IA : quel cadre d’utilisation en entreprise et quels risques ?

La digitalisation des usages individuels et des processus des entreprises s’est accentuée avec la crise sanitaire et continue toujours de s’intensifier. L’irruption des outils d’IA générative est une autre révolution en cours et qui pourrait peser lourd : plus de 1 800 milliards de dollars dans le monde à horizon 2030, contre 95 milliards en 2021. Si l’on sent que la transformation numérique est inéluctable, l’adaptation des entreprises trouve encore de nombreux freins, entre manque de stratégie vis à vis des outils, nécessité de pragmatisme dans la frénésie IA, et besoin de sensibilisation à destination des collaborateurs.

IA générative : état des lieux dans les entreprises

Depuis la révélation de l’agent conversationnel ChatGPT (pour rappel, il s'agit d'un chatbot d'intelligence artificielle (IA) qui utilise le traitement du langage naturel pour créer un dialogue conversationnel semblable à celui des humains) par OpenAI au grand public le 30 novembre 2022, son utilisation, et celle de ses nombreux concurrents (Gemini, MidJourney, Claude, etc. pour ne citer qu’eux) a connu une hausse exponentielle, avec des usages très divers, qu’ils soient professionnels ou personnels.

Depuis un an et demi, la réalité des chiffres est très mouvante, et la banalisation réelle. Il est donc plutôt ardu d’en faire un portrait à un instant T, tant l’avenir est incertain concernant les futurs usages, contraintes, et ce que les entreprises souhaiteront mettre en place en termes de stratégies.

Nous pouvons néanmoins nous baser sur trois études qui concernent à la fois l’international, mais aussi les entreprises françaises, à la fois grandes, petites et moyennes.

Tout d’abord quelques chiffres issus d’enquête et sondages réalisés entre 2023 et 2024 auprès de grandes entreprises, comme de TPE/PME en France : l’une menée par Opinion Way et le groupe Dékuple ; l’autre par BPI France.

Pour les grandes entreprises, comme pour les TPE/PME l’adoption de l’IA générative est faible. Les chiffres montrent d’un côté comme de l’autre un pourcentage très pauvre. Néanmoins, à l’opposé des petites et moyennes entreprises, les grandes semblent convaincues d’une future implémentation de l’IA dans leurs systèmes avec des budgets à prévoir.

Ainsi, pour les 300 décisionnaires d'entreprises françaises de plus de 250 salariés interrogés, 93% d’entre eux considèrent l’intelligence artificielle générative (IAG), capable de créer du contenu, comme une vraie révolution. Pourtant, ils sont 39% à n’avoir entamé aucune réflexion ou à être seulement au stade de la réflexion sur le sujet. Comme le dit Bertrand Laurioz, PDG du groupe Dékuple, “90 % des personnes interrogées sont convaincues que quelque chose va se faire. Sauf que la plupart considèrent que ça va se faire demain, alors que, en réalité, c'est quelque chose qu'il faut déjà faire aujourd'hui"

L’étude souligne les différences organisationnelles : "Les petites entreprises se sont emparées plus rapidement du sujet parce que, de façon générale, elles ont des structures moins hiérarchiques". Un point qui pose problème pour permettre une adoption plein de succès, d’autant plus pour des acteurs qui doivent rester compétitifs. Le leadership et la conduite du changement sont des compétences qui ont une place de choix dans ce type de situation. A condition de vouloir investir dans le sang neuf, or : 33 % n'ont pas prévu de former leurs employés à l'IAG ; 43 % n'ont prévu aucune embauche liée à l'IAG.

Bpi France de son côté s’est penchée sur le rapport des TPE/PME à l’IA générative en questionnant entre le 16 novembre et le 5 décembre 2023, 3077 dirigeants. Les résultats sont très partagés : seuls 3 % des dirigeants de TPE/PME en font un usage régulier et 12 % un usage occasionnel. 72 % des dirigeants répondant à notre enquête n'utilisent pas ces outils par choix, n’en trouvant pas l’usage.

Celles qui l’utilisent sont davantage orientées vers des tâches de support telles que :

• Recherche, collecte et analyse de données ou d'informations (56 %) ;
• Génération de contenus écrits divers : mails, comptes-rendus, reportings, formations, etc. (54 %) ;
• Traduction (34 %) ;
• Génération de contenus visuels divers : posts pour les réseaux sociaux, images, sites internet, etc. (28 %).

