Découvrez Le Brief de l'IT, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des data, de l'IT, de la digitalisation et de la transformation numérique !
Lorsque j’interviens sur une seule journée dans une PME, une association ou encore un établissement culturel, on me pose souvent une question assez évidente "Comment pouvons-nous nous adapter à l’IA ?". La mauvaise nouvelle, c’est que cela nécessite généralement beaucoup plus qu’une journée de formation. La bonne, c’est que ces adaptations sont sans doute plus managériales que technologiques. Et c’est un technophile qui vous le dit.
Commençons par le constat : que vous le vouliez ou non, l’utilisation de l’IA est déjà certainement omniprésente au sein de votre service. Ce que l’on appelle le shadow AI se déploie déjà partout (rappelons que notre pays se situe parmi les plus gros utilisateurs de ChatGPT en Europe). On le trouve notamment sous la forme de pièces jointes envoyées par e-mail sur une adresse personnelle afin qu’un outil IA bloqué au travail puisse se déployer tranquillement à la maison. Ensuite, on se contente de relire tranquillement le résultat obtenu, avant, parfois, de le corriger…
Lire aussi : L'administration s'interroge face aux usages non encadrés de l'IA
Le shadow AI est un symptôme
Parmi vos collègues se trouvent certainement des profils ayant une utilisation très avancée d’outils d’IA payants, ce dont ils se gardent bien de se vanter au risque de passer pour des tricheurs (ce qu’ils ne sont pas) ou d’autres ne respectant pas les consignes de cybersécurité (ce qu’ils sont).
Si l’on compare l’intégration d’outils IA dans le monde du travail au déploiement des ordinateurs personnels dans les années 70/80, l’inversion est assez flagrante : rares étaient ceux qui pouvaient alors se payer le PC sur lequel ils travaillaient tous les jours au bureau, tandis qu’aujourd’hui, rares sont ceux qui retrouvent au travail la puissance et la flexibilité des outils qu’ils peuvent utiliser chez eux.
Le shadow AI n’est pas un problème en soi : il n’est que le symptôme de l’incapacité d’une organisation à proposer à ses membres des outils adaptés. Ceux que Lévi-Strauss qualifiait de bricoleurs se retrouvent avec des outils incroyablement puissants dont ils apprennent à bien se servir, mais cette connaissance (qui pourrait servir à tous) se retrouve donc bloquée.
Libérer la parole sur les usages
Car l’une des premières choses que je retrouve également lors de mes formations est la mise en place de charte, d’outils dédiés fermés et parfois de gardiens indiquant quel usage est légitime ou pas. Ces approches (quoique compréhensibles dans un cadre RH traditionnel) ne permettent pas de libérer la parole sur les usages. Prenons un exemple : j’ai déjà vu des chartes interdisant de faire produire par une IA ce qu’un humain peut réaliser. Pourtant, le principe même de ces outils est justement de nous imiter. Une personne ayant commencé à bien utiliser un service ne sera donc pas incitée à partager son expérience.
Il faut donc cadrer, mais pas trop, tout en réussissant à reconnaître des compétences qui n’existent pas encore vraiment dans les descriptifs des postes. Le tout dans un climat suffisamment apaisé permettant à ceux qui ont pris quelques libertés de décrire les bonnes pratiques qu’ils ont pu explorer.
Lire aussi : L'IA, un plaisir coupable, trop souvent consommé en cachette
Des outils vraiment sûrs ?
Pas simple ? Non, et ce n’est que le début, car les fournisseurs de solutions n’ont pas attendu que vous vous mettiez en ordre de bataille pour déployer leurs outils. Et cela ajoute une couche supplémentaire de complexité : la fameuse dette technique (c’est-à-dire la différence entre la capacité à opérer une solution et la capacité à comprendre ce qu’elle fait réellement). Concrètement, lorsqu’un agent commence à interagir avec vos dossiers, écrit du code, puis l’exécute afin de créer des documents, de passer des commandes ou de superviser un pipeline de traitement, êtes-vous vraiment certain de savoir ce qu’il fait ? Il existe parfois un fossé entre ce qu’il vous indique et ce qui se passe vraiment sous le capot. Les problèmes d’alignement ne sont pas juste un problème philosophique.
