Comment construire une directive d'usage de l'IA en entreprise — fuites Samsung, EU AI Act et un modèle à sept points prêt à déployer

En avril 2023, Samsung Electronics a divulgué des données confidentielles via ChatGPT trois fois en 20 jours — code source de semi-conducteur, code de correction d'équipements défectueux et transcription complète d'une réunion interne — tout cela envoyé sur les serveurs d'OpenAI à l'instant même où les employés l'ont collé, impossible à récupérer. Samsung a immédiatement banni ChatGPT, Bing et Bard dans toute l'entreprise. JPMorgan, Goldman Sachs, Citi, Bank of America et Wells Fargo ont déployé des interdictions similaires dans la même fenêtre.

Trois ans plus tard, « l'interdire » ne fonctionne plus en 2026. Les employés utilisent ChatGPT sur leur téléphone, les ingénieurs codent avec Claude Code, le marketing construit des présentations dans Gemini — interdire ne fait que générer du shadow AI (usage non autorisé). De plus, les dispositions restantes de l'EU AI Act sont devenues généralement applicables le 2 août 2026, et l'obligation d'étiqueter les contenus générés par IA (article 50) s'applique depuis le même jour (le marquage lisible par machine des systèmes déjà sur le marché bénéficie d'une transition jusqu'au 2 décembre 2026). Les obligations sur le haut risque qui couvrent le recrutement, le scoring de crédit et consorts ont été repoussées au 2 décembre 2027 — mais un répit ne signifie pas « rien à préparer ». Vous ne pouvez ni interdire, ni ignorer. La seule voie qui reste est « fixer un cadre par une directive et activement permettre un usage sûr ».

Ma position d'emblée. « Personne ne lit un PDF épais de directives » a l'air juste, mais c'est une fausse conclusion. Le but d'une directive n'est pas d'être lue — c'est de rendre les responsabilités explicites en cas d'incident et de graver dans la tête des employés le minimum non négociable. Cet article couvre les sept points requis, les cinq catégories de données interdites en entrée, l'échéance de l'EU AI Act, la feuille de route en cinq phases et les pièges — le tout avec le détail pratique dont vous aurez besoin en mai 2026.

1. Avril 2023 — Samsung a banni l'IA en 20 jours

La séquence est simple. En mars, la division semi-conducteurs de Samsung a autorisé l'usage interne de ChatGPT. Au cours des 20 jours suivants en avril, trois fuites confidentielles se sont succédé. (1) L'employé A a collé le code source complet d'une base de données de semi-conducteurs défectueuse dans ChatGPT et a demandé une correction. (2) L'employé B a fait de même avec du code de correction pour des équipements de fabrication défectueux. (3) L'employé C a collé une transcription complète de réunion interne et a demandé un compte rendu. Les trois, à cet instant, ont atteint les serveurs d'OpenAI et peuvent avoir été utilisés comme données d'entraînement.

Samsung a immédiatement bloqué ChatGPT, Bing et Bard sur tous les appareils appartenant à l'entreprise, et sur les appareils personnels lorsqu'ils étaient connectés au réseau d'entreprise. À peu près au même moment, les grandes firmes financières — JPMorgan, Goldman Sachs, Citi, Bank of America, Wells Fargo, Deutsche Bank — ont émis des interdictions similaires. C'est le moment où la tendance « les entreprises bannissent l'IA » a démarré.

En 2026, Samsung interdit toujours ChatGPT et a construit son propre LLM interne appelé « Samsung Gauss ». C'est une voie légitime, mais l'échelle d'investissement est trop importante pour être copiée par les ETI et en dessous. Pour tous les autres, la seule voie est « utiliser en toute sécurité les services d'IA commerciaux dans le cadre d'une directive ».

2. Pourquoi vous avez besoin d'une directive maintenant — trois pressions

Des trois, le shadow AI est en réalité le plus grave, à mon sens. Samsung a presque eu de la chance dans la mesure où « la fuite s'est produite sur un canal approuvé par l'entreprise, ils pouvaient donc la voir ». Dans la plupart des entreprises, un employé qui colle des notes de réunion nommant des clients dans ChatGPT depuis son téléphone n'est jamais signalé. « Ne pas pouvoir le voir » est le pire type de risque, et la seule façon d'y remédier est de construire un canal officiel que l'entreprise peut observer — ce qui passe par une directive.