L’étude précise que “les applications au cœur de métier, comme la participation à la création d’un nouveau produit ou la fourniture d’un service, sont peu répandues. Ces résultats ne doivent pas surprendre, car les entreprises n’ont pas toutes les moyens de Bloomberg”. Les auteurs ajoutent : “L’identification des besoins métier précis pour la création de cas d’usage n’est pas non plus une opération claire et simple. Et une fois les cas d’usage identifiés, la mise en œuvre peut requérir du temps.”

15 % des dirigeants utilisent les IA génératives, l’utilisation varie selon les secteurs et atteint 24 % parmi les dirigeants du secteur des services et 4% pour ceux du secteur de la construction. Les dirigeants de PME utilisent légèrement plus l'IA générative que les dirigeants de TPE (20 % contre 15 %) Les dirigeants de PME de plus grande taille se démarquent : ils sont 28 % à les utiliser. Il y a tout de même une curiosité envers ces technologies puisque 13 % des dirigeants veulent utiliser les IA génératives prochainement.

Un dernier rapport de l’entreprise Netskope dont les statistiques sont basées sur la période de treize mois allant du 1er juin 2023 au 30 juin 2024, comprend des millions d’utilisateurs dans des centaines d’organisations dans le monde entier dans plusieurs secteurs, notamment les services financiers, les soins de santé, l’industrie manufacturière, les télécommunications et la vente au détail. Les organisations incluses dans ce rapport comptent chacune plus de 1 000 utilisateurs actifs.

Depuis novembre 2022, une grande majorité d’organisations ont des utilisateurs utilisant un type d’application genAI. Ce chiffre n’a cessé d’augmenter, passant de 74 % en juin 2023 à 96 % en juin 2024. Le nombre d’applications genAI utilisées dans chaque organisation augmente considérablement, passant d’une médiane de 3 applications genAI différentes en juin 2023 à plus de 9,6 applications en juin 2024.

Non seulement les organisations utilisent davantage d’applications genAI, mais le nombre d’activités des utilisateurs avec ces applications augmente également. Bien que le pourcentage global d’utilisateurs utilisant les applications genAI soit encore relativement faible, le taux d’augmentation est significatif, passant de 1,7 % en juin 2023 à plus de 5 % en juin 2024, soit près du triple en 12 mois pour l’organisation moyenne. Même les organisations ayant un nombre d’utilisateurs par mois supérieur à la moyenne ont constaté une adoption significative de genAI d’une année sur l’autre : les 25 % des organisations les plus performantes sont passées de 7 % à 15 % en utilisant des applications genAI.

IA en entreprise : trop fort, trop vite ?

L'adoption est timide, il est vrai. L'engouement (voire l'emballement) actuel, et l'injonction, à ne pas rater le train en marche, eux, sont énormes. La révolution de l'IA générative est vécue comme le nouvel or noir, avec des inégalités entre les entreprises dès le départ de la course.

Une chose est certaine, l’IA est le présent et surtout le futur. D’abord générative (la plus médiatisée et utilisée actuellement par tout un chacun) : catégorie d'IA qui se concentre sur la création de données, de contenu ou de choses artistiques, de façon indépendante. Elle diffère de l'IA classique, qui se concentre, quant à elle, sur des tâches spécifiques telles que la classification, la prédiction ou la résolution de problèmes.)

Puis peut être générale : il s’agit d’un domaine de recherche théorique sur l'IA qui tente de créer des logiciels dotés d'une intelligence similaire à celle des humains et capables d'autodidacte. L'objectif est que le logiciel soit capable d'effectuer des tâches pour lesquelles il n'est pas nécessairement formé ou développé.

Tous les acteurs et citoyens doivent s’y préparer. Voilà le message que les autorités publiques et organisations privées font passer. Le ministère de l’économie par exemple nous présente les différents leviers qu’elle peut représenter pour la croissance et comment s’y former, sans oublier les aides à demander et les mises en garde sur l’utilisation à en faire.

Grégoire Miot, spécialiste de la Legaltech chez Wolters Kluwer, également Président du groupe international d’experts ELTA, interviewé par le Village de la Justice, expliquait que la population doit encore gagner en maturité : “On voit encore une décorrélation assez nette entre, d’une part l’usage qui est fait de l’IA générative, à titre presque récréatif pour un certain nombre de professionnels du droit qui y vont timidement, qui prennent "la température de l’eau", et d’autre part la réalité de la pratique au quotidien de ceux qui la déploient dans les organisations.” On a assisté à une “commoditisation” de l’IA générative mais sans pour autant que l’on comprenne encore l’ensemble des tenants et aboutissants de cette technologie.

