Auteur : Nicolas Côté, Chef de pratique en cybersécurité — Solulan
Nicolas Côté accompagne les PME et les grandes organisations dans la protection de leurs environnements technologiques et la gestion des risques liés à la sécurité de l’information. Reconnu pour sa capacité à vulgariser des enjeux complexes, il guide les organisations vers des pratiques sécuritaires et une adoption responsable des nouvelles technologies, dont l’intelligence artificielle.
L’intelligence artificielle s’intègre progressivement dans les entreprises, souvent sans qu’un cadre officiel ait été établi. Dans de nombreuses PME, les employés adoptent déjà des outils d’IA pour rédiger des messages, analyser des données, créer du contenu ou simplifier des tâches répétitives. Cette adoption spontanée reflète la valeur réelle que l’IA peut apporter à la productivité et à la prise de décision.
Toutefois, l’utilisation informelle, et surtout non encadrée, de ces outils comporte des risques importants. Plusieurs plateformes d’IA grand public conservent les informations qui leur sont soumises, qu’il s’agisse de textes, de fichiers, de données clients ou de renseignements internes. Dans certains cas, ces données peuvent être stockées dans des pays où les règles en matière de confidentialité diffèrent considérablement de celles en vigueur au Canada.
Pour une PME, cela représente un défi non seulement en termes de sécurité, mais aussi de conformité, particulièrement en lien avec la Loi 25 au Québec.
Un risque sous-estimé : l’IA utilisée sans gouvernance
Lorsque chaque employé choisit son propre outil d’IA, souvent gratuit et téléchargé en quelques secondes, l’entreprise perd rapidement la capacité de savoir où circulent ses informations. Les pratiques de confidentialité diffèrent d’une plateforme à l’autre, tout comme l’emplacement d’hébergement des données. À cela s’ajoute le fait que les requêtes des utilisateurs contiennent fréquemment des données sensibles, parfois à leur insu.
La multiplication des outils augmente donc le risque de fuite ou de perte de contrôle.
Par ailleurs, l’IA se base sur les accès déjà accordés aux employés. Si les privilèges ne sont pas correctement configurés, un employé peut, par inadvertance, obtenir de l’IA des renseignements qu’il ne devrait pas consulter, simplement parce que les permissions internes lui permettent d’y accéder. Ce phénomène a été démontré dans des exemples concrets où l’IA pouvait répondre à des questions sensibles lorsque les accès étaient trop larges.
Encadrer l’IA : une démarche simple qui protège votre organisation
La solution ne consiste pas à limiter l’utilisation de l’IA, mais plutôt à l’encadrer de façon structurée et cohérente. Quelques mesures bien ciblées suffisent pour assurer la sécurité des données et profiter pleinement des avantages de l’IA en entreprise.
1. Choisir des outils adaptés aux besoins des PME
Les plateformes d’IA professionnelles, comme Microsoft Copilot dans sa version Entreprise, offrent une meilleure protection des données. Elles garantissent notamment que :
- les données ne servent pas à entraîner le modèle ;
- les fichiers, requêtes et informations restent dans l’environnement Microsoft 365 de l’entreprise ;
- les politiques de confidentialité respectent des normes strictes (SOC 2, ISO 27001, etc.) ;
- les accès sont gérés à partir de votre système existant.
Ce type d’outil réduit le risque de fuite et permet de respecter les exigences de conformité, y compris celles liées à la Loi 25.
2. Définir une politique interne d’utilisation de l’IA
Une politique IA n’a pas besoin d’être complexe pour être efficace. Elle devrait préciser :
- les outils officiellement autorisés dans l’entreprise ;
- l’utilisation attendue des employés (traiter les données, aider à rédiger des courriels, produire des rapports, etc.) ;
- les types d’informations qui peuvent être fournis à l’IA ;
- les données à exclure absolument (salaires, dossiers RH, données financières, informations clients sensibles) ;
- les responsabilités de chacun en matière de confidentialité.
Une politique bien définie aide à limiter les risques tout en conservant une flexibilité d’usage.
3. Revoir les accès et permissions avant la mise en place de l’IA
Puisque l’IA se fonde sur les accès de l’utilisateur, une structure de permissions bien établie est essentielle. Il est recommandé de :
- appliquer le principe du moindre privilège ;
- segmenter les espaces et dossiers en fonction des rôles ;
- vérifier les partages externes encore actifs ;
- renforcer la sécurité des identifiants grâce à l’authentification multifactorielle (MFA).
Ces mesures simples, mais déterminantes, réduisent grandement les risques de divulgation involontaire.
4. Sensibiliser et former les employés
Une formation de base permet d’éviter une grande partie des situations à risque. Elle peut couvrir :
- la reconnaissance des données sensibles ;
- les bonnes pratiques à adopter avec l’IA ;
- la rédaction de requêtes claires et sécuritaires ;
- la vérification des résultats générés par l’IA.
Former les équipes permet non seulement d’améliorer la sécurité, mais aussi d’optimiser les bénéfices que l’entreprise peut tirer de l’IA.
Exemples d’impact dans des entreprises comparables
Certaines organisations ayant structuré leur utilisation de l’IA ont observé des gains concrets. Par exemple :
- Une PME manufacturière d’environ 120 employés a réduit de près de 30 % le temps nécessaire aux communications clients après l’adoption d’un outil d’IA professionnel et la mise en place d’un audit des accès.
- Un groupe multi‑sites d’environ 800 employés a pu accélérer son cycle de clôture financière d’une journée et demie grâce à une politique IA, au blocage des outils non approuvés et à la consolidation des pratiques internes.
Ces résultats démontrent que la productivité augmente lorsque l’IA est adoptée de manière sécuritaire et réfléchie.
Conclusion : une innovation à maîtriser pour mieux la valoriser
L’IA représente une occasion importante pour les PME d’améliorer leur efficacité, de réduire les tâches répétitives et de soutenir la croissance. Toutefois, son utilisation libre et non encadrée expose l’organisation à des risques de confidentialité, de conformité et de sécurité.
En choisissant une plateforme d’IA adaptée, en définissant une politique claire, en révisant les accès et en offrant une formation de base aux employés, il est possible d’intégrer l’IA de façon sécuritaire et durable. Ces mesures simples permettent à votre PME de tirer pleinement parti de l’innovation tout en protégeant ses données et en respectant les exigences réglementaires en vigueur.
Solulan accompagne les entreprises dans cette démarche en offrant des audits, des conseils, du soutien à la gouvernance et des services d’intégration TI adaptés aux besoins et à la réalité des PME.
— Nicolas Côté
Chef de pratique cybersécurité, Solulan
