Comme à chacune des révolution technologiques récentes, l’usage BtoC devance largement l’usage BtoB et le problème de l’import des IA en entreprise n’est pas sans conséquences.
Le plus souvent d’ailleurs, les applications d’IA ne passent ni par les RH ni par l’IT.
Viuz s’est penché sur les droits et les devoirs du BYOAI ou du Shadow AI au bureau.
L’usage de l’IA comme tout autre logiciel doit être encadré par une charte informatique car, au sein de l’entreprise, son utilisation anodine en apparence peut contrevenir à plusieurs dispositions légales de confidentialité des données qu’il s’agisse de RGPD et ou de confidentialité des datas clients.
L’usage de l’IA doit faire l’objet d’une déclaration auprès des représentants du personnel. Ses règles d’usage (et ses consignes d’usage ou de non usage) doivent être inscrites dans le règlement intérieur.
Il convient également de procéder à une classification précise des données qui seront autorisées ou non à nourrir des réflexions sur IA publiques et donc destinées à des serveurs américains ou chinois.
À cet égard, la pratique pour les moyennes et grandes entreprises est de passer, de plus en plus, par des licences d’IA entreprises ou des accès IA via API sécurisés censées garantir explicitement dans leurs contrats une non-réutilisation des données. Idéalement, tout achat d’Outil d’IA ne doit pas se faire sans une validation préalable de la DSI, du Responsable de Sécurité des Système d’information et du DPO (délégué à la protection des données).
Il faut savoir également que l’article 4 de l’EU AI Act (entré en vigueur depuis le mois d’août 2024) impose aux entreprises un devoir d’ AI Litteracy c’est-à dire que les entreprises ont une obligation de formation aux outils d’intelligence artificielle. Celle-ci peut se décliner sur plusieurs niveaux : compétences nécessaires, risques (hallucination, fuite de données), éthique d’usage (anonymisation des données clients) sans oublier un processus qualité de vérification des solutions ou textes fournis par les IA.
Les risques d’utilisation de Shadow AI
Depuis la généralisation des usages de l’IA depuis trois ans, les cas de Shadow AI désastreux (c’est-à dire d’usage d’outils d’IA sans prévenir et sans accord de la direction informatique) se sont multipliés.
De nombreux cas de dérapage d’IA non répertoriées ont déjà été documentés par le passé et ont déjà touché de grandes entreprises comme une fuite de code source chez un géant des télécom, de données clients chez un gendarme de la bourse, de données santé de patients mis en ligne par erreur chez des acteurs de la pharma, d’injections de prompts clandestin (extrayant les données de CB clients par exemple) ou de bases de données détruites par des agents IA un peu trop zélés ( ou devenus “rogue” c’est à “rebelles, autonomes ou incontrôlables” du jour au lendemain.
À qui profite le Shadow AI ? Chaque nouvel usage fait naître de nouveaux besoins en sécurité. Cette année les sociétés spécialisées en DLP (Data Protection Loss) comme Zscaler, Paolo Alto Networks,NetsKope ou CloudFlare tirent leur épingle du jeu. Même chose pour les acteurs de la DPSM (Data Protection System Management) comme Rubrik ou Veronis ou encore les sociétés d’Identity Management ou de controle des accès comme Okta, Crowdstrike ou Sail Point .
Les premiers bénéficiaires de l’IA ne sont pas ceux que l’on imaginait.
Photo de Sasun Bughdaryansur Unsplash
