Backoffice

Étiquette : Gouvernance

  • Shadow AI : vos salariés utilisent ChatGPT sans cadre. Et après ?

    Shadow AI : vos salariés utilisent ChatGPT sans cadre. Et après ?

    Faites le test : demandez anonymement à vos équipes qui utilise ChatGPT, Claude ou Gemini pour travailler. Dans la plupart des PME que nous rencontrons, la réponse tourne autour d’un tiers à la moitié des effectifs — alors qu’aucun outil n’a été officiellement déployé. C’est ce qu’on appelle le shadow AI : l’usage d’outils d’IA par les salariés, sans cadre, sans compte entreprise, souvent sans en parler à personne. La réaction réflexe est l’interdiction. C’est la pire des options.

    Le shadow AI est un signal d’appétence, pas une faute

    Renversons la lecture habituelle. Si vos collaborateurs utilisent ChatGPT en douce, c’est qu’ils ont trouvé, seuls, sans formation ni budget, un moyen de faire leur travail plus vite ou mieux. Ils ont identifié des cas d’usage, appris à prompter par tâtonnement, et jugé le gain suffisant pour prendre un risque personnel. Aucun plan de transformation ne rêve d’un meilleur point de départ : la motivation existe déjà, il ne reste qu’à la canaliser.

    Interdire produit trois effets, tous mauvais : l’usage continue mais se cache mieux (comptes personnels, téléphone personnel, copier-coller par mail) ; les plus moteurs — souvent vos meilleurs éléments — se démotivent ; et vous perdez toute visibilité sur les données qui sortent. L’interdiction ne supprime pas le risque, elle supprime votre capacité à le voir.

    Les vrais risques, hiérarchisés — sans panique

    Cela ne veut pas dire qu’il n’y a pas de risques. Cela veut dire qu’ils ne se valent pas, et qu’un traitement uniforme est contre-productif. Nous recommandons une grille à trois niveaux :

    Rouge : à traiter immédiatement

    • Données personnelles de clients ou de salariés collées dans un outil grand public (exposition RGPD directe).
    • Secrets d’affaires : chiffrage, code source propriétaire, éléments de négociation, données M&A.
    • Données de santé, bancaires ou relevant d’obligations sectorielles.

    Orange : à encadrer sous 90 jours

    • Contenus internes non publics mais non critiques : comptes rendus, trames commerciales, documents de travail.
    • Production envoyée à des clients sans relecture humaine (risque d’erreur factuelle, d’« hallucination »).
    • Multiplication de comptes personnels non résiliables si le salarié part.

    Vert : à laisser vivre, puis outiller

    • Reformulation, traduction, résumé de contenus publics.
    • Brainstorming, structuration d’idées, préparation de réunions.
    • Aide à la rédaction sur des sujets génériques.

    Cette hiérarchie a une vertu : elle rend le discours crédible. Dire « tout est dangereux » revient à dire « rien ne l’est vraiment ». Dire « voilà les trois choses interdites, le reste est encouragé sous conditions » est audible et applicable. C’est aussi l’esprit de l’AI Act, qui impose depuis 2025 une « maîtrise de l’IA » proportionnée aux usages, y compris pour les outils que vos équipes utilisent déjà officieusement.

    Le plan de transition : 90 jours du clandestin vers l’encadré

    Voici le déroulé que nous appliquons, découpé en trois phases de 30 jours.

    Jours 1-30 : amnistie et état des lieux

    Tout commence par une amnistie interne explicite : un message de la direction annonçant qu’aucun usage passé de l’IA ne sera reproché, et qu’un cadre arrive. Sans cette amnistie, votre état des lieux sera faux — personne n’avoue un usage sanctionnable. Ensuite :

    • Sondage anonyme : qui utilise quoi, pour quelles tâches, à quelle fréquence.
    • Entretiens courts avec les utilisateurs les plus avancés — vos futurs référents.
    • Classement des usages recensés dans la grille rouge/orange/vert.

