L’IA sur des comptes d’entreprise, pas sur des comptes personnels.

Des comptes d’entreprise plutôt que des comptes personnels

Le risque lié à l’IA le plus courant dans une petite entreprise n’est pas une fuite de données. C’est un collaborateur qui colle une liste de clients, un contrat ou du code source dans un compte ChatGPT personnel, sur lequel l’entreprise n’a aucune visibilité, aucun contrôle de conservation et aucun moyen de supprimer ces données lorsque cette personne s’en va.

ChatGPT Business, l’offre anciennement vendue sous le nom de ChatGPT Team, et ChatGPT Enterprise règlent l’essentiel du problème. OpenAI indique que, par défaut, les données professionnelles de ces offres ne servent pas à entraîner ses modèles. Les administrateurs disposent d’une console avec analyses de l’espace de travail, paramètres d’identité et d’accès, autorisations et rôles, contrôles de conservation et authentification unique SAML ; Enterprise ajoute la vérification de domaine, le provisionnement SCIM et une API de conformité pour les journaux d’audit. Nous configurons l’espace de travail, le relions à votre identité Microsoft Entra ou Google, décidons qui obtient une licence, puis fermons les comptes personnels de manière ordonnée : les données dont les gens ont besoin sont transférées, le reste est supprimé.

Les offres Claude Team et Enterprise d’Anthropic fonctionnent de la même manière. Par défaut, le contenu ne sert pas à l’entraînement des modèles, les deux offres prennent en charge l’authentification unique, et Enterprise ajoute SCIM, la capture de domaine, les journaux d’audit, l’accès basé sur les rôles et une API de conformité. Si vos ingénieurs, juristes ou analystes préfèrent Claude, nous le mettons en place avec la même rigueur plutôt que de le tolérer dans l’ombre.

L’IA au cœur des données dont vous disposez déjà

Gemini pour Google Workspace et Microsoft 365 Copilot sont différents d’une simple fenêtre de chat. Ils lisent les e-mails, les fichiers et les conversations qu’une personne a déjà le droit d’ouvrir, ce qui signifie qu’ils font aussi remonter tout ce qui a été partagé trop largement au fil des ans.

Côté Google, nous passons en revue les autorisations Drive, les Drive partagés qui ont proliféré sans contrôle, les paramètres par défaut de partage de liens et le partage externe avant que quiconque n’active Gemini, et nous menons d’abord un pilote avec un petit groupe.

Côté Microsoft, nous réalisons un bilan de préparation à Copilot : où se trouvent vos données, qui peut les ouvrir et ce qui apparaîtrait dès le premier jour. Ensuite, nous nettoyons le partage excessif dans SharePoint et OneDrive, en commençant par les RH, la finance et le juridique, appliquons les étiquettes de confidentialité Microsoft Purview afin que les contenus confidentiels le restent même lorsque Copilot peut les voir, et mettons en place la prévention des pertes de données pour que personne ne puisse coller ou envoyer ce que la politique interdit. Un locataire dont les autorisations sont correctes est plus sûr, que vous achetiez un jour une licence Copilot ou non.

Perplexity, Meta AI, Mistral Le Chat et Grok

Vos collaborateurs ne s’arrêteront pas à quatre outils, nous non plus. Pour chaque outil, nous répondons aux trois mêmes questions : existe-t-il un compte professionnel avec contrôles d’administration, en avez-vous besoin, et que doivent savoir ceux qui continuent d’utiliser la version gratuite ?

• Perplexity : apprécié des équipes commerciales et de recherche. Perplexity Enterprise Pro et Enterprise Max ajoutent SSO et SCIM, gestion des utilisateurs, journaux d’audit et conservation configurable des fichiers, et Perplexity indique ne pas entraîner ses modèles sur les données de ses clients entreprise. Nous faisons passer les gros utilisateurs sur l’espace de travail entreprise et laissons les utilisateurs occasionnels sous la politique.
• Meta AI : intégrée à WhatsApp, Instagram et Facebook. Les conversations WhatsApp personnelles restent chiffrées de bout en bout et ne sont pas consultées par Meta AI, mais tout ce qu’une personne envoie à Meta AI est reçu par Meta. Dans les entreprises où WhatsApp constitue le principal canal de communication avec la clientèle, nous établissons une règle claire : Meta AI ne doit pas être utilisée pour les données clients, les contrats ou les informations financières, et les conversations professionnelles doivent se dérouler via les outils WhatsApp Business que votre entreprise contrôle.
• Mistral Le Chat : Mistral est une entreprise française, ce qui est important pour les acheteurs en Allemagne et dans le reste de l’UE. Le Chat est disponible en versions Free, Pro, Team et Enterprise ; la version Team ajoute un accès basé sur les rôles et une facturation centralisée, tandis que la version Enterprise ajoute l’authentification unique SAML, des journaux d’audit, une gestion centralisée des utilisateurs et la possibilité de l’exploiter en auto-hébergement ou dans un cloud privé. Pour les entreprises qui souhaitent faire appel à un prestataire européen soumis à la législation européenne, il s’agit d’une option sérieuse que nous mettons en place en conséquence.
• Grok : l’assistant de xAI, intégré à X. La version grand public est liée à un compte X personnel ; elle figure donc sur la liste « pas pour les données de l’entreprise », à moins que votre entreprise n’ait mis en place l’un des espaces de travail professionnels ou entreprise de xAI, avec licences et contrôles d’organisation.

Une politique d’utilisation de l’IA que les utilisateurs respecteront, et une IA privée lorsque cela s’avère nécessaire

La plupart des politiques d’IA font trois pages et personne ne les lit. La nôtre tient sur une page : les outils et comptes approuvés, les données qui n’entrent jamais dans un outil d’IA, la manière dont les résultats de l’IA sont vérifiés avant d’atteindre un client, et à qui s’adresser. Nous la rédigeons avec vous, l’adaptons au RGPD en Europe et aux lois locales sur la protection des données telles que la Ley 1581 en Colombie, et la tenons à jour à mesure que les outils évoluent.

Certains travaux ne doivent aller vers aucun service d’IA public : affaires juridiques couvertes par le secret, résultats financiers non publiés, données de patients, code source sous contrat. Pour ces cas, nous mettons en place une IA privée ou auto-hébergée, soit un modèle ouvert tournant sur du matériel ou un cloud que vous contrôlez, soit un déploiement entreprise sans conservation des données, et nous documentons où les données sont traitées afin que vous puissiez le montrer à un délégué à la protection des données ou à un client.