Les experts eux-mêmes sont à l’image des chercheurs d’or du Far West. “Nous commençons tous à voir des cas d’usage, mais je pense que l’on n’a pas identifié encore clairement quels étaient les vrais avantages et cas d’usage qui allaient vraiment émerger.”

Dans un article publié dans Les Echos, était cité le podcast de la banque Goldman Sachs où était interviewé l’économiste Daron Acemoglu, professeur au MIT qui exprimait son scepticisme concernant les investissements pharaoniques sur l’IA : “Les 1.000 milliards de dollars dépensés au cours des prochaines années seront-ils payants ? », s’interrogeait la banque d’affaires. Une phrase prophétique laisse planer le doute : « L'IA pourrait s'avérer bien moins prometteuse que ne le pensent de nombreux chefs d'entreprise et investisseurs. » En effet, l’économiste soulignait que la révolution de l’IA ne sera probablement pas aussi rapide et impressionnante qu’on le croie.

Le piège du Shadow IA : l’IA Act en renfort ?

En gardant cette vision pragmatique de cette inéluctable mais lente transformation, il est tout de même nécessaire de se pencher sur les problématiques claires pour une implémentation réussie de l’IA générative dans les entreprises;

A commencer par la sensibilisation des entreprises à l'IA générative pour connaître leurs besoins, en faire un outil au service du business, et éviter les risques liés au Shadow IA. En effet, les dirigeants d’entreprises sont perplexes quant à l’utilisation qui peut être faite de ces systèmes et 10 % des dirigeants craignent une mauvaise utilisation par leurs collaborateurs. La solution est ainsi toute trouvée pour certains d’entre eux : l’interdiction pure et simple de ces systèmes.

Seulement, en réponse, parmi les 16 % des Français déclarant utiliser les IA génératives, 44 % le font dans le cadre professionnel et privé, et 68 % d’entre eux déclarent ne pas le dire à leur supérieur. C’est ce que l’on appelle le Shadow IA. Pour information, le terme “Shadow IA” désigne l'utilisation non autorisée, non contrôlée ou non documentée de technologies d'intelligence artificielle au sein d'une organisation, généralement par des employés ou des départements, sans l'approbation ou la supervision officielle du service informatique ou de la direction (définition donnée par l’IA générative Perplexity, une alternative très utile au moteur de recherche Google).

Adopter une attitude d’interdiction est ainsi une erreur à bien des égards : non seulement elle véhicule l’image d’une entreprise en retard, mais elle freine aussi l’innovation et réduit la productivité des équipes.

Le Club des Experts de la Sécurité de l'Information et du Numérique dans son 9ème baromètre annuel indique que 30 % des RSSI confirment que l’IA générative est bien utilisée par les métiers et les équipes de développement, mais qu’elle l’est sans recourir aux conditions de sécurité ad hoc. Ils sont même 43 % à déclarer que l’IA n’est pas utilisée « officiellement ». Seuls 16% l'ont intégré dans leur stratégie de cybersécurité. Cette adoption modérée incite les RSSI à considérer l'adaptation des solutions à la transformation numérique de l'entreprise comme leur principal défi à venir, avec un taux de 52%.

Comme la CNIL le rappelle sur sa page “Comment déployer une IA générative ?” : “du fait de leur nature probabiliste, ces systèmes sont susceptibles de générer des résultats inexacts qui peuvent, pourtant, paraître plausibles. Par ailleurs, leur développement nécessite un entraînement sur de larges volumes de données, lesquelles comportent souvent des informations sur les personnes physiques, ou données personnelles, de même que les données fournies lors de l’utilisation de ces systèmes. Il convient donc de prendre un certain nombre de précautions pour respecter les droits des personnes sur leurs données” et d’adopter une gouvernance éthique de l’utilisation de ces IA.

Netskope, entreprise spécialisée en cybersécurité, dans les guidelines de son rapport sur l’IA, soulignait l’importance d’une bonne gestion des risques. Elle rappelle que “l’accent doit être mis sur le risque lié aux données dans l’utilisation de l’application genAI, car les données sont au cœur des systèmes genAI” et les “utilisateurs sont toujours les acteurs clés dans la création et la prévention des risques liés aux données.” Le facteur humain est en effet généralement la cause de la plupart des problèmes technologiques dans les entreprises.

