Le problème de gouvernance des données liées à l’IA que les responsables des opérations ne peuvent pas ignorer
Demandez à cinq personnes de définir la « gouvernance des données » et vous obtiendrez cinq réponses différentes. Tim Fisher, vice-président IA chez DPM, n'en est pas surpris. « Je ne sais pas s'il existe vraiment une définition établie que chaque entreprise [utilise] », explique-t-il. « Pour certains, cela signifie que l’équipe juridique leur dit ce qu’ils peuvent ou ne peuvent pas faire, et dans d’autres parties de l’organisation, cela signifie des choses très différentes. »
Pour les besoins de cet article, nous l'utilisons comme le fait Fisher lorsqu'il est poussé à la définir précisément : la couche politique et juridique de qui peut accéder aux données, avec quel consentement, sous quelles règles — sans se demander si les données elles-mêmes sont exactes, à jour ou bien organisées. Cette seconde question existe, mais c'est une discipline différente, avec ses propres solutions ; nous la traitons ailleurs. Ici, il s'agit de la question politique, et pourquoi elle ne peut être différée.
Où le terme s’applique réellement : l’intersection entre le juridique et l’opérationnel
Quand Fisher restreint la définition, il la situe dans un endroit spécifique de l’organigramme. « Je pense à la gouvernance des données en termes de politiques et de principes », précise-t-il — et dans une grande entreprise, il la situe précisément : « L’espèce de chevauchement, dans le diagramme de Venn, entre le juridique et l’opérationnel des données. »
Déverrouillez gratuitement
Créez un compte gratuit pour terminer la lecture de cet article et rejoindre une communauté de leaders innovants qui accèdent à des outils, des méthodes et des idées pour prospérer à l’ère de l’IA.
Have an account? Log In
Je considère la gouvernance des données principalement sous l’angle des politiques et des principes. L’espèce de chevauchement, dans le diagramme de Venn, entre le juridique et les opérations de données.
Ce chevauchement n’est pas abstrait. Fisher évoque une raison bien plus ancienne, et très concrète, pour laquelle les entreprises bâtissent ces structures dès l’origine : la législation sur les valeurs mobilières. « Aux États-Unis, la Securities and Exchange Commission fixe des règles extrêmement strictes sur ce qui peut ou ne peut pas être communiqué ou partagé, pour des raisons évidentes liées au délit d’initié, entre autres », explique-t-il.
« C’est donc une raison pour une entreprise d’avoir une gouvernance des données. » Il relie cela directement au stade de croissance de l’entreprise : le passage du privé au public est souvent le moment où la gouvernance cesse d’être optionnelle, car des consultants extérieurs sont sollicités spécifiquement pour mettre en place des structures légalement obligatoires pour une société cotée.
C’est le point qu’il faut bien saisir en priorité : la gouvernance existe comme exigence légale stricte bien avant l’apparition de l’IA. Ce qui a changé, c’est la rapidité et l’étendue du risque — et c’est là que le sujet devient urgent pour les responsables des opérations aujourd’hui.
Pourquoi l’IA rend ce sujet plus urgent pour les responsables opérationnels
Les entreprises ont toujours géré des données qu’elles ne devaient pas divulguer à la légère. La nouveauté, c’est la facilité avec laquelle il est désormais possible de les partager sans même qu’on le décide consciemment. L’exemple le plus parlant de Fisher concerne un réglage que la plupart des employés n’ont jamais remarqué : « Le petit bouton qu’ils n’ont jamais vu, caché cinq couches plus loin dans la page des paramètres, qui accorde à OpenAI ou Anthropic l’accès à toutes ces données pour former leurs algorithmes », dit-il. Nul besoin de vouloir divulguer quoi que ce soit. Il suffit que l’option par défaut ne soit pas décochée.
C’est le mécanisme derrière la plupart des échecs de gouvernance à l’ère de l’IA : des équipes « introduisant » des informations propriétaires ou des données RH dans des LLM « sans comprendre » à quoi elles ont consenti, parce qu’aucune couche politique n’a été construite pour l’anticiper. Fisher est catégorique sur le fait qu’il ne s’agit pas d’une erreur rare — « nous avons tous entendu des récits effrayants de code source transmis aux mauvaises personnes. Cela peut arriver. »
La tension est structurelle, et non due à un simple manque de prudence. « Vous vous retrouvez dans cette position délicate où vous êtes en pleine croissance », note Fisher. « Vous ressentez le besoin de mettre quelques règles, mais vous ne voulez pas trop brider vos équipes. » Chaque responsable opérationnel qui équilibre l’adoption de l’IA et la sécurité se situe exactement dans cette zone — et l’IA n’a pas créé le risque juridique sous-jacent, elle a simplement rendu possible de le déclencher, à grande échelle, via un menu de paramètres que personne n’a lu.
Vous vous retrouvez dans cette position délicate où vous êtes en pleine croissance. Vous ressentez le besoin de quelques règles, mais vous ne voulez pas trop entraver vos équipes.