    Jours 31-60 : la charte d’une page et les bons outils

    Rédigez une charte d’une seule page, 8 à 10 règles, pas davantage. Une charte de quinze pages n’est lue par personne ; une page affichable est citée en réunion. Le socle typique :

    1. L’usage de l’IA est encouragé sur les tâches vertes.
    2. Jamais de données personnelles clients ou salariés dans un outil non validé.
    3. Jamais de secrets d’affaires (liste explicite, propre à votre activité).
    4. Tout contenu généré est relu par un humain avant envoi externe.
    5. Les comptes utilisés sont les comptes entreprise fournis, pas les comptes personnels.
    6. Les erreurs de l’IA sont signalées, pas cachées.
    7. Les bons prompts sont partagés dans la bibliothèque commune.
    8. En cas de doute sur une donnée : on demande avant de coller.

    En parallèle, basculez vers des offres entreprise (ChatGPT Team/Enterprise, Claude for Work, Copilot 365, selon votre environnement). Le point de contrôle contractuel décisif : la clause de non-entraînement — vos données ne servent pas à entraîner les modèles — plus la gestion centralisée des comptes et l’authentification d’entreprise. C’est cette bascule qui transforme le risque orange en usage maîtrisé, pour un coût par utilisateur généralement inférieur à une heure de travail mensuelle.

    Jours 61-90 : former et installer les rituels

    Un cadre sans compétence produit de la conformité de façade. La dernière phase est une formation par métier : structurer ses prompts, connaître les limites des modèles, appliquer la charte dans les cas concrets de sa fonction. C’est l’approche que nous avons déployée auprès de plus de 20 entreprises, dont Boursorama, l’INA et Orange. Nommez des référents (un pour 8 à 12 personnes), installez un rituel hebdomadaire de partage de cas d’usage, et mesurez : sans rituels, l’usage encadré décroche dès les semaines 3 à 6, et le shadow AI revient — en pire, car il aura appris à se cacher.

    Trois erreurs qui font échouer la transition

    Nous voyons régulièrement des plans d’encadrement bien intentionnés échouer sur les mêmes écueils. Autant les nommer.

    Première erreur : sauter l’amnistie. Lancer le sondage d’état des lieux sans garantie explicite d’impunité produit des chiffres flatteurs et faux. Les 15 % d’usage déclarés cachent les 40 % réels, et vous calibrez tout le plan sur une fiction. L’amnistie doit venir de la direction, par écrit, avant toute collecte.

    Deuxième erreur : acheter les licences avant de former. Déployer ChatGPT Enterprise ou Copilot sur 100 postes sans accompagnement donne des taux d’usage décevants au bout de deux mois — et la conclusion erronée que « l’IA ne prend pas chez nous ». L’outil suit la compétence, jamais l’inverse. Une masterclass de lancement au moment de la bascule change radicalement la courbe d’activation.

    Troisième erreur : la charte punitive. Une charte écrite comme un règlement disciplinaire — dix interdictions, zéro encouragement — recrée exactement le climat qui avait produit le shadow AI. La proportion cible est inverse : une charte qui dit d’abord ce qui est permis et encouragé, puis délimite précisément les trois zones rouges. Le ton du document conditionne son application.

    Ce que vous y gagnez

    À l’issue des 90 jours, la situation s’est inversée : vous savez qui utilise quoi, les données sensibles passent par des outils sous contrat, les usages verts se diffusent au lieu de se cacher, et vos utilisateurs clandestins d’hier sont devenus vos référents. Les gains de productivité observés après formation — de l’ordre de 2 à 8 heures par semaine et par collaborateur selon les fonctions, à considérer comme des ordres de grandeur — cessent d’être invisibles et deviennent pilotables.

    Le shadow AI n’est pas un problème de discipline. C’est un problème de cadre manquant — et une opportunité déguisée en infraction.

    Passer à l’action

    Pour cadrer le volet juridique et rédiger votre charte, téléchargez le kit gratuit IA, RGPD et AI Act. Et si vous voulez d’abord objectiver l’ampleur du shadow AI chez vous — qui utilise quoi, avec quels risques réels — le diagnostic flash vous en donne une photographie en quelques jours, sans jargon ni catastrophisme.

