Il n’y a presque jamais de mauvaise intention. Il y a une personne compétente, une échéance, et un outil gratuit qui fait en dix secondes ce qui prendrait une heure. Le fichier est collé, la réponse est excellente, le travail avance. Le problème n’apparaît que plus tard, quand il faut expliquer où sont allés les renseignements.
Trois situations vues partout
Le résumé du dossier client. Un long échange de courriels, avec des noms, des montants et parfois des renseignements sensibles, collé dans un outil grand public pour en tirer un résumé.
La reformulation d’une plainte. La réponse doit être diplomate, alors on colle la plainte telle quelle, avec le nom et la situation de la personne, pour obtenir une version plus douce.
Le tri de la liste. Un fichier de contacts ou de patients à nettoyer, collé en entier pour être trié, dédoublé ou reformaté.
Pourquoi c’est un enjeu de conformité, pas seulement de sécurité
Au Québec, la Loi 25 encadre la communication de renseignements personnels à un tiers, y compris à un fournisseur situé à l’extérieur du Québec. Coller un fichier client dans un service en ligne, c’est communiquer ces renseignements. Cela suppose une évaluation préalable, une base légale, et un encadrement contractuel.
À cela s’ajoute un risque plus terre à terre : ce qui sort de l’organisation ne revient jamais. Un compte personnel utilisé au travail, un historique conservé, un collègue qui quitte avec son compte : la trace échappe complètement à votre contrôle.
Ce qui ne fonctionne pas
Interdire. Une interdiction générale déplace l’usage vers les téléphones personnels, où vous ne voyez plus rien. L’usage clandestin est pire que l’usage encadré.
Rédiger une politique de quinze pages. Elle sera approuvée, classée, et jamais lue.
Ce qui fonctionne
- Une règle mémorisable. « Rien qui identifie une personne, rien qui appartient à un client, rien qui n’est pas déjà public. » Trois lignes, affichées, répétées.
- Un outil approuvé. Donner une option officielle avec un compte d’organisation, plutôt que de laisser chacun improviser avec le sien.
- Une technique d’anonymisation. Montrer comment remplacer les noms par des rôles et les montants par des ordres de grandeur avant de coller un texte. Le résultat reste utile, le risque disparaît.
- Une question de validation. Toute sortie d’un outil d’IA reste une proposition : qui vérifie, avec quelle source, avant qu’elle ne parte au client.
- Une porte ouverte. Un canal pour déclarer un usage, sans conséquence. C’est ainsi qu’on découvre ce qui se passe vraiment.
Une organisation qui sait ce que son monde colle dans l’IA a un problème gérable. Une organisation qui l’ignore a un problème invisible.
Dans nos mandats, cette question arrive presque toujours dans les trois premiers irritants soulevés par les équipes. Elle se règle rarement par une règle de plus, et presque toujours par une conversation franche suivie d’un encadrement court.