IA souveraine et gouvernance : reprendre le contrôle de l’intelligence artificielle en entreprise

Reprendre le contrôle de l’IA en entreprise, c’est décider où vont vos données et qui peut faire quoi avec ces outils, au lieu de le découvrir après coup. La souveraineté porte sur l’hébergement et le droit applicable ; la gouvernance, sur les règles d’usage et leur suivi. Ensemble, elles permettent de donner à vos équipes une IA utile sans laisser des contrats ou des données clients partir vers des services que personne n’a choisis.

L’IA est déjà dans l’entreprise, qu’on le veuille ou non

Depuis deux ans, des collaborateurs copient des extraits de contrats, des données clients ou des chiffres confidentiels dans des outils d’IA grand public. Personne ne le leur a demandé, et personne ne le leur a interdit. Cette zone grise porte un nom : le shadow AI, c’est-à-dire l’usage d’outils d’IA hors de tout cadre de l’entreprise. Pour une direction de la sécurité, le sujet est sérieux.

Interdire ne fonctionne pas. Les équipes y trouvent un vrai gain de temps et continueront par un autre canal, sur leur téléphone par exemple. Laisser faire ne fonctionne pas davantage : les données sortent du périmètre, sans trace de qui a partagé quoi, et certains services peuvent, selon leurs réglages, s’en servir pour entraîner leurs modèles.

Il existe une troisième voie : donner aux équipes une IA aussi pratique que les outils publics, mais choisie et encadrée par l’entreprise. Le reste de la démarche en découle.

Ce qu’on appelle une IA souveraine et gouvernée

Les deux mots désignent deux choses distinctes, qu’il vaut mieux ne pas confondre.

• Souveraine : les données sont stockées et traitées dans un périmètre que vous avez choisi, par exemple en France ou dans l’Union européenne, chez un fournisseur dont le droit applicable vous convient.
• Gouvernée : l’usage est encadré. Vous savez qui pose quelles questions, à quel modèle et avec quelles données, et vous pouvez fixer des règles différentes selon les services.

On peut avoir l’une sans l’autre : un outil européen sans aucun suivi n’est pas gouverné, et un outil américain bien administré reste soumis à son droit d’origine. Si le choix de l’outil est votre question immédiate, le comparatif des alternatives souveraines à Microsoft Copilot passe en revue les options.

Le confort pour les équipes, le contrôle pour la sécurité

L’erreur classique consiste à opposer ces deux besoins. Les équipes veulent de la rapidité et de la simplicité. La sécurité veut de la traçabilité et de la conformité. Un outil bien choisi répond aux deux : le collaborateur a un assistant relié à ses vrais documents, le responsable sécurité a un journal des usages et des règles adaptées à chaque service. Si l’outil officiel est moins pratique que l’outil public, les équipes reviendront à l’outil public.

Une cartographie des agents et des coûts

La difficulté monte d’un cran avec les agents, ces programmes d’IA qui ne se contentent pas de répondre mais déclenchent des actions et traitent des données. Sans inventaire, l’entreprise ne sait plus lesquels tournent ni ce qu’ils touchent. Il faut donc pouvoir les recenser, voir les données auxquelles chacun accède, suivre leurs coûts et être alerté en cas de dérive.

La démarche, étape par étape

1. Recensez les usages réels. Demandez aux équipes quels outils elles utilisent et pour quoi faire, sans menacer de sanction. Sinon, vous n’aurez que des réponses de façade.
2. Classez vos données. Quatre niveaux suffisent pour commencer : public, interne, confidentiel, réglementé (santé, paie, données personnelles sensibles).
3. Décidez d’un périmètre par niveau. Une donnée publique peut aller presque partout. Un fichier client ou un contrat stratégique n’ira que dans l’outil validé pour cela.
4. Mettez un outil officiel à disposition. Choisissez-le d’après les usages recensés à l’étape 1, et reliez-le aux documents dont les équipes ont besoin.
5. Écrivez des règles courtes par service. Une page suffit : ce qui est permis, ce qui est interdit, qui contacter en cas de doute. Le juridique et les opérations n’ont pas les mêmes besoins.
6. Vérifiez les droits d’accès à vos documents. Un assistant relié à vos fichiers respecte les permissions en place : si une bibliothèque SharePoint est trop ouverte, il le révélera.
7. Tracez les usages. Conservez un journal utile pour un audit, avec une durée de conservation décidée à l’avance, car ce journal contient lui aussi des données personnelles.
8. Inventoriez les agents et suivez les coûts. Nommez un responsable pour chaque agent et fixez un budget, pour éviter la facture surprise.
9. Revoyez le tout régulièrement. Les outils et les usages changent vite : prévoyez un point à date fixe plutôt qu’une charte oubliée dans un dossier.

