Risques IA générative entreprise : quatre risques, quatre parades

Risques IA générative entreprise : quatre risques dominent, et chacun a une parade tenable. Vos données partent vers un modèle tiers, une réponse fausse passe la relecture parce qu'elle est bien écrite, votre organisation dépend d'un fournisseur unique, et la propriété de ce qui sort n'est pas acquise.

Aucune parade ne consiste à interdire l'outil.

Où partent vos données quand un collaborateur colle un document dans un outil d'IA

Le risque le plus cité est aussi le plus simple à réduire. Sur un compte personnel, les conversations servent par défaut à entraîner le modèle, et le refus se règle dans les contrôles de données du compte. C'est ce qu'indique la documentation d'OpenAI pour ChatGPT, consultée le 7 septembre 2026.

Par défaut ne veut pas dire pour toujours.

Le problème n'est donc pas l'outil, c'est le compte. Un collaborateur qui ouvre ChatGPT ou Claude avec son adresse personnelle sort du périmètre contractuel de votre entreprise, quels que soient vos réglages internes. Et il le fait avec les meilleures intentions, parce que l'outil n'est pas fourni.

La parade tient en trois gestes.

• Fournir les comptes, sur une offre professionnelle dont vous avez lu la clause de réutilisation des données, plutôt que de laisser chacun se débrouiller.
• Vérifier le réglage de contrôle des données sur chaque compte ouvert, y compris ceux qui existaient avant votre décision.
• Écrire ce qui ne se colle jamais dans un outil : contrats clients, données de santé, dossiers de personnel, éléments couverts par un secret professionnel.

Le troisième geste ne tient que si vous nommez des documents, pas des catégories abstraites.

Pourquoi une réponse fausse et bien écrite passe la relecture

Une hallucination, c'est-à-dire une réponse inventée mais présentée avec le même aplomb qu'une réponse exacte, ne se repère pas au style. C'est ce qui la rend dangereuse en entreprise : votre relecteur habituel corrige la forme, et la forme est parfaite.

Le fond, lui, peut être entièrement faux.

Les productions d'IA générative se trompent à quatre endroits repérables : les chiffres, les dates, les références légales ou normatives, et les noms propres. Un modèle produit la suite de mots la plus plausible, et une référence plausible ressemble beaucoup à une référence réelle.

La parade n'est pas de tout vérifier, ce que personne ne fait. Elle est de vérifier ces quatre types d'éléments, systématiquement, et de laisser passer le reste après une relecture normale.

Deuxième parade, plus structurelle : donnez la matière plutôt que de la demander. Un outil comme NotebookLM répond à partir des documents que vous lui déposez et indique le passage d'où vient sa réponse, ce qui déplace la vérification vers une source que vous avez choisie.

Troisième parade, la plus économique : n'utilisez jamais une production d'IA générative comme source primaire pour une information que votre entreprise n'a pas déjà.

Ce que coûte la dépendance à un seul fournisseur

Ce risque se voit rarement la première année. Il apparaît quand une centaine de consignes écrites et des habitudes de travail vivent chez un seul prestataire, et que le prix ou les conditions du service changent.

Personne ne migre cent consignes un mardi matin.

La dépendance n'est pas un problème de fidélité, c'est un problème de sortie. Elle se mesure à une question simple : combien de temps faudrait-il à votre entreprise pour travailler avec un autre outil, si celui-ci fermait demain.

La parade tient à l'endroit où vous rangez vos consignes. Écrites dans un document que vous possédez, elles se transposent d'un outil à l'autre en une matinée. Enfermées dans les fonctions propres d'une plateforme, elles ne se transposent pas.

Une deuxième précaution coûte peu : gardez un second outil connu de vos référents, même en version gratuite. ChatGPT, Claude, Gemini et Mistral ne se valent pas sur toutes les tâches, et savoir passer de l'un à l'autre évite d'accepter n'importe quelle hausse tarifaire.

À qui appartient ce que l'IA produit pour votre entreprise

C'est le risque le moins traité et le plus mal compris. En droit français, une production entièrement générée par une machine n'entre pas dans le droit d'auteur.

