L'IA de l'ombre : ce qui se passe déjà, et comment le mesurer avant d'en décider
Pourquoi l'interdiction produit exactement l'inverse de son intention
L'interdiction déplace la responsabilité sans supprimer le besoin. Le collaborateur a une échéance, un document de quarante pages, et un outil gratuit à un onglet de distance. Il l'utilise, et il ne le dit pas — précisément parce que c'est interdit.
Le résultat est le pire des deux mondes : le document est sorti, et l'organisation ne sait pas qu'il est sorti. Il n'y a ni maîtrise, ni journal, ni possibilité de répondre à un client qui demanderait ce qu'il est advenu de son dossier.
C'est aussi la situation la plus difficile à corriger a posteriori : un document versé dans un service public n'en ressort pas, et l'excès ne se répare pas.
Quatre mesures, faisables cette semaine
Le journal du pare-feu ou du proxy. Les requêtes sortantes vers les domaines des principaux services d'IA générative sont visibles dans les journaux existants. Un relevé sur trente jours, par volume et par poste, donne l'ordre de grandeur sans installer quoi que ce soit.
Les extensions de navigateur installées. Un inventaire du parc révèle les assistants greffés au navigateur, qui lisent souvent le contenu de la page affichée — donc les dossiers ouverts dans vos applications métier.
Les comptes professionnels créés hors procédure. Une recherche des inscriptions faites avec l'adresse de l'organisation sur les services grand public montre combien de collaborateurs ont ouvert un compte de leur propre initiative.
La question posée sans conséquence. Un formulaire anonyme, avec l'engagement explicite qu'aucune sanction n'en découlera, donne des chiffres que les journaux techniques ne donnent pas : ce que les gens font depuis leur téléphone personnel.
Ce que ces chiffres servent à décider
Le volume mesuré répond à la question du dimensionnement bien mieux qu'un effectif : ce qui compte n'est pas le nombre de sièges mais le nombre de tâches réellement confiées à un outil.
Il répond aussi à la question du calendrier. Une organisation où l'usage est déjà massif n'a pas le même délai qu'une organisation où il est marginal.
Enfin, il donne l'argument le plus solide en interne. « Nos collaborateurs le font déjà, quatre cents fois par mois, et nous ne le voyons pas » est une phrase qui fait bouger un comité de direction — bien plus qu'une projection de gain de productivité.
Les textes cités
Art. 328b CO — L'employeur ne peut traiter les données du travailleur que dans la mesure où elles portent sur ses aptitudes ou sont nécessaires à l'exécution du contrat. Une mesure d'usage se conçoit en conséquence : par volume et par service, pas par surveillance individuelle.
Art. 321 CP — Pour les professions visées, la responsabilité de la révélation est personnelle — y compris lorsqu'elle est le fait d'un auxiliaire.
Chaque référence est donnée avec sa portée, sans interprétation. Le sens à lui donner dans votre situation relève de votre conseil.