Le tableur rempli de licences
Lorsque l'adoption de l'IA grandit sans direction commune, le premier artefact est souvent un tableur. Il liste des abonnements à des assistants conversationnels, des outils de réunion, de code, d'image, de recherche et des pilotes achetés par des équipes distinctes. Cela ressemble à de l'élan, car chaque ligne comporte un logo, un sponsor et une date de renouvellement. Cela représente souvent des dépenses doublonnées, des pratiques de données incohérentes et aucun apprentissage partagé.
Le problème n'est pas le nombre d'outils. Une organisation peut avoir de bonnes raisons d'utiliser plusieurs produits IA. Le problème est l'absence de décision sur la capacité que chacun sert, le workflow qu'il modifie et la personne responsable du résultat.
Faits et preuves : l'accès n'est pas une stratégie
Un outil donne à une personne ou à une équipe accès à une capacité. Il peut rédiger, transcrire une réunion, chercher dans une base de connaissances, générer du code ou classer des documents. Une stratégie décide où ces capacités comptent, sous quelles conditions elles sont utilisées et quel résultat justifie leur coût. Acheter l'accès ne prend pas ces décisions.
Cette distinction est importante parce que l'IA générative s'adopte facilement, un onglet de navigateur à la fois. Une équipe peut commencer avec un compte gratuit, une carte bancaire personnelle ou une fonctionnalité intégrée à un logiciel existant. Mais elle peut masquer des décisions essentielles : quelles informations peuvent y entrer, où les résultats peuvent être employés, qui vérifie un travail important, ce qui se passe si le fournisseur modifie une fonction et comment arrêter l'usage proprement.
Le cadre de gestion des risques IA du NIST décrit le risque IA comme un enjeu sociotechnique. Concrètement, le risque ne se trouve pas seulement dans le modèle. Il concerne les personnes, les données, les workflows, les incitations et l'organisation qui les entoure. Le guide pratique du NIST regroupe les actions utiles sous les fonctions Gouverner, Cartographier, Mesurer et Gérer. C'est un meilleur point de départ que de demander quel assistant possède la démo la plus séduisante.
Les produits de tiers ajoutent une couche : leurs conditions et traitement des données entrent dans votre environnement. La publication NIST SP 800-161 Rev. 1 présente la gestion du risque de chaîne d'approvisionnement comme une activité de cycle de vie. L'approbation d'achat est donc un commencement, pas une preuve d'efficacité ou de sûreté.
Analyse : organisez-vous par capacité, pas par marque
Commencez par regrouper les outils selon la tâche qu'ils soutiennent, pas selon l'entreprise qui les vend. Les groupes utiles peuvent inclure la recherche de connaissances, la rédaction de documents, la livraison logicielle, le support client, la capture de réunions, l'analyse et l'automatisation de workflows. Les libellés doivent décrire un travail que votre organisation reconnaît. « Plateforme IA » est trop vague pour guider une décision.
Pour chaque capacité, créez une petite fiche à six rubriques. Premièrement, nommez le workflow : pas « marketing », mais « préparer un premier brouillon de brief de campagne à partir d'informations produit approuvées ». Deuxièmement, nommez le responsable du résultat : la personne qui répond de l'amélioration du workflow. Troisièmement, indiquez la frontière de données : quelles informations peuvent être saisies, connectées, conservées ou exportées. Quatrièmement, précisez le groupe d'utilisateurs et la revue humaine requise. Cinquièmement, choisissez un indicateur de succès. Sixièmement, fixez la prochaine date de décision.
L'indicateur doit être lié au travail, pas à la nouveauté de l'outil. Pour un assistant de recherche, mesurez le temps vers une réponse correcte, pas le nombre de prompts envoyés. Pour un assistant de code, observez la charge de revue, les défauts trouvés après livraison et le délai de traitement dans la partie concernée du système. Pour un assistant de réunion, vérifiez si les décisions et responsables d'action sont saisis avec assez de justesse pour réduire les relances. Un produit peut être populaire sans améliorer le résultat qu'il devait changer.
Cette carte révèle les recouvrements sans les traiter comme une faute. Deux produits peuvent coexister si leurs utilisateurs, frontières de données ou exigences de workflow sont réellement différents. Un environnement privé approuvé pour une rédaction sensible et un outil public léger pour une recherche non sensible ne se doublonnent pas forcément. Mais cinq outils qui répondent tous aux questions de politique interne doivent avoir une raison claire de coexister. Si personne ne peut l'énoncer, le portefeuille apprend la confusion à l'organisation.