Le curseur porte sur ce que la personne a fait.

Le rapport de mission du Conseil supérieur de la propriété littéraire et artistique, publié le 16 juillet 2026 par le ministère de la Culture et présidé par Alexandra Bensamoun, distingue deux catégories. La création hybride porte, selon le rapport, « la trace d'une véritable direction créative humaine » et peut être protégée si elle franchit le seuil d'originalité. La production synthétique est « générée sans intervention humaine significative » et « demeure étrangère au droit d'auteur ».

Ce que cela change pour vous est concret. Un visuel, un texte de marque ou un document commercial produit d'un seul appel à un outil, sans direction humaine documentée, peut ne pas être protégeable contre une reprise par un concurrent.

La parade est documentaire : conservez la trace de vos choix. Les consignes successives, les versions écartées, les corrections apportées. C'est ce dossier qui décrira une direction créative humaine, le jour où la question se posera.

Ce point relève du conseil juridique, pas d'un article. Nous décrivons l'état d'un rapport public, nous ne qualifions pas votre situation : faites-la trancher par un avocat en propriété intellectuelle avant de fonder une marque ou une charte visuelle sur des productions d'IA.

Ce que la CNIL recommande avant de déployer

La CNIL a publié le 18 juillet 2024 six recommandations pour déployer une IA générative dans une organisation. Elles sont courtes et elles recoupent les quatre risques ci-dessus.

• Partir d'un besoin concret, en évitant de déployer un système d'IA générative sans but précis.
• Définir une liste d'utilisations autorisées et interdites, en tenant compte des risques propres à l'organisation.
• Ne pas occulter les limites du système ni les risques qu'il crée pour les droits des personnes.
• Choisir un système robuste, en privilégiant des solutions locales, sécurisées et spécialisées, ou en évaluant comment le prestataire réutilisera les données fournies.
• Former les utilisateurs, sur les usages interdits comme sur les risques présents dans les usages autorisés.
• Mettre en place une gouvernance adaptée, en impliquant dès le début le délégué à la protection des données, la direction des systèmes d'information et les responsables métier.

La cinquième est celle que les organisations traitent en dernier, alors qu'elle conditionne les quatre autres. Une liste d'usages interdits que personne n'a lue ne protège rien.

La parade commune aux quatre risques

Les quatre parades ont un point commun : elles supposent que quelque chose soit écrit et connu. Les documents qui ne se collent jamais dans un outil, les quatre éléments à recouper, l'endroit où vivent les consignes, la trace des choix humains.

Une note de service ne suffit pas à cela.

Ce qui fonctionne est plus lent : des usages cadrés en une page, des référents nommés dans chaque service, un rythme de diffusion tenu sur plusieurs trimestres. C'est le travail décrit dans notre article sur l'acculturation à l'IA de vos collaborateurs.

Reste le cinquième risque, qui n'est pas opérationnel mais juridique. Une entreprise qui utilise un système d'IA, sans en développer aucun, porte déjà des obligations propres : elles sont détaillées dans notre article sur les obligations de l'AI Act pour une entreprise.

Ce que cet article ne couvre pas

Il ne traite pas la sécurité technique des systèmes que vous construiriez vous-même, ni les attaques visant les agents connectés à vos outils internes. C'est un autre métier, qui relève de votre responsable de la sécurité des systèmes d'information.

Il ne traite pas non plus les biais des systèmes qui décident du sort d'une personne, recrutement, notation ou accès à un financement. Ces usages sont réglementés à part et ne se sécurisent pas avec les quatre parades ci-dessus.

Enfin, aucune de ces parades ne se mesure. Nous ne pouvons pas vous dire combien d'incidents elles évitent, et nous préférons l'écrire plutôt que de citer un chiffre que nous n'avons pas.

Arbitrer ces risques reste un travail de direction, pas de service technique. C'est l'objet de la formation IA dirigeant, qui reprend ces décisions dans l'ordre où elles se posent.

Et si vous n'avez pas encore d'usage installé, ces parades se posent plus facilement dès le premier essai que rétroactivement : c'est la question par où commencer avec l'IA en entreprise.