Des étapes spécifiques doivent être suivies pour limiter le plus possible les dangers :

• Connaissez votre état actuel : commencez par évaluer votre infrastructure d’IA existante, vos pipelines de données et vos applications genAI. Identifiez les vulnérabilités et les lacunes dans les contrôles de sécurité.
• Mettre en œuvre des contrôles de base : établissez des mesures de sécurité fondamentales, telles que des contrôles d’accès, des mécanismes d’authentification et le chiffrement. Ces contrôles fondamentaux constituent la base d’un environnement d’IA sécurisé.
• Planifier des contrôles avancés : au-delà des bases, élaborez une feuille de route pour les contrôles de sécurité avancés. Envisagez la modélisation des menaces, la détection des anomalies et la surveillance continue.
• Mesurez, démarrez, révisez, itérez : évaluez régulièrement l’efficacité de vos mesures de sécurité. Adaptez-les et affinez-les en fonction des expériences du monde réel et des menaces émergentes.

Elle ajoute que la vérification doit se faire en amont, auprès des fournisseurs d’IA, avec l’appui de la direction des systèmes d'information, de la direction juridique, et du Chief technology officer (s'il y en a un) en se renseignant sur leurs mesures de protection des données, leurs protocoles de cryptage et leur conformité aux réglementations en matière de confidentialité.

Par ailleurs, le cadre réglementaire européen pour sécuriser les données personnelles et les entreprises, intégrant le RGPD, le plus récent, l’IA Act, pour la régulation de l'intelligence artificielle, et des textes sur la propriété intellectuelle pour protéger les informations sensibles, devrait avoir un impact significatif sur la réduction de ce phénomène. L’IA Act est apparu car une mise à jour des standards de sécurité était nécessaire avec l’avènement de l’IA générative. Cela nécessitera une adaptation des pratiques actuelles et la mise en place de nouvelles politiques de gouvernance pour assurer la conformité tout en bénéficiant des avantages de l'IA.

Concrètement, l’IA Act définit plusieurs niveaux de risques :

• Les systèmes d’IA aux risques inacceptables : comme par exemple le scoring social, c’est-à-dire d’affecter un crédit social à chaque personne,
• Les systèmes d’IA à haut risque : qui touchent des domaines tels que l’éducation, la santé, ou les infrastructures critiques, et qui seront soumises différentes obligations de documentation, de gestion des risques et de sécurité,
• Les systèmes d’IA à risque modéré : qui doivent assurer une transparence dans leur fonctionnement.

L'IA générative comme ChatGPT représente un risque modéré, voire élevé. En effet, cette technologie peut contribuer à des usages abusifs ou détournés : manipulation de la population via la création de fake news, de deepfake ou de nudges (outil conçu pour modifier les comportements sous la forme d’une incitation). 

Chaque niveau de risque détermine un niveau de mise en conformité spécifique. Pour le risque élevé, la conformité nécessite un marquage CE, sorte de “label CE”; une déclaration de conformité ; un enregistrement dans la base de données de l'UE.

Ces nouveaux enjeux mettent la société, ses organisations et métiers, face à une impérieuse nécessité d’évolution. Cela implique de (se) poser la question de la formation pour rester à la fois compétitives (pour les entreprises) et employables (pour les talents, actuels et futurs).

La nécessité de sensibiliser les collaborateurs, et les citoyens

Comme le souligne l'étude de Bpi France, "les IA génératives peuvent être utilisées dans tout secteur pour des tâches intellectuelles, toutes les fonctions support et opérationnelles peuvent utiliser les IA génératives, avec des impacts notables dans la communication, le marketing et la vente. Au niveau sectoriel, des impacts importants sont à prévoir dans la technologie, la santé et l’éducation."

Tous remplacés ? Assurément pas pour l'institution puisque "les IA Génératives ne vont pas détruire des emplois mais plutôt transformer en profondeur les métiers et les organisations. Il faudra encore plus de cerveaux et d'esprit critique pour en tirer le plein potentiel." Ce qui nous amène à la question de l'enseignement et de la formation à ces outils.

Côté formation continue, l’impact de l’IA et des données sur les métiers par exemple du droit, amène à une hybridation des compétences : technologiques et juridiques. L’organisation Le Juriste de Demain a par exemple publié un livre blanc sur les nouveaux métiers du droit, pour offrir un “tour d’horizon sur la réalité du monde professionnel en dévoilant les opportunités et les défis liés à l'adoption des nouvelles technologies dans le monde du droit, ainsi que les compétences et les connaissances nécessaires pour évoluer au sein des environnements juridiques en pleine transformation”. Des formations (gratuites ou payantes) existent sur les IA génératives ou bien pour avoir une spécialisation sur l’éthique du numérique et de l’utilisation des données personnelles (le digital ethics officer), comme celle de l'EDHEC business school. Un complément recherché par les juristes pour s'ouvrir de nouvelles compétences et donc de nouvelles responsabilités.