Cette carte rend le shadow AI visible sans faire de la gouvernance une surveillance. Les personnes apportent souvent leur outil parce que le chemin approuvé est lent ou incapable de faire le travail. Comprenez le besoin, proposez un chemin plus sûr et posez des frontières de données claires.
Construisez un modèle d'exploitation, pas un catalogue
Le portefeuille a besoin de garde-fous communs. Définissez une classification des données utilisable, les informations admises dans chaque service, les intégrations approuvées et le responsable du compte. Dites aussi quand un résultat peut être utilisé, revu ou écarté. Une équipe centrale rend le chemin sûr plus simple : politique claire, aide à l'évaluation, formation et escalade. Les responsables métier et produit restent comptables de l'amélioration du workflow.
Cette organisation correspond aux principes de l'OCDE. Transparence et responsabilité ne viennent pas d'une liste de logos publiée. Elles exigent que les personnes comprennent le rôle du système, ses limites et qui répond de son impact. Une revue de portefeuille est donc une conversation d'exploitation, pas une diapositive pour un comité de pilotage.
Contre-argument et limites : ne standardisez pas trop tôt
Choisir un seul fournisseur peut réduire la charge administrative, mais aussi créer un mauvais ajustement, concentrer les risques ou supprimer une expérimentation utile. L'extrême opposé est aussi fragile : une autonomie sans frontière de données ni discipline de revue transfère les risques aux équipes les moins équipées. Le profil du NIST sur l'IA générative rappelle qu'un bon outil dans un workflow flou peut encore produire confiance excessive, information erronée ou problèmes de confidentialité.
Le meilleur principe est la proportion. Standardisez d'abord les garde-fous. Ne standardisez le fournisseur que lorsque le travail, les données, les contrôles et l'économie sont réellement communs. Gardez les expérimentations assez petites pour apprendre, mais assez visibles pour que leurs leçons circulent.
Ma position : les renouvellements sont des moments de stratégie
Une stratégie IA n'exige pas un programme de transformation brillant, mais des choix répétés et responsables. La réunion de renouvellement est le moment d'examiner si le workflow s'est amélioré, si la frontière de données reste cohérente et si une autre capacité approuvée répond au même besoin.
Le FinOps appliqué à l'IA devient alors concret. Le coût dépasse la facture de licence. Il comprend l'intégration, la gestion des accès, la formation, le support, l'évaluation, le temps de revue et les reprises causées par un mauvais résultat. Il ne s'agit pas de calculer chaque centime avant d'apprendre. Il s'agit de rendre le coût total d'exploitation visible avant de déclarer une expérimentation réussie.
Le portefeuille devient une stratégie lorsque chaque capacité importante possède un responsable, une frontière, une mesure et une décision. Il peut alors grandir délibérément, se retirer proprement et expliquer ses choix.
Actions concrètes pour les 45 prochains jours
Inventoriez les outils IA en usage. Demandez à chaque sponsor de compléter la fiche à six rubriques : workflow, responsable du résultat, frontière de données, groupe d'utilisateurs et revue, indicateur de succès, date de décision. Les rubriques vides signalent un accès sans cas d'exploitation.
Regroupez les fiches par capacité. Dans un groupe encombré, comparez les workflows avant les fonctions. Dans un groupe à conséquences élevées, vérifiez le parcours des données, l'autorité humaine, l'escalade et la dépendance au fournisseur. Associez tôt les expertises nécessaires, mais gardez le responsable du workflow comptable du résultat métier.
Au prochain renouvellement, exigez une courte note de preuve. Qu'est-ce qui a changé ? Quel a été le coût au-delà de la licence ? Que casserait-il demain si l'outil disparaissait ? Que faut-il modifier avant le renouvellement ?
Sources
- NIST AI Risk Management Framework(lien externe, nouvel onglet) - guide volontaire pour gérer le risque IA dans l'ensemble du système organisationnel.
- NIST AI RMF Playbook(lien externe, nouvel onglet) - actions pratiques selon les fonctions Gouverner, Cartographier, Mesurer et Gérer.
- NIST Generative AI Profile(lien externe, nouvel onglet) - considérations de gestion des risques adaptées aux systèmes d'IA générative.
- NIST SP 800-161 Rev. 1(lien externe, nouvel onglet) - recommandations de gestion des risques de cybersécurité liés aux chaînes d'approvisionnement.
- OECD AI Principles(lien externe, nouvel onglet) - principes internationaux pour une IA fiable et responsable.
Ouvrez votre tableur d'outils IA. Quelle ligne possède un responsable de résultat et une date de décision, plutôt qu'une simple date de renouvellement ?
