La gouvernance des données à l'ère de l'IA

L'IA n'est plus seulement un chatbot dans lequel les collaborateurs tapent des questions. La nouvelle génération d'outils d'IA fonctionne avec des connecteurs, des 'skills', des agents, des fichiers, des workflows, des API et un contexte partagé. Par conséquent, la question n'est plus "Quel outil d'IA utilisons-nous ?" mais une question beaucoup plus importante.

“À quelles données l'IA a-t-elle accès, au nom de qui et sous quelles conditions ?”

Pour de nombreuses organisations, ce point n'est aujourd'hui pas suffisamment clair. L'IA a souvent accès aux mêmes données que l'utilisateur, sans que l'organisation ne comprenne toujours ce qui est exactement lu, partagé, stocké ou réutilisé. La gouvernance des données n'est donc plus un détail informatique, mais une condition fondamentale pour travailler avec l'IA de manière sécurisée, évolutive et fiable.

1. De l'accès aux documents à l'accès par l'IA

Autrefois, la gouvernance des données était relativement simple : un collaborateur avait accès à un dossier, un enregistrement CRM, un rapport ou un module ERP. Avec l'IA, ce modèle change. Un assistant IA peut non seulement lire l'information, mais aussi la combiner, la résumer, l'interpréter, la restructurer et la transmettre à d'autres contextes.

Le contrôle d'accès classique ne suffit plus. L'organisation doit savoir :

• qui a accès à quelles données ;
• quels outils d'IA peuvent utiliser cet accès ;
• quelles actions ces outils sont autorisés à effectuer ;
• quelles données se retrouvent dans les prompts, les fichiers, les 'skills' ou les connecteurs ;
• si la journalisation, le suivi et la révocabilité sont prévus.

2. Cas pratique : compétences d'IA partagées et droits d'accès cachés

Un risque concret apparaît lorsque les collaborateurs partagent des 'skills' d'IA, des agents ou des automatisations avec leurs collègues. Un tel 'skill' semble inoffensif — un moyen pratique de générer des rapports ou de résumer des dossiers clients. Mais derrière ce 'skill' peuvent se cacher des instructions, des scripts, des droits sur des fichiers, des connecteurs et des accès système.

Un scénario possible

Un consultant développe un 'skill' d'IA pour réaliser plus rapidement des analyses clients, lié à des documents de projet, des modèles et des sources de données. Il le partage avec un collègue qui l'utilise pour un autre cas client. Sans intention malveillante, le 'skill' peut extraire des informations du contexte original, les combiner ou les traiter dans un nouveau document.

Le problème est que l'organisation manque de visibilité sur :

• quels 'skills' existent et qui les a développés ;
• qui est autorisé à les utiliser ;
• quelles sources y sont liées ;
• quels droits ils héritent de l'utilisateur ;
• si des données sensibles peuvent être transférées vers d'autres contextes.

3. Les agents d'IA en tant qu'initiés numériques

Les agents d'IA ne sont pas de simples boutons logiciels. Ils peuvent planifier, prendre des décisions, proposer ou exécuter des actions, extraire des informations de différents systèmes et répéter des tâches sans que chaque étape ne soit contrôlée manuellement. Traitez-les comme des initiés numériques.

Les questions que chaque organisation doit se poser aujourd'hui

• Quels agents d'IA existent dans notre organisation ?
• Quels systèmes peuvent-ils consulter ?
• Peuvent-ils seulement lire, ou aussi écrire, modifier, supprimer ou envoyer ?
• Travaillent-ils avec des droits personnels ou des comptes de service partagés ?
• Leurs actions sont-elles journalisées ? Y a-t-il un propriétaire par agent ?
• Un agent peut-il être désactivé immédiatement en cas d'incident ?
• Existe-t-il un processus d'approbation pour les nouveaux agents, 'skills' ou connecteurs ?

4. Pourquoi est-ce pertinent pour les PME ?

Beaucoup de PME pensent que la gouvernance de l'IA est un problème réservé aux grandes entreprises. En réalité, les PME sont souvent plus vulnérables, car leurs processus se développent plus vite que leur structure.

• Dossiers partagés sans propriétaire clair.
• Données CRM qui ne sont pas nettoyées de manière structurelle.
• Exportations Excel contenant des données clients, de projet ou financières.
• Rapports Power BI sans classification des données.
• Outils d'IA utilisés avec des comptes personnels.
• Aucun registre central des outils d'IA, connecteurs ou automatisations.
• Les accès sont rarement revus lors des changements de rôle.

“L'IA accélère ce qui existe déjà. Si la gouvernance est solide, l'IA accélère l'organisation. Si elle est faible, l'IA accélère les risques.”

5. Les cinq questions de gouvernance

1. De quelles données disposons-nous ?

Connaissez l'emplacement de vos données critiques : ERP, CRM, gestion documentaire, boîtes mail, feuilles de calcul, reporting, planification et plateformes externes.

2. Qui y a accès ?

Un accès basé sur les rôles, les responsabilités et les besoins — et non sur des exceptions historiques.

3. Quels outils d'IA utilisent cet accès ?

Non seulement les outils officiels, mais aussi les comptes personnels, les plugins de navigateur, les automatisations, les agents et les outils SaaS dotés de fonctionnalités d'IA.

4. Que peut faire l'IA ?

Faites la distinction entre lire, résumer, exporter, écrire, modifier, envoyer et supprimer.

5. Qui est responsable ?

Chaque ensemble de données, chaque rapport, chaque agent d'IA et chaque intégration doit avoir un propriétaire — sinon, la gouvernance reste un exercice théorique.

6. Un modèle de maturité pratique

Niveau 1 — Invisible

L'IA est utilisée, mais personne ne sait par qui, pourquoi ou avec quelles données.

Niveau 2 — Autorisé mais non contrôlé

Accords généraux, peu de contrôle technique.

Niveau 3 — Enregistré

Outils d'IA, sources de données et cas d'usage sont enregistrés. Politique de base concernant les données sensibles, les prompts et les accès.

Niveau 4 — Contrôlé

Accès IA lié aux rôles, journalisation, approbations et revue périodique. Les nouveaux agents, 'skills' et connecteurs sont évalués.

Niveau 5 — Gouvernance 'AI-ready'

La gouvernance des données est intégrée dans les opérations. L'IA peut être déployée à grande échelle en toute sécurité.

7. Par où commencer ?

Pas de grand programme de gouvernance, mais une analyse concrète de l'accès aux données par l'IA (AI Data Access Scan) qui répond à trois questions :

• À quelles données les outils d'IA peuvent-ils accéder aujourd'hui ?
• Où se situent les plus grands risques ?
• Quels 'quick wins' rendent l'utilisation de l'IA plus sûre sans bloquer l'innovation ?

Quick wins typiques

• Créez un registre des outils d'IA utilisés.
• Classifiez les données sensibles.
• Révisez les dossiers partagés et les rapports.
• Limitez les exportations depuis l'ERP et le CRM.
• Établissez des règles sur l'utilisation de l'IA avec les données clients.
• Instaurez une approbation pour les nouveaux connecteurs, 'skills' et agents.
• Assurez la journalisation et la propriété.
• Révisez les droits d'accès par rôle.

“Qui veut déployer l'IA doit d'abord comprendre la gouvernance de son accès aux données.”