3. Le modèle à sept points — remplissez-les et vous êtes couvert

Pas un PDF épais — un modèle à sept points qui tient sur deux pages A4. L'objectif est un niveau de détail tel que vous puissiez commencer aujourd'hui et le distribuer d'ici le week-end.

Parmi ceux-ci, « (2) données interdites » et « (5) signalement d'incident » sont les deux points qui déterminent si la directive fonctionne réellement. (1)(3)(4)(6)(7) sont des éléments que tout rédacteur raisonnable peut remplir. Mais écrire « ce que vous ne pouvez pas entrer » avec des exemples concrets, et affirmer par écrit « nous ne punirons pas les saisies accidentelles » — cela demande de la résolution. Choisissez une culture punitive et les employés dissimulent, et alors vous ne pouvez plus du tout voir les fuites.

4. Cinq catégories de données interdites en entrée — avec exemples

« N'entrez pas d'informations confidentielles » est trop vague pour porter. Écrivez cinq catégories, chacune avec des exemples.

Le détail critique est que vous associez toujours des « alternatives » aux interdictions. Écrivez « ne pas entrer » seulement, et les employés décident « je ne peux pas faire mon travail avec l'IA », puis commencent à l'utiliser en cachette. Fournissez une alternative comme « remplacez les noms de personnes par « Client A » et vous pouvez l'entrer » et ils empruntent la voie autorisée. C'est le levier pratique pour réduire le shadow AI.

5. EU AI Act — ce qui s'applique aujourd'hui et les échéances repoussées

L'EU AI Act réglemente les systèmes d'IA selon quatre niveaux de risque. Ses dispositions restantes sont devenues généralement applicables le 2 août 2026 — mais ⚠️ tout article qui vous explique que les règles sur le haut risque sont entrées pleinement en vigueur à cette date n'est plus à jour. Les amendements du Digital Omnibus ont repoussé les obligations sur le haut risque au 2 décembre 2027 pour l'annexe III, et au 2 août 2028 pour l'annexe I (IA intégrée aux dispositifs médicaux, machines, véhicules et assimilés). Ce qui mord réellement aujourd'hui, ce sont les obligations de transparence et les règles sur l'IA à usage général (GPAI), et la prochaine échéance tombe le 2 décembre 2026.

Quand chaque obligation tombe — les quatre échéances

Avant les niveaux de risque, ce que vous voulez sans doute savoir, c'est à quelle date une obligation retombe concrètement sur votre entreprise. Certaines de ces dates ont été repoussées par rapport au calendrier initial, il vaut donc la peine d'être précis sur ce point.

Sources : calendrier de mise en œuvre de l'EU AI Act / AI Act Service Desk de la Commission européenne

À noter : l'obligation d'étiquetage des contenus générés par IA (article 50), applicable depuis le 2 août 2026, touche la chaîne de publication avant la directive interne. Qui porte quelle obligation — ce n'est pas la même chose pour le fournisseur et pour le déployeur — et une relecture humaine vaut-elle exemption : ces questions pratiques sont traitées une par une dans notre lecture pratique de l'article 50.

Malentendu fréquent : même sans implantation dans l'UE, vous êtes dans le périmètre si vous mettez des systèmes d'IA sur le marché de l'UE ou si les sorties de votre système d'IA sont utilisées dans l'UE (article 2). Le critère n'est pas le traitement de données de citoyens de l'UE (cela relève du RGPD). Une entreprise japonaise qui propose des services à base d'IA à des clients européens, ou qui utilise en Europe les sorties de l'IA, doit se conformer à l'EU AI Act. En revanche, « un employé utilisant ChatGPT pour traduire » est clairement à risque minimal et n'a pas d'obligations particulières. « Décisions d'embauche automatisées sur les dossiers de candidature » ou « décisions automatiques d'approbation de prêt par IA » est sans ambiguïté à haut risque, mais la documentation technique, la supervision humaine et la conservation des journaux ne deviennent des obligations légales qu'à partir du 2 décembre 2027 (annexe III). Cela ne veut pas dire qu'il n'y a rien à faire aujourd'hui — si vous avez ce type de travail, ajoutez à la directive interne : « tout usage à haut risque requiert l'approbation juridique avant déploiement ».

