Révisé le
Repérer les outils d’IA que votre équipe utilise déjà
L’expression « IA non encadrée », souvent appelée shadow AI, désigne les usages qui échappent aux outils approuvés ou au processus d’examen de l’organisation. Il peut s’agir d’un compte personnel de robot conversationnel, d’un assistant de réunion, d’une extension d’éditeur ou d’une nouvelle fonction d’IA dans un logiciel déjà payé par l’entreprise. Le problème est le manque de visibilité; l’étiquette ne devrait pas servir à blâmer le personnel.
Le premier résultat attendu est un inventaire des outils et des usages, avec un responsable et une décision pour chacun. Ne promettez pas de tout découvrir. Les appareils personnels, les comptes non gérés et les journaux incomplets laissent des zones d’ombre qu’une analyse technique ne peut pas nécessairement éliminer.
Parler du travail avant de parler des produits
Expliquez pourquoi vous faites l’inventaire, quels renseignements seront recueillis et à quoi ils serviront. Demandez au personnel quelles tâches il cherche à simplifier : rédaction, programmation, résumés de réunions, traduction ou réponses aux clients. Demandez ensuite quels outils sont utilisés, avec quel compte, et si l’outil reçoit des fichiers, des enregistrements de réunions ou un accès à un autre système.
Encouragez les signalements d’usages incertains et d’incidents évités de justesse. Ne demandez pas aux personnes de coller dans un sondage de vraies requêtes contenant des renseignements sur les clients ou les employés. Une description de la tâche et de la catégorie de données suffit généralement pour commencer. Un moyen clair de demander une autorisation est plus utile qu’une liste de produits interdits sans solution de rechange.
Croiser les échanges avec des sources autorisées
Dans un périmètre convenu, examinez les dossiers d’achat, les inventaires de logiciels approuvés, les autorisations accordées aux applications par les comptes professionnels et les extensions des navigateurs sur les appareils gérés. Les rapports de découverte d’applications infonuagiques ou de sécurité peuvent compléter le portrait. Leur couverture dépend toutefois du déploiement, des licences et des activités que l’organisation peut réellement observer. Un abonnement ne révèle pas quelles données ont été saisies; l’absence d’une entrée dans les journaux ne prouve pas qu’un outil n’a jamais été utilisé.
Ne transformez pas l’inventaire en surveillance clandestine du personnel. Faites participer les responsables de la protection des renseignements personnels, des ressources humaines et de la sécurité avant de recueillir des données d’activité. Définissez l’objectif, les accès, la durée de conservation et l’information communiquée au personnel. Évitez de recueillir par défaut le contenu des requêtes ou les renseignements de comptes privés. Les conseils du Commissariat aux entreprises sur l’IA et les principes canadiens de protection de la vie privée pour l’IA générative servent aussi à examiner votre propre démarche de découverte, pas seulement les outils recensés.
Associer l’usage, le compte et les données dans une même fiche
Pour chaque usage, consignez :
- L’outil, le fournisseur, la fonction et le type de compte, professionnel ou personnel.
- La tâche d’affaires, l’équipe et la personne responsable.
- Les catégories de données concernées, sans recopier les renseignements sensibles.
- Les systèmes connectés et les autorisations, y compris la possibilité d’exécuter des actions.
- La décision actuelle, les éléments à vérifier et la prochaine date de révision.
Distinguez « pas encore connu » de « non utilisé ». Deux équipes qui utilisent la même marque peuvent avoir des comptes, des conditions et des connecteurs différents. De même, l’approbation d’un outil pour rédiger des textes marketing publics ne vaut pas automatiquement pour des contrats clients ou des dossiers d’employés. Évaluez l’usage, et pas seulement le produit.
Traiter d’abord les décisions les plus importantes
Commencez par les usages qui touchent aux identifiants, aux renseignements personnels sensibles, aux documents clients confidentiels, aux connecteurs largement autorisés ou aux capacités d’action. Si une divulgation est possible, suivez la procédure de gestion des incidents sans attendre la fin de l’inventaire.
Attribuez une prochaine étape concrète à chaque usage : approuvé pour une fin définie, permis sous conditions, suspendu en attendant un examen ou remplacé par une solution approuvée. Précisez qui peut décider et qui aidera l’équipe à adapter sa façon de travailler. Avant de retirer une intégration, examinez ses accès, les éléments à conserver et la façon de révoquer les autorisations sans créer un autre problème. Effacer une conversation locale ne supprime pas nécessairement les données conservées par le fournisseur.
Pour les usages de Microsoft 365 Copilot, consultez la documentation propre au produit et examinez les autorisations existantes. N’appliquez pas ses engagements de protection des données d’entreprise à des outils sans lien ou à des comptes personnels.
Prévoir un inventaire qui restera utile
Conservez un registre unique des décisions et des responsables, plutôt qu’une liste de noms de produits que personne ne révise. Mettez-le à jour lorsqu’un fournisseur modifie ses conditions, qu’un produit ajoute des fonctions d’IA, qu’un connecteur est activé ou qu’une équipe change les données utilisées. Publiez une courte politique d’utilisation acceptable et un moyen visible de présenter une demande. Montrez ensuite au personnel comment s’en servir.
Vous obtiendrez une vue plus claire des usages connus, des questions ouvertes et des solutions approuvées. Ce n’est pas une preuve que tous les outils ont été repérés. Il s’agit de conseils généraux de préparation, et non de conseils juridiques; confirmez vos obligations en matière de confidentialité, d’emploi et de contrats auprès de personnes qualifiées.
Source: https://www.priv.gc.ca/en/privacy-topics/technology/artificial-intelligence/ai_business/. Conseils généraux de préparation; il ne s’agit pas de conseils juridiques.