Votre personnel utilise déjà l'IA. La seule question est de savoir où vont les données.

Combler le fossé de l'IA cachée

Demandez à un responsable de département combien d'outils IA son équipe utilise et vous obtiendrez un chiffre. Demandez-le anonymement aux membres de l'équipe, et vous obtenez un nombre encore plus élevé. Cet écart est ce que nous appelons l'IA cachée, et il ne s'agit pas d'un comportement marginal. Pour une grande partie des employés de bureau, c'est simplement la façon dont le travail est fait aujourd'hui, car personne ne leur a fourni de moyen sanctionné pour le faire.

Ce qui est réellement collé

Pas les choses triviales. Les gens n'ouvrent pas un chatbot pour vérifier l'orthographe d'un mémo. Ils l'ouvrent lorsque le travail est difficile et que la date limite approche.

Donc, ce qui est collé dans la boîte, c'est le projet de contrat de fourniture qui nécessite un résumé avant un appel à 16 heures. Le CV du candidat et les notes brutales de l'intervieweur, transformées en lettre de refus qui ne causera pas de problèmes. L'e-mail d'un client en colère contenant toujours le numéro de compte. Un tableau des marges du dernier trimestre par client, collé dans son intégralité pour que le modèle trouve le motif. Les journaux de production qui contiennent par hasard une clé API trois lignes plus bas. Le dossier du conseil d'administration, car quelqu'un voulait une version en anglais clair pour le matin.

Chacun de ces éléments est une décision raisonnable prise par un employé essayant de faire un bon travail. Ensemble, ils déplacent vos informations commercialement sensibles, les données personnelles de vos clients et occasionnellement vos identifiants actifs vers une infrastructure que vous ne pouvez pas voir ni contrôler.

Pourquoi l'interdiction ne fonctionne pas

La réponse habituelle consiste à bloquer les domaines et à envoyer un e-mail ferme. Cela ne fonctionne pas, et aggrave la situation d'une manière spécifique.

En bloquant le réseau de l'entreprise, l'activité se déplace vers les téléphones personnels, où vous n'avez aucune visibilité. Le travail est toujours fait avec l'IA, mais en dehors de tout ce que vous pouvez voir ou réguler. Pendant ce temps, les personnes qui respectent la politique effectuent les mêmes tâches plus lentement que celles qui l'ignorent, ce qui enseigne à tous quel comportement la société récompense réellement. Une interdiction transforme un problème gérable en une question invisible et coûte la productivité en échange.

L'exposition est contractuelle avant technique

Le véritable risque n'est rarement une violation spectaculaire. Il s'agit du papier.

Les niveaux grand public de la plupart des chatbots peuvent utiliser ce que vous tapez pour améliorer le produit ; les niveaux professionnels ne le font généralement pas. Cette distinction fait la différence entre une relation normale avec un fournisseur et un transfert non enregistré de données personnelles vers un traitementur auquel vous n'avez jamais nommé, sans accord de traitement de données, sans période de conservation définie et sans idée de la juridiction dans laquelle il se trouve. Vos propres contrats client interdisent de plus en plus cela, et beaucoup exigent désormais que vous mentionniez chaque sous-traitant manipulant les données de vos clients.

La pire chose est l'enregistrement. Lorsque qu'un grand client demande si ses informations ont traversé un système IA tiers, "nous ne le savons pas" est une réponse bien plus dommageable que "oui, dans ces conditions."

Offrez-leur une meilleure option

L'IA cachée est un signal de demande. Vos employés vous ont dit, par leur comportement, que cet outil les rend plus rapides. Le défi consiste à répondre à cette demande selon vos propres termes.

Une option sanctionnée ne fonctionne que si elle est aussi bonne que ce qu'ils utilisent actuellement et non plus contraignante d'accès. Cela signifie un niveau professionnel ou d'entreprise avec la formation sur vos entrées désactivée, l'authentification unique pour que les départs entraînent une perte d'accès, une conservation configurée intentionnellement plutôt que par défaut, et un accord signé que vous pouvez montrer à un client. Pour la bande étroite de matériel réellement restreint - dossiers médicaux, résultats non publiés, code sous NDA, privilège juridique - la réponse est un modèle fonctionnant sur du matériel que vous contrôlez, où les données ne quittent jamais le bâtiment.

Les premiers mois

Posez plutôt des questions qu'auditez. Un sondage anonyme demandant quels outils les gens utilisent et pour quoi vous renseignera plus en une semaine que l'analyse des journaux en un trimestre, et cela ne met personne sur la défensive.
Achetez un outil correctement. Choisissez le leader pour votre cas d'utilisation principal, prenez le niveau professionnel, désactivez la formation, mettez-le derrière l'authentification unique, et déployez-le à tous ceux qui en ont besoin.
Écrivez une page de règles en langage clair. Trois catégories - autorisé, demandez d'abord, jamais - avec des exemples concrets tirés de votre propre entreprise, pas de classes abstraites de données.
Désignez une personne pour la catégorie "demandez d'abord". Si "demander d'abord" n'a pas d'adresse, cela devient "faites-le quand même."
Formez les utilisateurs les plus lourds pendant une heure. Ils fixent les normes pour tout le monde.
Réévaluez au bout de 90 jours par rapport à ce que font réellement les gens.

L'objectif n'est pas d'éliminer complètement l'utilisation de l'IA en dehors de la liste approuvée. L'objectif est que rien de sensible ne quitte votre organisation sans un contrat derrière, et que vous puissiez le prouver avec des preuves.

Il s'agit de la partie la plus difficile de l'adoption de l'IA : le sondage, les conditions du fournisseur, l'inventaire fastidieux de ce qui a déjà quitté l'entreprise. Chez Hercules A, nous supportons ce poids pour nos clients, y compris les modèles privés et sur site pour le travail qui ne devrait jamais toucher un service public. Le travail acharné en vaut la peine.