Shadow IT et IA générative : comment encadrer ChatGPT et Copilot en entreprise

Une politique d'IA en entreprise est le moyen le plus simple d'encadrer le shadow IT à Montréal, parce que vos employés utilisent déjà ChatGPT, Copilot et d'autres outils génératifs, avec ou sans votre permission. Ils veulent aller plus vite, pas contourner les règles, mais le résultat est le même : des données de l'entreprise se retrouvent dans des outils que personne n'a évalués.

Ce texte s'adresse aux dirigeants et aux responsables TI de PME qui veulent reprendre la main sans freiner leurs équipes. Voici ce qui se passe réellement, ce qu'une bonne politique doit contenir et comment la mettre en place en quelques semaines.

Shadow IT et IA générative : ce qui se passe déjà dans les PME de Montréal

Le shadow IT, ce sont les outils et les applications que le personnel adopte sans l'accord du service TI. Il en a toujours existé : un tableur partagé, une messagerie personnelle, un service de stockage en ligne. L'IA générative a toutefois changé l'échelle du phénomène. Il suffit d'un navigateur et d'un compte gratuit pour résumer un contrat, rédiger une soumission ou analyser un fichier de clients.

Dans un cabinet du Plateau ou une usine de Saint-Laurent, cela donne des scènes ordinaires : une adjointe qui colle un courriel de client dans ChatGPT pour en tirer une réponse, un estimateur qui téléverse un devis pour le reformuler, un gestionnaire qui demande à un assistant IA de résumer un rapport financier. Personne n'a de mauvaises intentions. Le problème, c'est que vous ne savez pas où vont ces informations.

Les risques du shadow IT en PME : fuite de données, Loi 25 et décisions sans trace

Le premier risque est la fuite de données via ChatGPT et ses équivalents. Selon le forfait et les paramètres choisis, un outil grand public peut conserver les conversations et s'en servir pour améliorer ses modèles. Un texte collé une fois ne se reprend pas.

Le deuxième risque est juridique. Dès qu'un renseignement personnel de client, d'employé ou de patient entre dans un outil externe, la conformité à la Loi 25 est en jeu : consentement, évaluation des risques, gestion des incidents de confidentialité. Vous ne pouvez pas évaluer un outil que vous ne connaissez pas.

Le troisième est plus discret. Quand une analyse ou un texte produit par une IA nourrit une décision, personne ne sait d'où vient le contenu, qui l'a vérifié ni avec quelles données. Les erreurs plausibles de l'IA passent alors dans vos soumissions, vos contrats et vos rapports.

Pourquoi interdire ChatGPT ne fonctionne presque jamais

La réaction instinctive est de tout bloquer. Dans la pratique, l'interdiction déplace le problème : les employés utilisent leur téléphone personnel, un réseau mobile ou un compte privé, et vous perdez toute visibilité. Vous aviez un risque que vous pouviez gérer, vous avez maintenant un risque que vous ne voyez plus.

Une approche plus efficace consiste à offrir une voie sûre et plus pratique que le contournement. Quand l'outil approuvé est aussi simple à utiliser que l'outil gratuit, la plupart des gens le choisissent. C'est exactement le rôle d'une politique claire, appuyée par de bons outils et une courte formation.

Ce que doit contenir un modèle de politique d'usage de l'IA

Une politique utile tient sur deux ou trois pages et se lit en dix minutes. Elle répond aux questions que vos employés se posent vraiment. Pour structurer votre modèle de politique d'usage de l'IA, voici les éléments qui comptent le plus :

Les outils permis : la liste des outils approuvés et, pour chacun, ce qu'on peut y faire.

Les données interdites : renseignements personnels, dossiers clients, données financières, secrets commerciaux, sauf dans un outil approuvé pour cet usage.

La vérification humaine : toute production de l'IA est relue avant de sortir de l'entreprise.

La transparence : quand et comment on indique qu'un contenu a été produit avec l'IA.

Les responsabilités : qui approuve un nouvel outil, qui reçoit les questions, qui reçoit un signalement d'incident.

