Il a interdit l'IA dans son entreprise. Par peur. (2/3)

Deuxième volet d'une trilogie de réflexions née au PULCCI Innov', à Annecy. Le premier parlait de sur-mesure ; celui-ci parle de la peur, et de ce qui la dissout vraiment.

Je l'ai croisé lors d'un atelier au PULCCI Innov'. Dirigeant d'une PME industrielle, la cinquantaine, le genre d'entrepreneur solide qui a bâti son entreprise à la force du poignet. Il a accepté de raconter son histoire devant la salle, et elle m'a marqué parce qu'elle est, je crois, celle de beaucoup de dirigeants en ce moment.

L'histoire d'un revirement

Au début, il fait confiance. Il laisse ses salariés utiliser l'IA librement dans leur travail. Pas de consigne particulière, pas de cadre formel — juste l'intuition que ces outils peuvent les aider. Et de fait, l'élan est là. Les équipes s'en emparent, gagnent du temps, explorent.

Puis, un soir, une conversation avec un ami. Celui-ci, plus au fait des questions juridiques, lui lance une phrase qui va tout changer : « Et si l'un de tes salariés fait une mauvaise manipulation ? S'il envoie des données confidentielles dans un outil, en cas de fuite, c'est toi le responsable. »

Le lendemain, il interdit tout. Net. Plus d'IA dans l'entreprise.

Et quelques semaines plus tard, il est là, au PULCCI, assis dans cet atelier. Pourquoi ? Pour une raison simple, et profondément juste : comprendre, et se former.

Car au fond, il a senti quelque chose. Que cette interdiction brutale n'était pas une stratégie. C'était un réflexe. Un mouvement de recul face à un terrain qu'il ne maîtrisait pas.

Interdire l'IA ne protège de rien

Soyons clairs : sa peur n'était pas absurde. La question de la responsabilité est réelle. Un salarié qui copie un fichier client, un contrat, une fiche de paie dans un outil grand public mal configuré, c'est un vrai sujet de confidentialité et de conformité. Le dirigeant a raison de s'en préoccuper.

Mais l'interdiction est une fausse solution. Pour une raison que tout dirigeant honnête finit par admettre : vos équipes continueront à utiliser l'IA.

Pas au bureau, pas sur les outils de l'entreprise. Mais sur leur téléphone personnel, sur leur compte privé, le soir, pour avancer plus vite sur un dossier. Discrètement. C'est ce qu'on appelle le « shadow AI » — l'IA de l'ombre. Et c'est exactement ce que l'interdiction provoque : non pas la disparition de l'IA, mais sa migration hors de tout contrôle.

Autrement dit, en interdisant, le dirigeant n'élimine pas le risque. Il l'aggrave. Il le pousse dans l'angle mort, là où il ne peut plus ni le voir, ni l'encadrer, ni le piloter.

Le vrai danger, ce n'est jamais l'IA. C'est l'IA sans cadre.

La peur vient du flou

Si l'on regarde bien, ce dirigeant n'avait pas peur de l'IA en elle-même. Il avait peur de ce qu'il ne connaissait pas. De cette zone grise où il ne savait pas répondre aux questions simples : que deviennent mes données quand un salarié les saisit dans un outil ? Lesquels sont sûrs, lesquels ne le sont pas ? Qu'ai-je le droit de faire, qu'est-ce qui m'expose ?

La peur naît toujours du flou. Et le flou ne se dissipe pas en fermant la porte. Il se dissipe en allumant la lumière.

C'est tout l'enjeu. Là où l'interdiction laisse le dirigeant dans le noir — privé d'un outil de productivité majeur, et toujours exposé via le shadow AI —, la compréhension lui rend la main. Elle transforme une angoisse diffuse en décisions claires.

La question de la responsabilité, posée correctement

Puisque c'est par la responsabilité que tout a basculé, prenons-la au sérieux. Un dirigeant est effectivement comptable de la manière dont les données de son entreprise et de ses clients sont traitées. Le RGPD ne disparaît pas parce qu'on utilise une IA — au contraire, il s'y applique pleinement.

