Faut-il interdire l'IA à ses salariés ? (2/3)

Non. Interdire l'IA à vos salariés ne supprime pas le risque : il le déplace vers les téléphones et les comptes personnels, là où vous ne voyez plus rien. La bonne réponse est un cadre écrit, des outils autorisés, des données que l'on ne saisit jamais, et une formation qui commence par le dirigeant avant de toucher les équipes.

En bref

• La peur du dirigeant est légitime : la responsabilité sur les données de l'entreprise est réelle.
• L'interdiction ne fait pas disparaître l'IA, elle la rend invisible : c'est le « shadow AI ».
• Un cadre simple répond aux vraies questions : quels outils, quelles données, quel hébergement, qui valide.
• La bonne séquence : former d'abord le dirigeant, puis les équipes.
• En Europe, le règlement sur l'IA demande déjà aux entreprises qui utilisent l'IA de veiller à la maîtrise de leur personnel.

Deuxième volet d'une trilogie de réflexions née au PULCCI Innov', à Annecy. Le premier parlait de sur-mesure ; celui-ci parle de la peur, et de ce qui la dissout vraiment.

Pourquoi un dirigeant en arrive-t-il à interdire l'IA ?

Le plus souvent par peur d'être tenu responsable d'une erreur qu'il ne maîtrise pas. Je l'ai vu de près lors d'un atelier au PULCCI Innov'. Dirigeant d'une PME industrielle, la cinquantaine, le genre d'entrepreneur solide qui a bâti son entreprise à la force du poignet. Il a accepté de raconter son histoire devant la salle, et elle m'a marqué parce qu'elle est, je crois, celle de beaucoup de dirigeants en ce moment.

Au début, il fait confiance. Il laisse ses salariés utiliser l'IA librement dans leur travail. Pas de consigne particulière, pas de cadre formel, juste l'intuition que ces outils peuvent les aider. Et de fait, l'élan est là. Les équipes s'en emparent, gagnent du temps, explorent.

Puis, un soir, une conversation avec un ami. Celui-ci, plus au fait des questions juridiques, lui lance une phrase qui va tout changer : « Et si l'un de tes salariés fait une mauvaise manipulation ? S'il envoie des données confidentielles dans un outil, en cas de fuite, c'est toi le responsable. »

Le lendemain, il interdit tout. Net. Plus d'IA dans l'entreprise.

Quelques semaines plus tard, il est là, au PULCCI, assis dans cet atelier. Pourquoi ? Pour une raison simple, et profondément juste : comprendre, et se former. Au fond, il a senti que cette interdiction brutale n'était pas une stratégie. C'était un réflexe. Un mouvement de recul face à un terrain qu'il ne maîtrisait pas.

L'interdiction protège-t-elle vraiment l'entreprise ?

Non, elle déplace le risque au lieu de le réduire. Soyons clairs : sa peur n'était pas absurde. Un salarié qui copie un fichier client, un contrat, une fiche de paie dans un outil grand public mal configuré, c'est un vrai sujet de confidentialité et de conformité. Le dirigeant a raison de s'en préoccuper.

Mais l'interdiction est une fausse solution, pour une raison que tout dirigeant honnête finit par admettre : vos équipes continueront à utiliser l'IA.

Pas au bureau, pas sur les outils de l'entreprise. Mais sur leur téléphone personnel, sur leur compte privé, le soir, pour avancer plus vite sur un dossier. Discrètement. C'est ce qu'on appelle le « shadow AI », l'IA de l'ombre. Et c'est exactement ce que l'interdiction provoque : non pas la disparition de l'IA, mais sa migration hors de tout contrôle.

Autrement dit, en interdisant, le dirigeant n'élimine pas le risque. Il l'aggrave. Il le pousse dans l'angle mort, là où il ne peut plus ni le voir, ni l'encadrer, ni le piloter. Le vrai danger, ce n'est pas l'IA. C'est l'IA sans cadre.

D'où vient cette peur de l'IA chez les dirigeants ?

Du flou, bien plus que de l'outil lui-même. Si l'on regarde bien, ce dirigeant n'avait pas peur de l'IA en elle-même. Il avait peur de ce qu'il ne connaissait pas. De cette zone grise où il ne savait pas répondre aux questions simples : que deviennent mes données quand un salarié les saisit dans un outil ? Lesquels sont sûrs, lesquels ne le sont pas ? Qu'ai-je le droit de faire, qu'est-ce qui m'expose ?

La peur naît du flou. Et le flou ne se dissipe pas en fermant la porte. Il se dissipe en allumant la lumière.

C'est tout l'enjeu. Là où l'interdiction laisse le dirigeant dans le noir, privé d'un outil de productivité et toujours exposé via le shadow AI, la compréhension lui rend la main. Elle transforme une angoisse diffuse en décisions claires.

Qui est responsable si un salarié fait fuiter des données avec l'IA ?

L'entreprise, et donc son dirigeant, reste responsable de la façon dont les données de ses clients et de ses salariés sont traitées, que ce soit avec ou sans IA. Le RGPD ne disparaît pas parce qu'on utilise une IA : il s'y applique pleinement. En Suisse, la nLPD s'applique de la même façon aux traitements faits avec l'IA. Et depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA (AI Act) demande aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez leur personnel.

Autrement dit, la loi elle-même pousse vers la formation, pas vers l'interdiction. Cette responsabilité se traite par un cadre qui répond à des questions concrètes : quels outils sont autorisés et lesquels ne le sont pas ? Où sont hébergées les données qu'ils traitent ? Le prestataire signe-t-il un accord de traitement des données ? Que peut-on saisir, que doit-on ne jamais saisir ?