Imaginons que votre service informatique ait "classiquement" verrouillé les postes professionnels : impossibilité d’installer ou de mettre à jour quoi que ce soit, accès interdit à ChatGPT, Claude, Gemini ou Manus, le tout sans possibilité de s’envoyer un fichier en pièce jointe. Bien que tout ait été cadenassé, c’était sans compter Codex, présent sur le Microsoft Store, et qui peut donc s’installer sans aucun souci. Une fois sur le bureau et connecté à un compte classique, il est tout à fait à l’aise pour traiter ce que vous voulez et notamment de créer un petit serveur lui permettant d’envoyer tout ou partie de vos fichiers sur le web et de détruire, au passage, trois mois d’archives. C’est arrivé il y a quelques semaines à une entreprise de location de voiture. Dans la même veine, une responsable de la cybersécurité de Meta a vu son agent IA détruire l’ensemble de ses e-mails (et vider la corbeille) en direct sur Telegram. Répétons-le, ces outils ne sont pas sûrs, même s’ils sont très tentants.
Évidemment, ces exemples sont extrêmes (et probablement rares, au regard du nombre d’utilisateurs), mais le problème demeure : on ne sait pas vraiment comment empêcher un LLM de commencer à faire n’importe quoi.
Fournir un vrai cadre et de vrais outils
Alors, que faire ? La solution la plus évidente serait de tout bloquer, mais vous risquez aussi de pénaliser ceux de vos collaborateurs qui ont réussi à trouver des cas d’usage vraiment pertinents (et qui, du coup, seront tentés de trouver le moyen de continuer à s’en servir ou d’aller vendre leurs nouvelles compétences ailleurs). À ma connaissance, le mieux est encore de fournir un vrai cadre et de vrais outils : identifiez les bricoleurs, fournissez des outils adaptés (la totalité des fournisseurs de chatbot IA proposent maintenant des solutions professionnelles conformes au RGPD, ce qui n’est pas le cas des plans "premiums" individuels) et demandez-leur de vous aider à former vos équipes.
Notez que ces outils doivent être au moins aussi efficaces et ne sous-estimez pas l’importance d’avoir accès à une interface adaptée. Toutes les solutions d’IA ne devraient pas comporter de chatbot, même si c’est maintenant la porte d’entrée "classique". Fournir un correcteur orthographique amélioré ne dispense pas de donner accès à un plus gros modèle, même si c’est le cas d’usage que vous avez décidé d’adresser en premier. On a déjà vu des "relecteurs" bien promptés aider à la réécriture d’un dossier, parce que c’est ce que leurs utilisateurs leur demandaient de faire…
Lire aussi : Shadow AI : les risques sous-estimés pour la sécurité des organisations
Déployer des solutions adaptées
Enfin, ne sous-estimez pas la complexité nécessaire pour déployer des solutions qui vous sont adaptées : ce qui marche ailleurs peut ne pas être adapté du tout à votre situation. Par exemple, les services de RAG basés sur des graphes de connaissances sont très puissants. Pourtant, sans connaissance métier pour construire lesdits graphes, les temps de traitement (et les coûts) ont vite tendance à exploser.
Un dernier conseil pour vous aider à bien préparer votre rentrée : chaque modèle de langage possède ses forces et ses faiblesses et il est très complexe de déterminer lequel est le plus adapté à une situation donnée. Il est, en revanche, très facile (pour peu qu’on prenne un peu de temps pour tester en profondeur) de se rendre compte qu’un seul modèle déployé partout sera sûrement moins performant que plusieurs modèles répartis à différents endroits au sein de services bien (in)formés…
Cédric Limousin
[Formateur et consultant IA]