  • Gouvernance IA en PME : le work system plutôt que le comité

    Gouvernance IA en PME : le work system plutôt que le comité

    Tapez « gouvernance IA » dans un moteur de recherche et vous trouverez des comités d’éthique, des chartes de trente pages et des organigrammes à trois étages. Tout cela a du sens… dans un groupe de 20 000 personnes. Dans une PME ou une ETI, cette gouvernance-là ne sera jamais mise en place — et si elle l’est, elle se réunira deux fois puis mourra dans un agenda partagé. La gouvernance IA d’une PME doit répondre à une seule question : comment l’usage de l’IA se structure, se diffuse et s’améliore, semaine après semaine, sans créer de bureaucratie. C’est exactement ce que fait un work system.

    Ce que gouverner veut dire quand on est 80, pas 8 000

    Dans une PME, il n’y a ni chief AI officer à recruter, ni direction de la conformité à mobiliser. Les décisions à prendre sont pourtant réelles : quels outils autorise-t-on, qui forme-t-on en premier, comment un bon usage découvert au commerce arrive-t-il jusqu’à l’ADV, qui décide qu’un processus mérite d’être automatisé ? Sans réponse organisée, on obtient le scénario classique : trois enthousiastes qui avancent seuls, du shadow AI partout ailleurs, et une direction qui ne sait pas ce qui se passe. La gouvernance PME n’est pas un organe, c’est un système de travail — léger, rythmé, avec des rôles nommés.

    Le work system en 4 couches

    Le work system est le framework signature d’Altropia. Il organise l’adoption de l’IA en quatre couches, dans cet ordre :

    1. Cadrage. Où va-t-on, avec quelles règles ? Priorités métier, grille de risques, charte d’usage, choix des outils sous contrat entreprise. C’est la couche qui évite de courir vite dans la mauvaise direction.
    2. Formation. Monter les équipes en compétence, métier par métier, avec des niveaux de maturité explicites et des référents (un pour 8 à 12 personnes). Sans cette couche, les suivantes reposent sur trois personnes.
    3. Construction. Bâtir les actifs communs : bibliothèque de prompts, assistants configurés pour les tâches récurrentes, premiers workflows outillés. C’est ici que les gains individuels deviennent des capacités d’équipe.
    4. Orchestration. Faire circuler, arbitrer, mesurer : rituels de partage, revue des cas d’usage, décisions d’investissement. C’est la couche qui empêche l’évaporation — celle que tout le monde saute, et qui explique la devise du framework : « move fast alone, move big together ». Seul, on va vite ; c’est l’orchestration qui permet d’aller loin à plusieurs.

    L’ordre des couches n’est pas décoratif : former sans cadrer disperse, construire sans former crée des outils que personne n’utilise, et orchestrer sans rien avoir construit revient à animer le vide.

    L’orchestrateur IA : 10 à 20 % d’un temps plein, pas un poste de plus

    Le work system a besoin d’un propriétaire. Pas d’un comité : d’une personne. Nous l’appelons l’orchestrateur IA. Dans une PME, ce rôle représente 10 à 20 % d’un temps plein — une demi-journée à une journée par semaine — confié à quelqu’un qui connaît les métiers de l’entreprise, pas nécessairement un profil technique.

    Son principe de fonctionnement tient en trois mots : conducts, not commands. L’orchestrateur dirige comme un chef d’orchestre, pas comme un chef de service : il ne décide pas à la place des métiers quels cas d’usage comptent, il fait jouer les équipes ensemble. Concrètement, il :

    • anime les rituels et s’assure qu’ils ont lieu (c’est 60 % du rôle) ;
    • fait circuler les cas d’usage d’une équipe à l’autre ;
    • tient la bibliothèque de prompts et la liste des outils validés ;
    • instruit les demandes d’automatisation et prépare les arbitrages pour la direction ;
    • suit trois ou quatre indicateurs d’adoption, pas trente.

