Vous avez interdit l'IA au travail. Vos équipes s’en servent quand même.

Le scénario est toujours le même. Un incident, une inquiétude sur les données clients, une question d'un juriste, et la direction tranche vite : on bloque les outils d'IA générative sur le réseau, on envoie une note, on considère le risque traité.

Quelques semaines plus tard, le travail continue exactement comme avant. Sauf qu'il se fait sur un téléphone personnel, dans un compte gratuit ouvert à titre privé, avec un copier-coller du document qui n'aurait jamais dû sortir. L'usage n'a pas disparu. Il est devenu invisible.

C'est la mécanique la plus mal comprise du sujet. Un collaborateur qui gagne deux heures sur une synthèse ne renonce pas à ces deux heures parce qu'une note le lui demande. Il déplace l'outil, pas le besoin. Et il le déplace là où l'organisation ne voit plus rien : hors du système d'information, hors de tout journal, hors de toute règle.

Le résultat est paradoxal. L'entreprise qui a interdit se croit protégée, alors qu'elle est dans la situation la moins défendable de toutes : l'usage existe, il porte sur des données réelles, et aucune décision écrite ne dit ce qui était permis. En cas de contrôle, d'incident ou de litige, il n'y a rien à produire.

Le débat s'est enfermé dans un choix binaire qui n'existe pas. Une direction n'a pas à choisir entre le laisser-faire et le blocage : ces deux options ont le même défaut, elles évitent la seule chose qui compte, la décision collective sur ce qui est permis, par qui, avec quelles données.

Renversez la question. Dans votre organisation, qui a le droit de dire qu'une IA peut traiter un dossier client ? Qui vérifie ce qu'elle produit avant diffusion ? Qui peut tout arrêter au nom des données personnelles ? Et où est écrit que cette règle a été posée, discutée, validée ? Tant que ces rôles ne sont pas tenus, ni l'autorisation ni l'interdiction ne vous protègent.

L'interdiction n'est pas une erreur de jugement, c'est un réflexe compréhensible face à un sujet qui va vite. Le problème, c'est qu'elle traite l'IA comme un logiciel à bloquer, alors que c'est une pratique de travail à cadrer. On ne bloque pas une pratique par une note, on la gouverne par une décision.

C'est le principe du Cockpit CadrIA : sur une matinée, avec un vrai sujet de l'entreprise, l'équipe pilote l'IA sous protocole, pose ses interdits et repart avec la règle écrite, le plan d'action et le journal des arbitrages. La méthode M.A.U.F.R.A.S. impose la phase Sécuriser avant toute production, pour que le cadre existe avant l'usage, et non après l'incident.