Comment construire une directive d'usage de l'IA en entreprise — fuites Samsung, EU AI Act et un modèle à sept points prêt à déployer

En avril 2023, Samsung Electronics a divulgué des données confidentielles via ChatGPT trois fois en 20 jours — code source de semi-conducteur, code de correction d'équipements défectueux et transcription complète d'une réunion interne — tout cela envoyé sur les serveurs d'OpenAI à l'instant même où les employés l'ont collé, impossible à récupérer. Samsung a immédiatement banni ChatGPT, Bing et Bard dans toute l'entreprise. JPMorgan, Goldman Sachs, Citi, Bank of America et Wells Fargo ont déployé des interdictions similaires dans la même fenêtre.

Trois ans plus tard, « l'interdire » ne fonctionne plus en 2026. Les employés utilisent ChatGPT sur leur téléphone, les ingénieurs codent avec Claude Code, le marketing construit des présentations dans Gemini — interdire ne fait que générer du shadow AI (usage non autorisé). De plus, les règles sur les systèmes à haut risque de l'EU AI Act entrent pleinement en vigueur le 2 août 2026, et les infractions sont passibles de sanctions allant jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial. Vous ne pouvez ni interdire, ni ignorer. La seule voie qui reste est « fixer un cadre par une directive et activement permettre un usage sûr ».

Ma position d'emblée. « Personne ne lit un PDF épais de directives » a l'air juste, mais c'est une fausse conclusion. Le but d'une directive n'est pas d'être lue — c'est de rendre les responsabilités explicites en cas d'incident et de graver dans la tête des employés le minimum non négociable. Cet article couvre les sept points requis, les cinq catégories de données interdites en entrée, l'échéance de l'EU AI Act, la feuille de route en cinq phases et les pièges — le tout avec le détail pratique dont vous aurez besoin en mai 2026.

1. Avril 2023 — Samsung a banni l'IA en 20 jours

La séquence est simple. En mars, la division semi-conducteurs de Samsung a autorisé l'usage interne de ChatGPT. Au cours des 20 jours suivants en avril, trois fuites confidentielles se sont succédé. (1) L'employé A a collé le code source complet d'une base de données de semi-conducteurs défectueuse dans ChatGPT et a demandé une correction. (2) L'employé B a fait de même avec du code de correction pour des équipements de fabrication défectueux. (3) L'employé C a collé une transcription complète de réunion interne et a demandé un compte rendu. Les trois, à cet instant, ont atteint les serveurs d'OpenAI et peuvent avoir été utilisés comme données d'entraînement.

Samsung a immédiatement bloqué ChatGPT, Bing et Bard sur tous les appareils appartenant à l'entreprise, et sur les appareils personnels lorsqu'ils étaient connectés au réseau d'entreprise. À peu près au même moment, les grandes firmes financières — JPMorgan, Goldman Sachs, Citi, Bank of America, Wells Fargo, Deutsche Bank — ont émis des interdictions similaires. C'est le moment où la tendance « les entreprises bannissent l'IA » a démarré.

En 2026, Samsung interdit toujours ChatGPT et a construit son propre LLM interne appelé « Samsung Gauss ». C'est une voie légitime, mais l'échelle d'investissement est trop importante pour être copiée par les ETI et en dessous. Pour tous les autres, la seule voie est « utiliser en toute sécurité les services d'IA commerciaux dans le cadre d'une directive ».

2. Pourquoi vous avez besoin d'une directive maintenant — trois pressions

Des trois, le shadow AI est en réalité le plus grave, à mon sens. Samsung a presque eu de la chance dans la mesure où « la fuite s'est produite sur un canal approuvé par l'entreprise, ils pouvaient donc la voir ». Dans la plupart des entreprises, un employé qui colle des notes de réunion nommant des clients dans ChatGPT depuis son téléphone n'est jamais signalé. « Ne pas pouvoir le voir » est le pire type de risque, et la seule façon d'y remédier est de construire un canal officiel que l'entreprise peut observer — ce qui passe par une directive.

3. Le modèle à sept points — remplissez-les et vous êtes couvert

Pas un PDF épais — un modèle à sept points qui tient sur deux pages A4. L'objectif est un niveau de détail tel que vous puissiez commencer aujourd'hui et le distribuer d'ici le week-end.

Parmi ceux-ci, « (2) données interdites » et « (5) signalement d'incident » sont les deux points qui déterminent si la directive fonctionne réellement. (1)(3)(4)(6)(7) sont des éléments que tout rédacteur raisonnable peut remplir. Mais écrire « ce que vous ne pouvez pas entrer » avec des exemples concrets, et affirmer par écrit « nous ne punirons pas les saisies accidentelles » — cela demande de la résolution. Choisissez une culture punitive et les employés dissimulent, et alors vous ne pouvez plus du tout voir les fuites.

4. Cinq catégories de données interdites en entrée — avec exemples

« N'entrez pas d'informations confidentielles » est trop vague pour porter. Écrivez cinq catégories, chacune avec des exemples.