6. Feuille de route de déploiement en cinq phases

Rédiger la directive n'est pas la fin. Une feuille de route qui prend 2 à 3 mois pour une ETI (jusqu'à 200 salariés) et environ 6 mois pour une grande entreprise.

Dans tout ça, la PHASE 1 (l'enquête) passe absolument en premier. Construisez une directive en partant du principe « interdisez-le et personne ne l'utilise » et vous finissez avec quelque chose de déconnecté de la réalité. Lancez une enquête anonyme demandant « quels services d'IA avez-vous utilisés le mois dernier ? quels types de données avez-vous saisis pour le travail ? » et le shadow AI se révélera bien plus répandu que vous ne l'attendiez. Connaître la réalité avant d'écrire les règles est le bon ordre des opérations.

7. Trois pièges à éviter absolument

Piège (1) : Partir sur une interdiction généralisée

Pour toute entreprise qui n'est pas Samsung, cela provoque presque toujours une explosion de shadow AI. Les employés utilisent ChatGPT Personal sur leur téléphone, l'entreprise n'a aucune visibilité, et quand une fuite se produit personne ne la signale. Le vrai coût d'une interdiction est « perdre la visibilité ». Samsung a pu construire Samsung Gauss en interne parce qu'ils disposaient de la profondeur de banc d'une entreprise de semi-conducteurs de premier rang. Pour les ETI et en dessous, « fournir un canal autorisé via une directive » est la réponse pratique.

Piège (2) : Concevoir autour de la punition

« Tout employé qui entre des données confidentielles encourt des sanctions disciplinaires » signifie tout employé qui entre accidentellement des données confidentielles le dissimule. La fuite se produit, l'entreprise ne le sait pas, les données client finissent à l'extérieur, le client le signale, et votre réputation s'effondre — la pire trajectoire. Mettez par écrit : « les violations de la directive ne sont pas punies si elles sont signalées ». Puis faites que « seul le défaut de signalement est motif de sanction », et le signalement d'incident commence à fonctionner, étrangement.

Piège (3) : L'écrire une fois et tourner les talons

L'industrie de l'IA change ses hypothèses tous les six mois. Une directive de 2024 disant « l'usage de ChatGPT est interdit » a des ingénieurs qui font tourner Claude Code et raisonnent en arrivant à « ce n'est pas ChatGPT, donc c'est bon ». Les produits et modèles nommés doivent être révisés tous les 6 à 12 mois. Qu'un nouveau service (Cursor / Perplexity / Notion AI) soit approuvé ou interdit doit être explicite pour que les employés n'aient pas à deviner. Y compris l'affaire Wayfair de l'article précédent (077), traitez « la directive comme un document vivant ».

Synthèse

Trois ans après les fuites Samsung de 2023, l'usage de l'IA en entreprise est passé du binaire « interdire ou autoriser » à la phase de mise en œuvre de « comment fixer un cadre et exploiter à l'intérieur ». Coincés sur trois fronts par le risque juridique (EU AI Act), le risque de fuite (leçon Samsung) et le risque concurrentiel (écart de productivité de 30 à 50 %), il n'y a pas le temps d'écrire un PDF épais, et « aucune directive du tout » ne fonctionne pas non plus. Le modèle à sept points plus la feuille de route en cinq phases de cet article permettront à une ETI de déployer en 2 à 3 mois. « Exploitation sûre maximale avec le cadre minimal » — voilà la réponse pratique de gouvernance IA pour 2026. Et comme la suspension d'un compte professionnel pour violation des conditions d'utilisation est un préjudice tout aussi réel qu'une fuite, il convient de partager en interne, avec la directive, comment éviter le bannissement de son compte.

FAQ