Avant de déployer un assistant IA, regardez vos partages

La phrase revient dans toutes les réunions de lancement : « l’assistant ne voit que ce que l’utilisateur a déjà le droit de voir ». Elle est exacte. Elle est aussi la source du premier incident, parce qu’elle rassure sur la mauvaise question.

Dans une entreprise de trente personnes, les droits d’accès se sont sédimentés sur dix ans. Un dossier a été partagé « à tout le monde, temporairement » en 2019 pour dépanner. Un stagiaire a créé un lien public pour transférer un fichier trop lourd. Une bibliothèque a hérité des permissions d’un espace parent que personne n’a rouvert depuis. Rien de tout cela n’est visible tant que la recherche interne est mauvaise - et la recherche interne était mauvaise.

Un assistant conversationnel supprime cet obstacle. Il ne force aucune permission ; il rend simplement la recherche efficace. « Quel est le salaire moyen dans l’équipe commerciale ? » est une question qu’un collaborateur curieux n’aurait jamais su résoudre en fouillant les dossiers. L’assistant, lui, y répond en trois secondes si le fichier est dans son périmètre.

Ce qu’il faut regarder

L’exercice n’est pas long, et il a une valeur propre indépendamment de tout projet IA.

Les liens de partage ouverts. Les deux plateformes savent les lister. Cherchez ceux qui n’ont pas de date d’expiration et ceux qui pointent vers des dossiers plutôt que vers des fichiers. Un lien vers un dossier continue de partager tout ce qu’on y déposera plus tard.

Les héritages de permissions. Une bibliothèque SharePoint ou un Drive partagé dont les droits ont été fixés à la racine, puis jamais revus, diffuse ses permissions à tout ce qui a été créé dessous. C’est le mécanisme derrière la majorité des expositions internes que nous constatons.

Les documents restés dans des espaces personnels. Le pendant du problème précédent : ce qui appartient à un compte individuel échappe à la gouvernance de l’entreprise, et disparaît avec le départ du salarié.

Les groupes « tout le personnel ». Vérifiez qui en fait réellement partie. Prestataires, anciens salariés, comptes de service : cette liste est presque toujours plus longue que ce que la direction imagine.

Étiqueter ce qui doit l’être

Une fois les partages remis en ordre, un jeu d’étiquettes de confidentialité simple - trois niveaux suffisent - permet de traiter le cas des documents qui doivent rester hors du périmètre de l’assistant, même pour les personnes qui y ont accès. Paie, dossiers du personnel, données de santé, négociations en cours.

Trois niveaux, pas huit. Un système d’étiquetage que les utilisateurs ne comprennent pas ne sera pas appliqué, et un étiquetage partiel donne un faux sentiment de couverture.

L’ordre des opérations

Nous procédons systématiquement dans cet ordre, et nous refusons d’activer des licences avant la fin de la première étape :

1. Inventaire et remise en ordre des partages.
2. Étiquetage des contenus sensibles.
3. Pilote sur cinq à dix utilisateurs, pendant six semaines.
4. Charte d’utilisation écrite à partir de ce que le pilote a révélé.
5. Extension aux profils comparables.

La première étape est celle qu’on propose le plus souvent de sauter, au motif qu’elle retarde le projet. C’est aussi la seule qui produit un bénéfice si le projet IA est finalement abandonné : un système de fichiers dont les accès sont maîtrisés reste utile en toutes circonstances.

Ce que cela ne règle pas

La revue des partages traite l’exposition. Elle ne traite ni la fiabilité des réponses - qui reste à vérifier systématiquement - ni l’usage d’assistants grand public sur des comptes personnels, qui continue en parallèle tant qu’aucun outil encadré n’est fourni.

Ces deux sujets relèvent de la charte et de la formation, pas de la technique. Ils méritent chacun leur propre demi-journée.