approuvé, il prend une décision concernant la sécurité des données, la confiance envers le fournisseur et la conformité au nom de l’ensemble de l’organisation, sans disposer de la structure de gouvernance nécessaire pour l’étayer.

« Concentrez-vous sur les résultats », déclare Cormac. « L’IA devrait être presque une routine, fonctionnant en arrière-plan. Vous ne devriez jamais faire quoi que ce soit qui mette en péril la confiance ou la transparence de vos données. Si l’IA permet d’obtenir un meilleur résultat, c’est fantastique. Mais s’il n’en est pas ainsi, il existe d’autres moyens d’y parvenir. »

L’objectif est de mettre en place un cadre rendant inutile toute expérimentation non approuvée : un cadre qui parte de résultats définis, déploie l’IA en fonction de ces résultats avec une gouvernance claire, et soumet chaque outil aux mêmes normes de confiance et de responsabilité que celles appliquées à tous les autres secteurs de l’entreprise. Pour les organisations où la majorité des cadres dirigeants opère déjà en dehors des outils approuvés, plus ce cadre sera mis en place rapidement, plus l’écart à combler sera faible.

Écoutez l’intégralité de la conversation sur le podcast « Tech Talks Network » d’    , où Cormac aborde l’IA « fantôme », explique comment distinguer une véritable innovation d’une opération marketing coûteuse, et explique pourquoi une approche axée sur les résultats est plus importante que jamais.