L'IA passe à l'action dans vos outils, et la responsabilité retombe sur vous

Cette semaine confirme un basculement : les outils d’IA que vos équipes utilisent déjà cessent d’être de simples assistants qu’on interroge pour devenir des logiciels qui agissent — envoient, planifient, déclenchent — parfois sans que vous l’ayez décidé. En parallèle, l’enquête annuelle de McKinsey rappelle que ces gains, bien réels au niveau de chaque salarié, ne se retrouvent pas encore dans les comptes des entreprises. Le fil rouge pour un dirigeant : la valeur et le risque se déplacent tous deux vers un même endroit — votre capacité à décider qui active quoi, sur quelles données, et avec quel contrôle.

L’IA « qui agit » s’installe dans vos outils — parfois activée par défaut

OpenAI a ajouté fin août, à ses offres ChatGPT Enterprise et Edu, la possibilité de déclencher automatiquement des tâches à partir d’événements survenant dans des applications connectées comme Gmail ou Slack (notes de version OpenAI). Le même mouvement chez Google : depuis le 26 août, « Ask Gemini in Chat » intègre l’assistant directement dans Google Chat, où il peut lire courriels, fichiers Drive et agenda, résumer, rédiger et planifier — et il est activé par défaut sur les offres Business et Enterprise Standard et Plus dès lors que l’administrateur a activé Gemini dans Workspace (Google Workspace Updates).

Le point commun est ce qui compte : un assistant peut désormais se mettre en mouvement seul, et accéder à l’ensemble de vos mails, fichiers et agendas, sans décision explicite de votre part. C’est une automatisation réelle, mais aussi une nouvelle surface d’exposition. C’est précisément le sujet du guide publié le 20 août par l’agence britannique de cybersécurité, le NCSC : plus un agent est autonome, plus les garde-fous doivent être solides (NCSC, managing the cyber risk of agentic AI). Le NCSC recommande quatre mesures simples à exiger de vos outils : cloisonner l’agent pour limiter ce à quoi il accède, pouvoir l’arrêter immédiatement, ne lui donner que les droits strictement nécessaires avec des identifiants à durée de vie courte, et journaliser ses actions. Pour une PME, la traduction est directe : avant qu’un assistant ne s’active dans Microsoft, Google ou ChatGPT, décidez qui a le droit de créer ces automatisations et à quelles données elles touchent.

Les gains sont réels, mais ils ne se voient pas encore dans vos comptes

Le 25 août, McKinsey a publié son enquête annuelle sur l’état de l’IA (The State of AI). Les chiffres cadrent le débat : près de 90 % des organisations utilisent l’IA dans au moins une fonction, 44 % la déploient à l’échelle de l’entreprise, et 80 % des répondants disent avoir gagné en productivité individuelle. Mais seules 37 % constatent un effet mesurable sur leur résultat d’exploitation — un chiffre inchangé sur un an — et 6 % seulement déclarent un impact d’au moins 5 %.

Autrement dit, ce que chaque salarié ressent ne se transforme pas mécaniquement en résultat pour l’entreprise. Le facteur distinctif, selon McKinsey, n’est pas le nombre d’outils déployés : 73 % des sociétés qui en tirent un vrai bénéfice ont revu en profondeur leurs façons de travailler, contre 25 % des autres, avec un engagement de la direction et une mesure formelle des effets. Le lien avec la première section est direct : multiplier les assistants activés par défaut ne crée pas de valeur en soi. Ce qui la crée, c’est de choisir un processus précis — la relance client, le traitement des factures, la réponse au support — de le redessiner autour de l’outil, et de mesurer le résultat. Avant d’augmenter le budget IA, désignez ce processus et la façon dont vous vérifierez qu’il a bougé.

Ce qui se durcit : garder l’humain dans la boucle et savoir ce que garde votre fournisseur

Deux décisions de la semaine rappellent que la responsabilité, elle, ne s’automatise pas. L’autorité néerlandaise de protection des données — l’équivalent de la CNIL — a infligé une amende de 825 millions d’euros à Uber pour avoir désactivé automatiquement des comptes de chauffeurs sans possibilité d’obtenir une explication claire ni une intervention humaine réelle (Autoriteit Persoonsgegevens). Uber conteste la décision. Le principe vaut pour une PME comme pour une plateforme mondiale : dès qu’un logiciel participe à une décision lourde de conséquences pour une personne — refuser un client, bloquer un compte, écarter une candidature —, un humain doit pouvoir la réexaminer, et une validation de pure forme ne suffit pas. Prévoyez ce point de contrôle et gardez la trace de la logique appliquée.

Côté fournisseurs, les 19 et 20 août, OpenAI et Anthropic ont pris des chemins opposés sur ce qu’ils conservent de vos échanges (Axios). OpenAI teste un dispositif limitant la conservation du contenu des requêtes ; Anthropic impose au contraire une conservation obligatoire de trente jours sur ses modèles les plus avancés. Peu importe ici lequel a raison : le message pour l’acheteur est qu’il n’y a plus de règle commune. Avant de confier des données clients ou sensibles à un outil d’IA — le vôtre ou celui d’un prestataire qui repose sur ces modèles —, demandez par écrit ce qui est conservé, combien de temps, et si une option sans conservation existe.

Ce que ça change pour vous

Ces trois fils convergent vers une seule action, faisable cette semaine sans budget : faites l’inventaire de l’existant. Dans vos outils déjà en place — Microsoft 365, Google Workspace, ChatGPT —, ouvrez la console d’administration et repérez quels assistants ou automatisations sont activés, surtout par défaut, qui peut les déclencher, et à quelles données ils accèdent. Puis posez deux règles simples et écrites : aucune décision lourde pour un client ou un salarié n’est prise sans un humain qui peut la revoir ; et aucune donnée sensible n’entre dans un outil dont vous ne savez pas ce qu’il en conserve. C’est moins spectaculaire que de déployer un nouvel outil, mais c’est exactement ce qui, selon les chiffres de la semaine, sépare les entreprises qui voient l’IA dans leurs comptes de celles qui la subissent.