Le vrai sujet : le tri avant le prompt
Dans le bureau du dirigeant, tout ne se vaut pas. Un mail de relance, une synthèse d’agenda ou une note de cadrage peuvent parfois être partagés dans un outil IA bien paramétré, mais un sujet Comex, une opération de M&A, un document de board, une stratégie de prix ou une information sociale sensible exigent un niveau de vigilance bien supérieur. Les bonnes pratiques de gouvernance recommandent de distinguer clairement les responsabilités, les risques et le niveau de sensibilité des données avant tout usage d’IA.
L’assistant(e) joue ici un rôle de filtre. C’est souvent lui ou elle qui sait ce qui est en préparation, ce qui est validé, ce qui est encore confidentiel et ce qui relève d’un cercle restreint. Cette position en fait un maillon essentiel de la gouvernance des données, surtout lorsque l’IA est utilisée pour résumer, reformuler, préparer des points de langage ou accélérer la production de contenus internes.
Classer les informations
Le plus efficace est de raisonner par niveaux de sensibilité, avec une règle simple : plus l’information peut affecter la valeur de l’entreprise, sa cotation, une opération capitalistique, des négociations ou la vie des personnes, plus elle doit être protégée.
- Niveau 1 : public ou diffusé, par exemple une prise de parole déjà publiée, une communication corporate validée ou une info déjà rendue publique.
- Niveau 2 : interne, comme un ordre du jour non sensible, une note de coordination ou une version de travail sans enjeu stratégique.
- Niveau 3 : confidentiel, comme les arbitrages de direction, les éléments financiers non publiés, les discussions RH sensibles ou les premiers éléments d’une négociation.
- Niveau 4 : hautement sensible ou restreint, comme les dossiers Comex, board, M&A, contentieux majeurs, plans de restructuration, données personnelles sensibles ou toute information classée “diffusion restreinte”, “secret” ou équivalent. Les outils d’IA non homologués ne doivent pas traiter ces contenus.
Cette grille a un avantage concret : elle permet à l’assistant(e) de décider rapidement si un document peut être travaillé via IA, s’il doit être anonymisé, ou s’il doit rester hors de tout outil externe. L’idée n’est pas de tout bloquer, mais de réserver les usages IA aux contenus compatibles avec le niveau de risque.
Ce qu’il faut protéger en priorité
Certains contenus doivent être protégés systématiquement avant tout prompt, même si le dirigeant veut aller vite. Il s’agit notamment des dossiers de fusion-acquisition, des discussions de board, des arbitrages stratégiques avant annonce, des informations de marché non publiées, des données financières prévisionnelles, des éléments sociaux sensibles et des données personnelles.
Les documents de M&A demandent une prudence particulière, car ils combinent souvent confidentialité commerciale, données juridiques et parfois données personnelles. De même, les sujets board et Comex contiennent des décisions encore non publiques qui peuvent avoir des effets financiers, réputationnels ou réglementaires.
Le bon réflexe avant d’utiliser l’IA
Avant tout prompt, l’assistant(e) peut appliquer un mini-protocole simple.
- Identifier le sujet et son niveau de sensibilité.
- Retirer les noms, montants, dates, codes projets et éléments identifiants si l’usage IA est autorisé.
- Vérifier que l’outil est bien approuvé par l’entreprise et qu’il n’est pas interdit pour ce type de données.
- Refuser tout envoi si le contenu relève d’une information classifiée, d’un dossier stratégique non public ou d’une donnée personnelle sensible.
- Préférer une formulation abstraite ou un jeu de données nettoyé si le besoin est seulement rédactionnel ou exploratoire.
Ce cadrage est d’autant plus important que la gouvernance de l’IA ne se limite pas à l’outil lui-même. Elle suppose aussi une discipline des usages, une répartition claire des rôles entre direction, fonctions support et équipes opérationnelles, ainsi qu’une culture du “need to know”.
L’assistant(e), gardien(ne) de la discrétion
Dans les faits, l’assistant(e) devient un acteur clé de la protection de l’information. C’est lui ou elle qui peut alerter quand un dirigeant veut résumer un dossier trop sensible, transformer une note stratégique en prompt ou copier-coller un document entier dans un service non validé.
Cette vigilance est d’autant plus précieuse que certaines solutions d’IA conservent des traces de conversations, selon leurs paramètres et leurs règles de confidentialité. Les entreprises doivent donc définir en amont ce qui peut être partagé, avec quel outil, sous quelle forme et pour quel usage.
Si une information peut déplacer un marché, influer sur une négociation, révéler une stratégie ou exposer une personne, elle ne doit pas partir dans un prompt sans contrôle. Pour l’assistant(e), la bonne question n’est pas seulement “peut-on l’écrire ?”, mais “peut-on la confier à cet outil, dans cette version, maintenant ?”.
Laura FALCES