Le détail critique est que vous associez toujours des « alternatives » aux interdictions. Écrivez « ne pas entrer » seulement, et les employés décident « je ne peux pas faire mon travail avec l'IA », puis commencent à l'utiliser en cachette. Fournissez une alternative comme « remplacez les noms de personnes par « Client A » et vous pouvez l'entrer » et ils empruntent la voie autorisée. C'est le levier pratique pour réduire le shadow AI.

5. EU AI Act — l'échéance du 2 août 2026

L'EU AI Act réglemente les systèmes d'IA selon quatre niveaux de risque. Les règles sur les « systèmes à haut risque » entrent pleinement en vigueur le 2 août 2026, après quoi l'exploitation s'accompagne d'obligations strictes.

Malentendu fréquent : même sans implantation dans l'UE, si vous traitez des données de citoyens de l'UE, vous êtes dans le périmètre. Les entreprises japonaises ayant des clients européens doivent se conformer à l'EU AI Act. En revanche, « un employé utilisant ChatGPT pour traduire » est clairement à risque minimal et n'a pas d'obligations particulières. « Décisions d'embauche automatisées sur les dossiers de candidature » ou « décisions automatiques d'approbation de prêt par IA » est sans ambiguïté à haut risque ; après le 2 août 2026, la documentation technique, la supervision humaine et la conservation des journaux deviennent des obligations légales. Si vous avez ce type de travail, ajoutez à la directive interne : « tout usage à haut risque requiert l'approbation juridique avant déploiement ».

6. Feuille de route de déploiement en cinq phases

Rédiger la directive n'est pas la fin. Une feuille de route qui prend 2 à 3 mois pour une ETI (jusqu'à 200 salariés) et environ 6 mois pour une grande entreprise.

Dans tout ça, la PHASE 1 (l'enquête) passe absolument en premier. Construisez une directive en partant du principe « interdisez-le et personne ne l'utilise » et vous finissez avec quelque chose de déconnecté de la réalité. Lancez une enquête anonyme demandant « quels services d'IA avez-vous utilisés le mois dernier ? quels types de données avez-vous saisis pour le travail ? » et le shadow AI se révélera environ trois fois supérieur à ce que vous attendiez. Connaître la réalité avant d'écrire les règles est le bon ordre des opérations.

7. Trois pièges à éviter absolument

Piège (1) : Partir sur une interdiction généralisée

Pour toute entreprise qui n'est pas Samsung, cela provoque presque toujours une explosion de shadow AI. Les employés utilisent ChatGPT Personal sur leur téléphone, l'entreprise n'a aucune visibilité, et quand une fuite se produit personne ne la signale. Le vrai coût d'une interdiction est « perdre la visibilité ». Samsung a pu construire Samsung Gauss en interne parce qu'ils disposaient de la profondeur de banc d'une entreprise de semi-conducteurs de premier rang. Pour les ETI et en dessous, « fournir un canal autorisé via une directive » est la réponse pratique.

Piège (2) : Concevoir autour de la punition

« Tout employé qui entre des données confidentielles encourt des sanctions disciplinaires » signifie tout employé qui entre accidentellement des données confidentielles le dissimule. La fuite se produit, l'entreprise ne le sait pas, les données client finissent à l'extérieur, le client le signale, et votre réputation s'effondre — la pire trajectoire. Mettez par écrit : « les violations de la directive ne sont pas punies si elles sont signalées ». Puis faites que « seul le défaut de signalement est motif de sanction », et le signalement d'incident commence à fonctionner, étrangement.

Piège (3) : L'écrire une fois et tourner les talons

L'industrie de l'IA change ses hypothèses tous les six mois. Une directive de 2024 disant « l'usage de ChatGPT est interdit » a des ingénieurs qui font tourner Claude Code et raisonnent en arrivant à « ce n'est pas ChatGPT, donc c'est bon ». Les produits et modèles nommés doivent être révisés tous les 6 à 12 mois. Qu'un nouveau service (Cursor / Perplexity / Notion AI) soit approuvé ou interdit doit être explicite pour que les employés n'aient pas à deviner. Y compris l'affaire Wayfair de l'article précédent (077), traitez « la directive comme un document vivant ».

Synthèse

Trois ans après les fuites Samsung de 2023, l'usage de l'IA en entreprise est passé du binaire « interdire ou autoriser » à la phase de mise en œuvre de « comment fixer un cadre et exploiter à l'intérieur ». Coincés sur trois fronts par le risque juridique (EU AI Act), le risque de fuite (leçon Samsung) et le risque concurrentiel (écart de productivité de 30 à 50 %), il n'y a pas le temps d'écrire un PDF épais, et « aucune directive du tout » ne fonctionne pas non plus. Le modèle à sept points plus la feuille de route en cinq phases de cet article permettront à une ETI de déployer en 2 à 3 mois. « Exploitation sûre maximale avec le cadre minimal » — voilà la réponse pratique de gouvernance IA pour 2026.

FAQ