IA générative : six contrôles avant le premier prompt

Une IA générative peut accélérer une recherche, reformuler un document ou aider à produire une première version. Mais un prompt n’est pas un geste anodin : il peut engager des données, des droits, une décision métier et la réputation de l’organisation.

Depuis le 2 août 2026, le règlement européen sur l’intelligence artificielle (UE 2024/1689) s’applique à toute organisation qui fournit, déploie ou distribue un système d’IA dans l’Union, y compris une PME qui utilise un assistant du marché ou un agent conversationnel, avec des sanctions pouvant atteindre 35 M€ ou 7 % du chiffre d’affaires mondial. Six contrôles courts suffisent, en pratique, à sécuriser le premier essai.

1. Clarifier la finalité et examiner les données

Commencez par écrire, en une phrase, ce que vous cherchez à obtenir. Une finalité précise permet de distinguer l’assistance à la rédaction d’un traitement plus sensible, qui pourrait influencer une personne ou une décision. Posez trois questions : quel résultat est attendu, qui l’utilisera et quelle décision restera humaine ? Si vous ne pouvez pas répondre, différez le prompt.

Ne copiez pas automatiquement le dossier complet. Inventoriez les informations nécessaires, puis retirez celles qui ne servent pas directement la tâche. Noms, coordonnées, informations de santé, identifiants, contrats ou secrets commerciaux appellent une vigilance particulière : préférez un exemple fictif, une synthèse ou une anonymisation adaptée au contexte. Vérifiez aussi votre droit à utiliser ces données : la collecte et l’utilisation de données personnelles via un système d’IA restent soumises au RGPD, aux principes de protection dès la conception et aux droits des personnes concernées.

2. Choisir l’outil et délimiter ce qu’il a le droit de faire

Un outil grand public et une solution validée par l’organisation n’offrent pas les mêmes garanties. Avant de saisir quoi que ce soit, contrôlez le compte utilisé, les conditions applicables, les options de réutilisation des conversations, les accès administrateurs, la localisation annoncée des traitements et les modalités de suppression. Si ces éléments sont inconnus, limitez-vous à des données non sensibles.

Le contrôle porte aussi sur ce que l’outil peut entreprendre seul. L’alerte CERTFR-2026-ACT-016 demande de ne pas déployer d’agents IA autonomes sur les postes de production et recommande de les réserver à un environnement de test dépourvu de données sensibles. Cinq risques sont identifiés : compromission par des outils encore en version bêta, fuite de données vers des ressources externes, droits excessifs sur les applications métier, partage de secrets d’authentification et perte de contrôle avec des actions destructives irréversibles. Un assistant qui se contente de répondre et un agent qui lit vos fichiers, rédige des courriels et exécute des commandes ne relèvent pas de la même décision.

3. Vérifier le paramétrage, et savoir ce qu’il coûte

Avant le premier prompt, désactivez si possible l’historique ou la réutilisation à des fins d’amélioration lorsque la politique interne l’exige. Activez l’authentification appropriée, limitez les partages et vérifiez les droits d’accès aux conversations et aux fichiers. Définissez une règle claire pour les extensions, connecteurs et téléversements : une fonctionnalité utile peut élargir le périmètre des données exposées. Documentez les réglages retenus.

Le sujet est aussi budgétaire, car l’outillage se démocratise vite. Microsoft 365 Copilot est proposé à 15,60 € HT par utilisateur et par mois jusqu’au 30 septembre, avec engagement annuel et tarif promotionnel limité à la première année, contre un tarif public de 28 à 30 € HT ; les agents personnalisés sont, eux, facturés à l’usage sous forme de Copilot Credits. Laisser chacun activer des agents sans revue fait donc courir deux risques simultanés : élargir la surface de données et voir la facture progresser sans décision explicite.

4. Organiser la validation humaine

Traitez la réponse comme une proposition, jamais comme une preuve. Contrôlez les faits, les calculs, les dates, les citations, le ton et la conformité aux consignes métier : une réponse fluide peut contenir une invention, une omission ou un biais, et sa forme ne constitue pas une garantie. Pour une décision ayant un effet sur une personne, prévoyez une revue humaine capable de comprendre le résultat, de le contester et de l’écarter.

Cette compétence est désormais attendue. Depuis le 3 août 2026, l’article 4 du règlement européen sur l’IA est sanctionnable : une organisation qui utilise un outil d’IA doit garantir, de façon documentée, un niveau de maîtrise adapté à ses équipes, sous peine de sanctions pouvant atteindre 7,5 M€ ou 1,5 % du chiffre d’affaires mondial. Une grille de contrôle écrite, appliquée et conservée sert donc deux objectifs : la qualité du travail et la preuve de la compétence.

5. Décider de la conservation avant d’envoyer

Fixez dès le départ ce qui doit être conservé, pendant combien de temps et pour quelle raison. Il peut être pertinent de garder une décision validée ou une version finale, sans archiver automatiquement chaque brouillon contenant des données personnelles. Séparez les journaux techniques, les documents de travail et les livrables, puis limitez les accès selon le besoin. Prévoyez l’effacement ou la purge conformément aux règles internes et aux obligations applicables.

Une donnée correctement choisie peut encore devenir un risque si elle reste accessible sans nécessité. Avant de cliquer sur Envoyer, relisez la grille complète : finalité, données, outil, paramétrage, validation, conservation. Ces six contrôles transforment un essai improvisé en usage maîtrisé. METERIS peut vous aider à formaliser cette grille et à l’adapter aux outils déjà déployés dans votre entreprise.