Cette sensibilisation aux nouvelles compétences est essentielle pour les entreprises, sans quoi ce serait la porte ouverte à une perte de compétitivité. Pour les futurs collaborateurs, il y a un également un enjeu important puisqu’il s’agit de comprendre comment les nouvelles générations vont s’acculturer à ces outils tout en maintenant un niveau de rigueur et d’éthique forts. Dans l’optique d’un accroissement de l’utilisation clandestine des outils de l’IA, les juristes en collaboration avec les équipes tech seront en première ligne pour anticiper et gérer les risques juridiques et techniques liés à l’IA.

Ceci dit, une problématique pointe le bout de son nez, que l’on peut déjà retrouver dans l’essor des deepfakes : quid de l’esprit critique face à l’IA ? Combien d'entre nous se sentent en mesure de déceler une image ou une vidéo entièrement générée par l'IA ? Combien d'entre nous le sont-ils réellement ?

La question met sur la table le sujet des impacts de l’IA dans notre société et comment cette dernière s’y adapte. Il s’agit bien d’une révolution, du long terme, mais qui doit nous faire réagir dès maintenant. Les autorités publiques ont pris les devants en mettant en place une initiative : le Café IA. Comme l’explique le Conseil National du Numérique, le “Café IA se propose d’assurer une mise en réseau au service du lien social, offrant des ressources pour comprendre l’IA et nos technologies numériques plus largement, des contacts de structures nationales et locales qui participent à animer ce dialogue permanent et des idées de formats et initiatives.” L’objectif est clair : “créer les conditions d’une appropriation collective de l’IA et de ses enjeux afin de définir collectivement les conditions dans lesquelles elle s’insère dans notre société et nos vies quotidiennes.”

L’éducation sous toutes ses formes doit donc se mettre au diapason de l’IA. Il s’agit également de l’école où l’utilisation des IA génératives explose, pour des usages qui confinent parfois à la tricherie, comme l’indique l’école Polytechnique dans son article “Tricher ou “chatter” : ChatGPT est-il une menace pour l’éducation ?” D’autant que comme le rappelle l’école dans un autre article “Démystifier l’IA générative : le vrai, le faux et l’incertain” : “Il faut bien garder à l’esprit qu’une IA générative ne vise pas à livrer la vérité, mais à maximiser une vraisemblance, à partir de ses données d’entraînement. Elle fait quelquefois émerger de fausses corrélations entre les mots. De plus, si les données d’entraînement contiennent des erreurs ou des biais, le système les reproduira sans aucun doute. Il ne cherche, de toute façon, pas à savoir si l’information fournie est exacte ou sourcée !”

Une autre étude récente réalisée auprès de près de 200 élèves publiée par l'école Narratiiv et présentée sur BFM TV par Damien Douani, enseignant en IA, responsable de l’innovation pédagogique, montrait que "80 % des répondants citent spontanément ChatGPT comme outil IA. On peut dire que Open AI a réussi son pari pour l'imposer comme la référence. 1/3 y voit un danger pour leur futur mais 20 % ne savent pas et attendent de voir, notamment pour les élèves journalistes. S'ils connaissent bien les deepfakes, tout ce qui est conception des LLM, et l'enseignement des bases de données en tant que soft power, ils ne connaissent pas."

L’esprit critique, l'éthique, encore une fois, est la principale arme du citoyen, à n’importe quel moment de sa vie. Il l’est d’autant plus dans un monde incertain où la manipulation des sens, et des médias peut se faire avec des outils de plus en plus perfectionnés et à très grande échelle.

Les dynamiques actuelles, que ce soit via l'essor de ces nouvelles technologies, l'encadrement règlementaire et ses enjeux (régulation vs innovation), les échéances politiques qui arrivent (présidentielle américaine en 2024, présidentielle française en 2027), nous inscrivent dans une ère VUCA ("Volatility, Uncertainty, Complexity and Ambiguity). La capacité à s'adapter, à impulser un leadership clair et humaniste, et à garder l'esprit critique et ouvert, seront peut-être les boussoles du futur pour les organisations et les personnes.

Qu'en pensez-vous ?