Installer une IA interne sur les données de l'entreprise

Pourquoi une IA interne en entreprise

Dans la plupart des entreprises, des salariés utilisent déjà des outils d'IA grand public avec leur compte personnel. Ils y collent des contrats, des tableaux financiers, des courriels de clients. La DSI ne voit rien de ces échanges.

L'ANSSI décrit ce risque dans son guide de sécurité sur l'IA générative, publié en avril 2024. Envoyer des informations à un service d'IA grand public « revient à déposer ces mêmes informations sur un espace de stockage leur appartenant ». Sa recommandation R34 demande de proscrire ces outils pour un usage professionnel impliquant des données sensibles. Elle cite les données personnelles, les données contractuelles, juridiques ou financières, et les secrets comme les mots de passe ou les clés d'API.

Interdire ne suffit pas : les besoins restent. Une IA interne donne aux équipes un outil validé, qui connaît les documents de l'entreprise et dont les accès sont tracés. Nous détaillons ce que les salariés peuvent copier ou non dans un outil public dans notre article sur l'IA, le RGPD et ce que les salariés peuvent copier.

Choisir l'hébergement

C'est la première décision de la DSI. Trois options existent.

Sur site

Les serveurs sont chez vous et les modèles tournent en local. La CNIL estime que ce choix est « généralement plus opportun et plus sécurisé » quand l'IA reçoit des données personnelles ou des documents sensibles. Aucune réutilisation des données par le fournisseur n'est alors possible. Contrepartie : le coût d'installation et d'exploitation, que la CNIL mentionne aussi.

Cloud privé ou cloud de l'entreprise

L'IA tourne dans une infrastructure distante, isolée des autres clients. Pour la CNIL, ce recours doit être encadré par un contrat de sous-traitance qui précise « les périmètres de responsabilité et les accès autorisés aux données traitées ». Si les données peuvent sortir de l'Union européenne, le transfert doit aussi être encadré.

Service en ligne par API

Le plus rapide à brancher. La CNIL rappelle que la maîtrise du système est alors « quasi exclusivement dans les mains du fournisseur ». Il faut lire ses conditions sur la réutilisation des données et limiter la saisie de données personnelles.

Au Maroc, les données personnelles traitées par l'outil relèvent de la loi 09-08, sous le contrôle de la CNDP. Nous avons consacré un article à l'IA et la loi 09-08.

Relier l'IA aux documents de l'entreprise

Une IA interne devient utile quand elle répond à partir de vos procédures, de vos contrats types, de vos fiches produits. La technique la plus courante s'appelle la génération augmentée de récupération, ou RAG. L'outil cherche d'abord les passages utiles dans une base documentaire, puis rédige sa réponse à partir d'eux.

La CNIL note deux avantages : davantage de traçabilité des informations contenues dans les réponses, et des données plus faciles à mettre à jour que le modèle lui-même. Elle précise aussi que l'entreprise qui connecte sa propre base de connaissance est responsable de ce traitement lorsqu'elle contient des données personnelles.

Commencez petit. Quelques sources bien rangées valent mieux qu'un partage réseau entier :

• le manuel des procédures et le règlement intérieur ;
• les modèles de contrats et de propositions commerciales ;
• les fiches produits et les conditions générales ;
• les comptes rendus de comité validés.

Retirez les doublons et les versions périmées avant de les indexer. Une IA qui cite une procédure de 2019 fait perdre confiance dès la première semaine.

Droits d'accès, cloisonnement et journalisation

Reprendre les droits existants

Une IA reliée à toute la base documentaire peut répondre à un commercial avec un extrait d'un dossier RH. Pour l'éviter, l'ANSSI demande dans sa recommandation R26 que chaque interaction du système d'IA avec les autres applications intègre « un contrôle des autorisations d'accès à la ressource en complément de l'authentification ». Concrètement, l'IA ne doit montrer à chacun que les documents qu'il peut déjà ouvrir.