Ce que demandent le RGPD et l’AI Act

Le RGPD s’applique dès qu’une donnée personnelle entre dans l’outil, quel que soit le fournisseur : vous devez savoir pourquoi vous traitez ces données, où elles vont et combien de temps elles restent. Aucun outil n’est conforme à votre place. Le fournisseur peut vous y aider, mais la responsabilité de vos usages reste la vôtre.

L’AI Act, le règlement européen sur l’IA, classe les usages selon leur risque. L’omnibus numérique, publié au Journal officiel de l’UE le 24 juillet 2026, a repoussé les obligations des systèmes à haut risque au 2 décembre 2027 pour ceux de l’annexe III, comme le recrutement, le crédit ou l’éducation, et au 2 août 2028 pour l’IA intégrée à des produits. Ce délai ne dispense pas d’agir : l’inventaire de vos usages sert aussi à savoir si vous êtes concerné.

Si votre entreprise est déjà sur Microsoft 365

Une bonne partie de la gouvernance existe déjà dans vos outils, à condition de l’activer :

• Les permissions : Copilot n’affiche que les données auxquelles l’utilisateur a au moins un droit de lecture.
• L’entraînement : Microsoft indique que les requêtes, les réponses et les données de Microsoft Graph n’entraînent pas ses modèles de fondation.
• La conservation : Microsoft Purview permet de consulter les échanges avec Copilot et de leur appliquer des stratégies de rétention, comme l’explique la page sur les données et la confidentialité de Copilot.
• Les agents : quand vous créez des agents avec Copilot Studio, l’administration propose un inventaire, un accès par rôles et des limites de consommation par agent.
• Les environnements : les solutions de la Power Platform permettent de tester un agent à part avant de le mettre en service.

Soyons clairs sur la limite. Ces réglages traitent la gouvernance et une partie de la localisation, pas la juridiction : Microsoft reste une entreprise américaine. Si ce point est bloquant pour certains fichiers, il faut un périmètre séparé pour ceux-là, pas forcément pour tout le reste.

Une situation type : une foncière d’une centaine de salariés

Imaginons une foncière dont les juristes et les gestionnaires ont pris l’habitude de résumer des baux et de rédiger des courriers avec des outils publics. Les données sont confidentielles, il n’y a ni trace ni règle.

En suivant la démarche, elle recense ces usages, classe les baux en « confidentiel » et décide qu’ils ne passent plus que par un assistant interne, relié à la base documentaire et hébergé dans le périmètre retenu. Les courriers types et les recherches générales restent libres. Les juristes gardent leur gain de temps, et la direction sait enfin où passent ses informations sensibles. Le travail le plus long n’est pas technique : c’est de se mettre d’accord sur ce qui est confidentiel.

Ce que vous pouvez faire seul, ce qu’il vaut mieux confier

Le recensement des usages, le classement des données et la première version des règles se font très bien en interne, et ce sont eux qui comptent le plus. Il vaut mieux confier la suite à un expert quand l’assistant doit se relier à vos applications métier, quand plusieurs directions ont des règles différentes, ou quand vous traitez des données réglementées. La page sur les assistants IA créés avec Copilot Studio montre ce que peut donner un tel projet dans l’environnement Microsoft. Pour le volet juridique, votre délégué à la protection des données ou votre conseil reste l’interlocuteur.

Questions fréquentes

Qu’est-ce que le shadow AI ?

C’est l’usage d’outils d’IA par des collaborateurs sans validation de l’entreprise, le plus souvent avec un compte personnel. Le risque n’est pas l’outil lui-même, mais le fait que des données sensibles en sortent sans trace. Le remède le plus efficace est de proposer un outil officiel aussi pratique.

Faut-il interdire les outils d’IA grand public ?

Une interdiction seule fonctionne mal, car les usages passent alors sur des appareils personnels. Il vaut mieux fixer ce qui ne doit jamais y entrer, comme les données clients ou les contrats, et fournir une alternative validée. L’interdiction garde son sens pour des données réglementées précises.

Une PME est-elle vraiment concernée ?

Oui. Une PME manipule elle aussi des données clients, des contrats et des informations stratégiques, et le RGPD s’applique à elle. La démarche peut rester légère : un recensement, une page de règles et un outil officiel couvrent déjà l’essentiel du risque.

Une IA souveraine oblige-t-elle à quitter Microsoft ?

Non. Beaucoup d’entreprises peuvent garder Microsoft 365 et réserver un périmètre séparé à leurs fichiers les plus sensibles. La bonne question n’est pas « quel fournisseur pour tout », mais « quel outil pour quel niveau de données ».