Vos collaborateurs font déjà ce que le Parlement vient de s’interdire

Ce qui s’est passé sous la Coupole

Selon watson.ch, des collaborateurs parlementaires ont saisi des procès-verbaux de commission entiers dans des outils d’IA grand public pour les faire résumer, avant de transmettre ces résumés à des groupes d’intérêt. Les Services du Parlement eux-mêmes auraient fait circuler des documents classifiés via Microsoft Outlook, alors qu’une directive de 2023 interdit explicitement les services cloud pour les informations classifiées.

Le conseiller national Mauro Tuena : « Rien ne justifie de télécharger les procès-verbaux. » Son collègue Gerhard Andrey : « Il en va de la sécurité de la Suisse. »

Retenez la séquence : une règle existait, elle était écrite, elle était connue — et elle n’a pas tenu.

Pourquoi l’interdiction ne suffit jamais

Une interdiction ne supprime pas le besoin qui l’a provoquée. Le collaborateur qui a trente pages à résumer avant seize heures a un problème concret ; la directive de 2023, elle, est une abstraction. Entre les deux, il choisit ce qui fait avancer son dossier.

Le shadow AI n’est pas un problème de discipline, c’est un symptôme de couverture insuffisante. Quand l’outil officiel ne fait pas le travail — ou n’existe pas — l’outil officieux prend sa place. Et il la prend d’autant plus facilement qu’il est gratuit, instantané et déjà ouvert dans un onglet.

C’est d’ailleurs la lecture la plus intéressante du dossier Pia : le Parlement n’a pas seulement posé un plafond, il a surtout fourni un outil. Sans quoi le plafond n’aurait rien changé.

Ce qui sort vraiment de votre entreprise

Faites l’inventaire honnêtement. Dans une PME suisse, les documents qui passent le plus souvent dans un outil gratuit sont toujours les mêmes : le contrat qu’on veut faire relire, l’offre concurrente qu’on veut comparer, le procès-verbal du comité qu’on veut résumer, le courrier d’avocat qu’on veut comprendre, le CV qu’on veut trier.

Certains de ces documents contiennent des données sensibles au sens de l’art. 5 let. c de la nLPD : données de santé, sphère intime, opinions religieuses, philosophiques, politiques ou syndicales, mesures d’aide sociale, poursuites et sanctions pénales ou administratives, données génétiques et biométriques. Un certificat médical dans un dossier RH entre dans cette catégorie. Un entretien d’évaluation aussi, souvent.

Pour ces données-là, « je ne savais pas que l’équipe utilisait ChatGPT » n’est pas une position défendable.

Trois mesures qui fonctionnent réellement

Aucune des trois n’est une interdiction.

1. Fournir un outil au moins aussi pratique. Tant que l’alternative officielle est plus lente que le compte personnel, elle perdra. C’est le seul levier qui change durablement le comportement.
2. Dire ce qui a le droit de sortir, document par document. Pas une politique de six pages : une règle que chacun peut appliquer en trois secondes devant un fichier. La Confédération le fait avec trois niveaux de classification ; une PME s’en sort très bien avec autant.
3. Garder une trace de ce qui sort. Sans journalisation, vous ne saurez jamais si l’incident a eu lieu — et vous ne pourrez rien dire au préposé à la protection des données s’il pose la question.

Remarquez ce que ces trois mesures ont en commun : elles supposent que l’entreprise prenne position, pas que le collaborateur devienne vertueux.

Ce que nous faisons de ce constat

Le cloud suisse couvre le cas général : juridiction suisse, aucun sous-traitant soumis au CLOUD Act, conformité nLPD, et une trace de chaque traitement. Pour les flux ordinaires d’une PME — factures, commandes, relances — c’est le bon niveau.

Reste la catégorie des documents qui ne doivent pas quitter les locaux. Pour ceux-là, WivenLLM s’exécute sur vos propres machines : le fichier ne part nulle part, le modèle est déjà là. C’est la seule réponse qui rende l’arbitrage inutile — quand rien ne sort, il n’y a plus rien à surveiller.