Ajoutez une phrase qui dit clairement qu'un employé qui se pose une question ne sera pas puni de l'avoir posée. Les politiques qui fonctionnent encouragent la déclaration plutôt que la dissimulation. Pour la gouvernance de l'IA en PME, le cadre de gestion des risques liés à l'IA du NIST offre un bon point de repère sans exiger une équipe dédiée.

Dresser une liste d'outils IA approuvés, en commençant par Copilot

Pour une PME qui utilise déjà Microsoft 365, Copilot est souvent le point de départ le plus simple. Selon Microsoft, la version destinée aux entreprises applique la protection des données de l'organisation et n'utilise pas vos requêtes pour entraîner les modèles de base. Faites valider les conditions exactes de votre licence, car elles évoluent.

Un point demeure essentiel : Copilot respecte les permissions existantes. Si un dossier SharePoint est ouvert à tout le monde par erreur, Copilot pourra en faire ressortir le contenu. Avant le déploiement, une revue des accès est donc la meilleure préparation. Pour chaque outil que vous retenez, notez l'usage visé, le type de données permis, le responsable et la date de la prochaine révision. Cette liste est vivante : vous l'actualisez quand un employé demande un outil que vous n'aviez pas prévu.

Comment Nexxo aide les PME de Montréal à encadrer l'IA générative

Nexxo agit comme département TI externe pour des PME du Grand Montréal. Nous commençons par un inventaire des outils IA réellement utilisés, puis nous rédigeons avec vous une politique adaptée à votre secteur et à vos obligations de la Loi 25. Nous configurons ensuite les accès et les contrôles dans Microsoft 365, et nous formons vos équipes à utiliser les outils approuvés. Notre équipe d'automatisation des processus et IA et notre équipe de cybersécurité travaillent ensemble pour que l'IA serve vos activités sans exposer vos données.

Si votre PME de Montréal utilise déjà l'IA sans cadre, un premier échange avec notre équipe permet de voir où sont les risques et quoi régler en premier. Écrivez-nous et nous partirons de ce qui vous inquiète le plus.

Questions fréquentes

Mes employés peuvent-ils utiliser ChatGPT au travail?

Oui, à condition de définir dans quelles circonstances et avec quelles données. Un compte d'entreprise approuvé n'offre pas les mêmes garanties qu'un compte gratuit personnel. Le bon réflexe est de préciser ce qui est permis plutôt que de laisser chacun deviner.

Copilot est-il plus sûr que ChatGPT?

Copilot dans Microsoft 365 s'appuie sur la protection des données de votre organisation, ce qui en fait souvent un choix plus simple à encadrer qu'un outil grand public. Il n'est toutefois sûr que si vos permissions SharePoint et Teams sont en ordre. Une revue des accès précède donc le déploiement.

Que doit contenir une politique d'usage de l'IA en entreprise?

Les outils permis, les données interdites, la vérification humaine, les responsabilités et la marche à suivre en cas d'incident. Deux ou trois pages suffisent. L'important est qu'elle soit lue, comprise et révisée régulièrement.

La Loi 25 s'applique-t-elle à l'usage de l'IA générative?

Oui, dès que des renseignements personnels sont saisis dans l'outil. Votre entreprise reste responsable de ces renseignements même lorsqu'ils sont traités par un service externe. Un conseiller en conformité peut valider votre situation précise.

Comment repérer les outils IA non autorisés dans une PME?

Commencez par parler à vos équipes : un sondage anonyme révèle souvent plus qu'un outil technique. Complétez avec l'examen des applications connectées à vos comptes Microsoft 365 et du trafic réseau vers les services d'IA les plus courants.

À propos de Nexxo

Nexxo Solutions informatiques se spécialise dans les services TI et technologiques pour les entreprises du Québec, avec une pratique ancrée à Montréal au service des PME du Grand Montréal. Agissant comme un département TI externe, nous prenons en charge les initiatives TI et IA d'une entreprise afin qu'elle puisse se concentrer sur ses activités — en travaillant étroitement avec nos clients et en plaçant leurs intérêts au cœur de nos préoccupations.