Ce qu'on couvre aujourd'hui

Vous repartez avec une charte prête à signer et une liste d'outils à valider.

Shadow AI : votre vraie surface de risque

des salariés utilisent des outils d'IA non approuvés (étude 2025 relayée par SecurityWeek). Ce ne sont pas des pirates : ce sont vos meilleurs éléments qui veulent aller vite.

• Avril 2023, Samsung : 3 ingénieurs collent du code source confidentiel dans ChatGPT — aucune malveillance, juste la hâte
• Chez vous cette semaine ? Un devis scanné, un CV candidat, un litige client…

Ce qui part réellement dans un outil gratuit

• Tout ce que vous collez peut servir à entraîner le modèle (comptes gratuits grand public, par défaut)
• « Supprimé » ≠ effacé : des copies persistent dans les logs et backups du fournisseur
• Une fois parti, plus aucun rappel n'est possible — pas de bouton « annuler »
• Et le fournisseur peut changer ses conditions d'utilisation du jour au lendemain

L'enjeu n'est pas la technologie : c'est la frontière. Ce qui sort de l'entreprise sans cadre ne rentre plus jamais.

Exercice : votre shadow AI, en silence

• Sur un papier (que vous gardez) : notez un usage d'IA que personne n'a validé dans votre équipe
• Maintenant, classez-le : qu'est-ce qui a été collé ? Public, interne, sensible, interdit ?
• Personne ne sera sanctionné aujourd'hui — on cartographie, on ne chasse pas
• Gardez ce papier : il servira au bloc charte

À la fin de la matinée, ces usages auront soit une case dans la charte, soit une alternative validée.

Classer avant de régler : 4 zones

Cette grille tient en une page affichée près de la machine à café. C'est le cœur de la charte.

Exercice : classez ces 8 documents

• La fiche produit publiée sur le site web
• Le compte rendu du CODIR de lundi
• Un devis envoyé à un client nommé, avec ses montants
• Un CV reçu pour un poste de vendeur
• Le script de l'émission de radio d'hier (publique)
• La grille des salaires de l'atelier
• Un email de litige avec un fournisseur
• Une recette de cuisine (oui, vraiment)

En binômes : 🟢🟡🟠🔴 pour chaque ligne. Désaccords = les lignes intéressantes : on en fait des règles de charte.

La règle d'or, quand on hésite

Ne mettez dans un outil IA que ce que vous enverriez à votre concurrent.

• Si l'hésitation dure plus de 3 secondes : c'est probablement 🟠 ou 🔴
• Un cas flou se tranche avec le référent IA — et sa réponse devient une règle pour tous
• Mieux vaut une charte simple qu'on suit qu'une grille parfaite qu'on contourne

RGPD × AI Act : les deux textes se complètent

• RGPD : pas de données perso dans un outil qui pourrait les réutiliser — vérifiez les paramètres d'entraînement, préférez les offres « entreprise » contractuelles
• AI Act art. 4 : compétence suffisante des équipes = obligation depuis le 02/02/2025, PME incluses, sans exemption de taille
• Juillet 2026 : l'Omnibus (règlement 2026/1744) reporte le « haut risque » à fin 2027 — mais l'art. 4 reste pleinement applicable, et la supervision des autorités a démarré en août 2026
• Honnêteté : pas d'amende dédiée à l'art. 4 seul (sanctions jusqu'à 35 M€/7 % CA mondial sur les usages interdits ; pour une PME, le montant le plus faible s'applique) — mais un défaut de formation aggrave tout le reste

Règlement (UE) 2024/1689 ; CNIL pour la partie données perso. Détail et sources : docs/recherche-aiact-roi-2026.md.

Trois affaires, trois leçons

Aucune de ces entreprises n'était « nulle » — elles n'avaient pas de cadre. C'est exactement ce qu'on construit aujourd'hui.

Ce qu'un contrôleur vous demandera

• « Montrez vos preuves de formation » → attestations nominatives datées
• « Montrez votre charte d'usage » → 2 pages signées par chacun
• « Montrez votre registre des outils » → la liste courte de ce qui est autorisé
• « Que faites-vous en cas d'incident ? » → une procédure simple, connue de tous

Le contrôle dure 5 minutes si le dossier existe. Des heures s'il n'existe pas.

Écrire SA charte IA (le modèle est fourni)

Une charte de 2 pages vaut mieux qu'un pavé de 20 que personne ne lit. Signature de chacun = engagement, pas formalité.

Choisir ses outils : 5 questions avant d'acheter

• Nos données servent-elles à entraîner leurs modèles ? (contrat, pas brochure)
• Où sont hébergées les données, quelles sous-traitances ?
• Qui chez nous administre les comptes et révoque les départs ?
• Quel export si on arrête demain ?
• Prix réel par utilisateur actif — et pas par utilisateur théorique

Réponses écrites = 80 % du dossier fournisseur. Pas de réponse claire = outil non retenu.

Quand ça dérape : la procédure incident

• « J'ai collé un truc sensible par erreur » → prévenir dans l'heure, pas trois jours plus tard
• Celui qui déclare n'est jamais sanctionné — celui qui cache, si
• Le référent note l'incident dans le registre : date, outil, donnée, action faite
• Un registre même « presque vide » prouve que le sujet est pris au sérieux

La rapidité de déclaration est LA variable qui décide entre un incident bénin et une crise RGPD.

Votre dossier de conformité tient en 4 objets

• La charte signée (2 pages) — les règles que tout le monde connaît
• Les attestations de formation datées — la preuve art. 4
• La liste des outils autorisés avec leurs cadres d'usage
• Le registre des incidents — même vide, il prouve que le sujet est vivant

C'est exactement ce qu'un client, un assureur ou une administration demande le jour où ça coince.

Quiz — sur votre téléphone

• Le formateur affiche un code à 6 chiffres et un QR code à l'écran
• Scannez (ou ouvrez dev3.latenightgames.fr/app/) → « Rejoindre » → tapez le code
• 5 questions, une seule tentative chacune — répondez seul(e), c'est votre attestation
• Résultat immédiat sur votre écran + classement en direct

Pas de téléphone ? Version papier disponible — dites-le au formateur.