Cloisonner

La recommandation R28 conseille de placer le système d'IA dans des zones logiques dédiées, pour limiter les déplacements d'un attaquant qui l'aurait compromis. La R27 demande de limiter, voire proscrire, les actions automatiques sur le système d'information déclenchées à partir d'entrées non maîtrisées, comme un courriel reçu.

Journaliser

La recommandation R29 liste ce qu'il faut tracer : les requêtes des utilisateurs, les traitements avant l'envoi au modèle, les appels aux données additionnelles, les filtres en sortie et les réponses. L'objectif est de pouvoir reconstituer un incident. L'ANSSI ajoute que la durée de conservation de ces journaux doit respecter les règles de protection des données personnelles.

Charte, DPO et contrôle humain

Les questions-réponses de la CNIL sur l'IA générative, publiées en juillet 2024, donnent un cadre de gouvernance simple :

• une charte interne qui définit « clairement les usages autorisés et les usages interdits » ;
• une formation adaptée des utilisateurs et des contrôles réguliers ;
• l'implication du DPO, avec le RSSI, et une analyse d'impact si le traitement l'exige ;
• un comité éthique ou un référent pour les usages sensibles.

Sur les réponses de l'IA, la CNIL est nette : une bonne pratique consiste « à ne jamais reproduire telles quelles les sorties de ces systèmes ». Elle rappelle aussi que les modèles génératifs ne sont pas des bases de connaissance et suivent une logique probabiliste. Chaque utilisateur relit donc avant d'envoyer. Notre guide pour rédiger une charte d'utilisation de l'IA propose une trame.

Déployer l'IA interne en quatre étapes

1. Cadrer avec la direction. Choisir les services pilotes, les sources ouvertes et les sujets exclus. Notre article sur la formation du comité de direction détaille cette séance.
2. Installer et tester. Brancher deux ou trois sources, puis vérifier la qualité des réponses sur des questions réelles. L'ANSSI recommande ces tests fonctionnels avant la mise en production (R24).
3. Former les pilotes. Les utilisateurs apprennent à formuler une demande, à vérifier la source citée et à signaler une erreur.
4. Étendre service par service. Chaque nouveau service ajoute ses sources et ses droits, avec le même contrôle de qualité.

Prévoyez aussi les niveaux de modèle. Tout le monde n'a pas besoin du plus puissant. Un assistant pour les courriels et les comptes rendus suffit à la majorité des postes. Les juristes et la direction financière ont besoin d'un modèle capable de lire des dossiers longs.

Notre offre : IA à la carte

Avec IA à la carte, ANA Studio installe une IA d'entreprise sur vos données, pour toute l'organisation, de 50 à plusieurs milliers de personnes. Vous choisissez qui a quel niveau de modèle Claude, d'Anthropic, quels modules et où tout est hébergé.

• Quatre niveaux de modèle : questions du quotidien, mails et comptes rendus pour tout le monde ; rédaction, analyse de tableaux et recherche dans les documents ; dossiers longs, contrats et raisonnement en plusieurs étapes ; le modèle le plus puissant pour les décisions de direction.
• Trois hébergements : cloud privé en Europe, votre cloud (Google Cloud, AWS ou Azure), ou des serveurs sur site avec des modèles ouverts. Dans les trois cas, application et données sont isolées des autres clients.
• Des engagements : l'IA sert votre entreprise seule et n'entraîne jamais un modèle. Droits par service, journal de chaque accès, export des données et des réglages à tout moment.

Des modules s'ajoutent : assistant WhatsApp pour les équipes, agent pour un métier précis (devis, contrats, appels d'offres), cartographie de l'organisation par entretiens vocaux de 45 minutes. La formation des équipes se fait en groupes, sur les vrais dossiers. Plus de 750 personnes sont équipées, notamment chez SOCIDA à Abidjan et Bamotors à Casablanca. Les formats de formation sont décrits sur notre page formation IA à Casablanca. Le prix est établi sur devis, selon le nombre de personnes, le calendrier de déploiement et la formation.

Questions fréquentes