    Les rituels : le savoir ne circule pas tout seul

    Le constat est constant d’une entreprise à l’autre : sans rituels, l’adoption décroche entre les semaines 3 et 6. Le savoir IA est un savoir chaud — il se périme vite et ne se transmet pas par documentation. Trois rituels suffisent :

    • Hebdomadaire, 15 minutes, par équipe : un cas d’usage ou un prompt partagé, un seul, par un membre différent chaque semaine.
    • Mensuel, 45 minutes, transverse : l’orchestrateur réunit les référents ; on promeut les meilleurs prompts dans la bibliothèque commune, on enterre ce qui ne marche pas, on repère les usages mûrs pour l’automatisation.
    • Trimestriel, avec la direction : revue des gains (en restant honnête : les fourchettes observées après formation vont de 2 à 8 heures par semaine et par collaborateur, très variables selon les fonctions), arbitrage des investissements de la période suivante.

    Le choix de l’orchestrateur mérite dix minutes de réflexion, pas plus — mais les bonnes dix minutes. Le meilleur candidat n’est presque jamais « le plus geek » de l’entreprise : c’est quelqu’un que les équipes écoutent déjà, qui circule naturellement entre les services, et qui sait animer une réunion courte. La compétence IA s’acquiert en quelques semaines ; la légitimité transverse, elle, ne se décrète pas.

    « On n’automatise qu’après avoir orchestré »

    C’est la règle la plus contre-intuitive du work system, et la plus rentable. La tentation naturelle est inverse : brancher des automatisations dès les premiers succès — un agent qui trie les e-mails, un workflow qui génère les devis. Le principe d’Altropia est sans ambiguïté : automatiser avant d’orchestrer, c’est construire la locomotive sans les rails.

    Pourquoi ? Parce qu’une automatisation fige un processus. Si le processus n’a pas d’abord été pratiqué manuellement avec l’IA, partagé en rituel, corrigé par les équipes, vous figez une version immature — et personne dans l’équipe ne sait ni surveiller la machine, ni la corriger, ni expliquer ses sorties. L’automatisation réussie est la dernière étape d’un usage déjà orchestré : le prompt est stable depuis des semaines, plusieurs personnes le maîtrisent, les cas limites sont connus. Alors seulement, on pose la locomotive sur des rails qui existent.

    Centre d’excellence ou décentralisé ? Tranché, pour une PME

    Le débat classique des grands groupes — centre d’excellence IA centralisé contre initiatives décentralisées — mérite d’être tranché sans détour pour une PME : ni l’un ni l’autre à l’état pur. Un centre d’excellence est un luxe de grande organisation : vous n’avez ni les effectifs à y dédier, ni le flux de projets pour l’occuper. La décentralisation totale, elle, produit dix bibliothèques de prompts incompatibles et des outils souscrits en double.

    Le modèle qui fonctionne est un hub minimal : un orchestrateur à temps très partiel qui tient le cadre commun (charte, outils, bibliothèque, rituels), et des référents dans chaque équipe qui portent l’usage au plus près du terrain. Les cas d’usage naissent en périphérie, le cadre vit au centre. C’est toute l’architecture du work system, et c’est ce que nous aidons à installer dans nos missions de formation et de conseil.

    Par où commencer, concrètement

    Trois gestes suffisent pour amorcer la démarche : nommer l’orchestrateur (et sanctuariser sa demi-journée hebdomadaire), écrire la charte d’une page, lancer le rituel hebdomadaire dans une seule équipe pilote. Le reste — référents, bibliothèque, automatisations — se construit sur ces fondations, couche par couche. Notre kit gratuit Construire son work system fournit les trames : fiche de rôle de l’orchestrateur, ordres du jour des rituels, grille de décision d’automatisation. Et pour situer votre point de départ réel — cadrage, maturité des équipes, risques — le diagnostic flash reste le chemin le plus court. Vous pouvez aussi explorer l’ensemble de nos ressources pour outiller chaque couche du système.