Mais cette responsabilité ne se traite pas par l'interdiction. Elle se traite par un cadre. Un cadre qui répond à des questions concrètes : quels outils sont autorisés et lesquels ne le sont pas ? Où sont hébergées les données qu'ils traitent ? Le prestataire signe-t-il un accord de traitement des données ? Le sous-traitant IA est-il lui-même conforme ? Que peut-on saisir, que doit-on ne jamais saisir ?

Ces questions ont des réponses. Et c'est précisément le rôle d'une approche structurée, alignée sur les exigences des normes reconnues — ISO 42001 pour le management de l'IA, ISO 27001 pour la sécurité de l'information. Non pour brandir un label, mais pour disposer d'une méthode éprouvée qui transforme un risque subi en risque maîtrisé.

Le dirigeant qui comprend cela ne ferme plus la porte. Il met en place des règles, choisit ses outils, forme ses gens. Il dort mieux non pas parce qu'il a interdit, mais parce qu'il a cadré.

La bonne séquence : le dirigeant d'abord, puis les équipes

Si je devais résumer la marche à suivre, elle tiendrait en deux temps, et dans cet ordre précis.

D'abord, on forme le dirigeant. Pas pour qu'il devienne expert technique, mais pour qu'il comprenne ce qui se joue : ce que l'IA fait de ses données, où sont les vrais risques, quelles règles poser, quels outils retenir. Un dirigeant qui comprend peut décider. Il pose le cadre, et il l'assume en connaissance de cause. C'est lui qui tient la lampe.

Ensuite, on forme les équipes. Une fois le cadre défini, on outille les collaborateurs : règles claires, outils validés, périmètre explicite de ce qui est permis. Là, l'élan initial — celui que le dirigeant avait laissé naître au début — peut repartir, mais cette fois sur des rails sûrs.

C'est l'inverse exact de ce qui se passe trop souvent, où l'on déploie un outil aux équipes sans que le dirigeant lui-même n'ait saisi les enjeux. On ne construit pas une maison en commençant par le toit.

Ce que ça change concrètement

Chez Arborys IA, c'est pour cette raison que la formation n'est pas un produit séparé, mais le prolongement naturel de l'audit. L'audit cartographie votre terrain et vos risques ; la formation vous donne, à vous dirigeant puis à vos équipes, les clés pour avancer en confiance dans ce terrain.

Le dirigeant que j'ai rencontré au PULCCI a eu le réflexe le plus sain qui soit : face au flou, il n'est pas resté seul avec sa peur. Il est venu chercher à comprendre. C'est exactement comme cela qu'une crainte se transforme en maîtrise — et qu'un frein devient un levier.

La peur ne se lève pas en fermant la porte. Elle se lève en allumant la lumière. Et lui avait déjà la main sur l'interrupteur.

Dans le troisième et dernier volet de cette trilogie, j'irai explorer une autre frontière : celle du sens. Une interprète, croisée dans un autre atelier, m'a fait une remarque qui ne m'a plus quitté — sur ce que l'IA traduit, et sur ce qu'elle ne saisit pas encore.

---

Et chez vous ?

Si vous hésitez aujourd'hui entre laisser faire et tout interdire, c'est probablement que personne ne vous a encore aidé à poser le cadre. C'est exactement là que commence le travail.

La première étape, chez Arborys IA, c'est l'audit IA : un état des lieux complet de vos usages, de vos risques et de vos opportunités, suivi d'un rapport personnalisé reçu sous 48 à 72 heures, validé humainement. De là découle, si vous le souhaitez, la formation du dirigeant puis des équipes.

[Faire mon audit IA — 240€ HT / 250 CHF HT]

L'IA augmentée par l'humain. Toujours.

— Dominique Ryon, fondateur d'Arborys IA