Ces questions ont des réponses. Pour les structurer, je m'inspire de deux normes reconnues, ISO 42001 pour le management de l'IA et ISO 27001 pour la sécurité de l'information. Non pour brandir un label (Arborys IA n'est pas certifiée), mais pour disposer d'une méthode éprouvée qui transforme un risque subi en risque maîtrisé. Ma façon de faire est détaillée sur la page sécurité et RGPD de l'IA.

Que doit contenir un cadre d'usage de l'IA dans une PME ?

Une page suffit pour commencer, à condition qu'elle réponde à cinq questions. Voici celles que je pose avec les dirigeants que j'accompagne :

1. Quels outils sont autorisés ? Une liste courte, avec des comptes professionnels, plutôt qu'une interdiction générale.
2. Quelles données ne doivent jamais être saisies ? Données de santé, fiches de paie, contrats confidentiels, informations bancaires : la liste doit être écrite, pas implicite.
3. Qui valide ce qui sort ? Tout texte produit par l'IA et envoyé à un client est relu par une personne.
4. Qui répond aux questions ? Un interlocuteur identifié dans l'entreprise, pour éviter que chacun bricole seul dans son coin.
5. Quand revoit-on le cadre ? Les outils changent vite : une relecture régulière évite qu'il devienne lettre morte.

Le dirigeant qui comprend cela ne ferme plus la porte. Il met en place des règles, choisit ses outils, forme ses gens. Il dort mieux non pas parce qu'il a interdit, mais parce qu'il a cadré.

Faut-il former le dirigeant ou les équipes en premier ?

Le dirigeant d'abord, les équipes ensuite, et dans cet ordre précis.

D'abord, on forme le dirigeant. Pas pour qu'il devienne expert technique, mais pour qu'il comprenne ce qui se joue : ce que l'IA fait de ses données, où sont les vrais risques, quelles règles poser, quels outils retenir. Un dirigeant qui comprend peut décider. Il pose le cadre, et il l'assume en connaissance de cause. C'est lui qui tient la lampe.

Ensuite, on forme les équipes. Une fois le cadre défini, on outille les collaborateurs : règles claires, outils validés, périmètre explicite de ce qui est permis. Là, l'élan initial, celui que le dirigeant avait laissé naître au début, peut repartir, mais cette fois sur des rails sûrs.

C'est l'inverse exact de ce qui se passe trop souvent, où l'on déploie un outil aux équipes sans que le dirigeant lui-même n'ait saisi les enjeux. On ne construit pas une maison en commençant par le toit. Les parcours que je propose, en présentiel en Haute-Savoie et dans le Grand Genève ou à distance, sont présentés sur la page formations IA.

Que change concrètement cette approche pour l'entreprise ?

Elle transforme un frein en levier : l'élan des équipes revient, et le dirigeant sait ce qui se passe. Chez Arborys IA, c'est pour cette raison que la formation n'est pas un produit séparé, mais le prolongement naturel de l'audit. L'audit cartographie votre terrain et vos risques ; la formation vous donne, à vous dirigeant puis à vos équipes, les clés pour avancer en confiance dans ce terrain.

Le dirigeant que j'ai rencontré au PULCCI a eu le réflexe le plus sain qui soit : face au flou, il n'est pas resté seul avec sa peur. Il est venu chercher à comprendre. C'est exactement comme cela qu'une crainte se transforme en maîtrise.

La peur ne se lève pas en fermant la porte. Elle se lève en allumant la lumière. Et lui avait déjà la main sur l'interrupteur.

Dans le troisième et dernier volet de cette trilogie, j'explore une autre frontière : celle du sens, à partir de la remarque d'une interprète sur ce que l'IA traduit, et sur ce qu'elle ne saisit pas encore.

Questions fréquentes

Un employeur peut-il interdire ChatGPT ou d'autres outils d'IA à ses salariés ?

Oui, il peut restreindre les outils utilisés dans le cadre du travail, comme pour n'importe quel logiciel. Mais une interdiction sans alternative pousse souvent l'usage vers les appareils personnels. Mieux vaut autoriser une liste d'outils, avec des comptes professionnels et des règles écrites.

Qu'est-ce que le « shadow AI » ?

C'est l'usage d'outils d'IA par des salariés en dehors de tout cadre de l'entreprise : comptes personnels, téléphone privé, outils non validés. Le risque n'est pas l'IA elle-même, mais le fait que personne ne sache quelles données y circulent.

La formation à l'IA est-elle obligatoire pour les entreprises ?

Dans l'Union européenne, l'article 4 du règlement sur l'IA, applicable depuis le 2 février 2025, demande aux entreprises qui utilisent des systèmes d'IA de veiller à un niveau suffisant de maîtrise de l'IA chez leur personnel. Il ne fixe pas de format de formation : c'est à chaque entreprise de l'adapter à ses usages.

Par où commencer pour encadrer l'IA dans ma PME ?

Par un état des lieux : quels outils vos équipes utilisent déjà, pour quelles tâches, avec quelles données. C'est le rôle de l'audit. Ensuite viennent un cadre d'une page et une formation courte du dirigeant, puis des équipes.

---

Passer de la peur au cadre

Si vous hésitez entre laisser faire et tout interdire, c'est probablement que personne ne vous a encore aidé à poser le cadre. L'audit IA Arborys fait l'état des lieux de vos usages, de vos risques et de vos opportunités : 240 € HT en France, 250 CHF HT en Suisse, un rapport personnalisé de 25 à 40 pages, livré en 48 à 72 h et validé par un humain. De là découle, si vous le souhaitez, la formation du dirigeant puis des équipes.

👉 Faire mon audit IA