Où les responsables opérationnels sont réellement exposés
Les principaux domaines de préoccupation pour les responsables des opérations sont :
- Données personnelles des employés. Les plans d’effectifs, dossiers RH et informations de performance peuvent se retrouver dans la fenêtre contextuelle d’un outil d’IA sans que quiconque ait réellement consenti à leur présence.
- Informations financières et à divulgation sensible. Les informations importantes non publiques, les données de résultats et tout ce qui pourrait déclencher des préoccupations de divulgation auprès de la SEC si elles étaient divulguées ou parvenaient à la mauvaise personne au mauvais moment.
- Informations propriétaires et sensibles à la propriété intellectuelle (y compris le code source). Il s’agit d’un risque pur de contrôle d’accès et de confidentialité — distinct de la réglementation sur les valeurs mobilières — mais reposant sur le même mécanisme sous-jacent que tout autre choix par défaut non contrôlé dans l’IA.
- Données de projets clients. Les informations propriétaires des clients traitées via des outils d’IA sans clarté contractuelle ou de consentement présentent la même exposition, même sans violation spécifique enregistrée à ce jour.
La plupart des entreprises n’ont rien de tout cela
En dépit des enjeux, Fisher affirme sans détour que de nombreuses organisations n’ont même pas de politique en la matière. « Beaucoup d’organisations n’ont tout simplement aucune gouvernance des données, » dit-il.
Il a observé ce phénomène sous deux angles. Dans une grande entreprise plus établie, il a vu la gouvernance « prise très au sérieux sur une longue période », au point de devenir de plus en plus conservatrice — et de plus en plus difficile à assouplir. Les petites entreprises en forte croissance rencontrent le problème inverse : non pas trop de prudence, mais aucune, accentuée par la pression d’aller vite.
Ce qu’il faut retenir pour les responsables de la livraison
Vous n’avez pas besoin de mettre en place un véritable cadre de gouvernance pour faire un premier pas. Commencez par une action simple et concrète : allez vérifier dans un menu de paramètres. L’exemple du bouton d’activation de Fisher existe vraiment et se trouve facilement : découvrez si les outils d’IA de votre organisation sont configurés pour s’entraîner par défaut sur vos données, et qui en a autorisé le principe. C’est une discussion que vous pouvez entamer cette semaine, pas un projet à part entière.
Il reste cependant à prendre en compte la véritable tension que soulève Fisher : limiter l'accès n’est pas automatiquement un choix plus sûr. « Même dans les organisations où les données sont facilement accessibles, elles sont souvent toujours considérées comme propriétaires, même sans nécessité, » explique-t-il — et verrouiller systématiquement les accès peut coûter à l’entreprise autant que les laisser ouverts, mais de manière moins visible. « Vous ne commencerez à évoluer que lorsque vous changerez qui a accès aux données dans votre organisation. » Une bonne gouvernance ne consiste pas seulement à limiter l’accès — mais à confier les bonnes données aux bonnes personnes, de façon intentionnelle.
Même dans les organisations où les données sont facilement accessibles, elles sont souvent toujours considérées comme propriétaires, même quand ce n’est pas nécessaire.
En pratique, cela veut dire prendre quelques mesures concrètes, pas rédiger un classeur de procédures :
- Lancez la conversation dès maintenant, avant qu’un incident ne l’impose. Demandez quelles équipes utilisent déjà des outils d’IA, et de quelle manière — la plupart des responsables des ops sont à la traîne simplement parce que personne n’a posé la question.
- Priorisez l’examen des outils utilisés à l’échelle de l’organisation. Pour toutes les plateformes d’IA autorisées à l’échelle de l’entreprise, vérifiez la configuration par défaut sur les données d’entraînement, ainsi que qui a une visibilité sur ce qui transite par ces outils.
- Ne négligez pas l’utilisation d’outils personnels ou non officiels. Le plus gros risque vient souvent de l’outil d’IA que personne n’a approuvé — comme quelqu’un qui colle des notes de client dans son compte personnel ChatGPT parce que l’outil homologué est trop lent. Identifier ce cas n’est pas une question de sanction, mais de connaître votre exposition réelle.
- Lancez l’examen des accès dans la même discussion, pas séparément. Pendant que vous vérifiez les réglages par défaut et l’utilisation d’outils IA, demandez-vous qui restreint l’accès à des données qui n’ont pas besoin de l’être. Verrouiller une porte tout en laissant une autre grande ouverte, ce n’est pas de la gouvernance, c’est du théâtre.
- Formez les équipes à reconnaître les données sensibles, pas seulement à suivre le règlement. La plupart des employés n’ont jamais reçu la consigne de se demander ce qui constitue une donnée sensible — détails clients, dossiers RH, informations financières — ou ce qu’il pourrait se passer si ces informations aboutissaient dans un outil non réglementé. Une politique qui énumère ce qu’il ne faut pas faire importe moins qu’une prise de conscience réelle du risque.
Aucune de ces actions n’oblige à ralentir les équipes pour bien faire : il s’agit de savoir où vont vos données, qui en a décidé ainsi, et si cette décision est toujours d’actualité.
Vous souhaitez recevoir plus de conseils comme ceux-ci ? Créez un compte DPM gratuit pour lire d’autres interventions d’experts.
