Gestion du changement lié à l'IA : adoption et contrôles politiques

Les outils d'IA transforment déjà la façon dont les employés rédigent, synthétisent, recherchent, analysent et prennent des décisions. L'erreur que commettent de nombreuses organisations est de considérer leur adoption comme un simple projet de licence. Elles achètent l'outil, annoncent son lancement, organisent une formation et espèrent que les utilisateurs s'en serviront de manière responsable.

Cette approche est inadaptée à l'IA. L'IA générative manipule les données de l'entreprise, les autorisations des utilisateurs, les documents confidentiels, les informations clients, les processus décisionnels et le comportement des employés. Microsoft précise que Microsoft 365 Copilot fonctionne au sein du périmètre de service Microsoft 365 et respecte les contrôles d'accès existants. Toutefois, cela signifie également que Copilot peut afficher des informations auxquelles un utilisateur a déjà accès, même si cet accès est plus étendu que nécessaire.^{1, 2}

Une bonne gestion du changement en matière d'IA offre à votre organisation une méthode reproductible pour répondre à quatre questions :

• Pourquoi utilisons-nous l'IA ? Liez l'adoption à des résultats commerciaux mesurables, et non à la nouveauté.
• Qui peut l'utiliser? Définir les rôles, les équipes éligibles, les exigences d'accès et les attentes en matière de formation.
• Quelles données peuvent être utilisées en toute sécurité ? Précisez ce qui peut être demandé, résumé, téléchargé, partagé ou exclu.
• Comment gouverner le changement ? Élaboration des approbations, des niveaux de risque, des contrôles des politiques, de la gestion des exceptions et des cycles d'examen.

Qu’est-ce que la gestion du changement par l’IA ?

La gestion du changement en matière d'IA est le processus structuré d'introduction des outils, politiques et comportements liés à l'IA au sein d'une organisation. Elle comprend la planification, la communication, l'adhésion des parties prenantes, la formation, la gouvernance, les contrôles techniques, le support, le retour d'information et l'amélioration continue.

Pour Microsoft 365 Copilot, la gestion du changement lié à l'IA est particulièrement importante car la valeur de Copilot réside dans sa connexion aux données de travail à travers Microsoft 365. Microsoft précise que les invites, les réponses et les données accessibles via Microsoft Graph ne sont pas utilisées pour entraîner les grands modèles de langage de base de Microsoft 365 Copilot, mais les organisations doivent néanmoins gérer la confidentialité, l'accès, le partage excessif, la classification des données et leur utilisation acceptable.^{1, 2}

Les meilleurs programmes réunissent trois axes de travail :

Si vous préparez encore Microsoft 365 à l'IA, commencez par un exercice pratique. Liste de vérification de l'état de préparation du copiloteSi votre organisation a besoin de rôles de propriété, d'approbation et de gouvernance, associez cet article à Gouvernance de l'IA pour les équipes informatiques.

Pourquoi l'adoption de l'IA échoue sans gestion du changement

La plupart des problèmes d'adoption de l'IA ne sont pas dus à un manque d'intérêt, mais à des attentes floues. Les employés entendent dire que l'IA leur fera gagner du temps, mais ils ignorent quelles tâches sont autorisées, quelles données ils peuvent utiliser, quand une vérification humaine est nécessaire et comment obtenir de l'aide.

Les directives fédérales canadiennes sur l'IA générative recommandent d'évaluer les risques avant utilisation et de limiter son utilisation aux cas où ces risques peuvent être gérés efficacement.⁵ Le Commissariat à la protection de la vie privée du Canada oriente également les organisations vers des principes de protection de la vie privée pour une IA générative responsable et digne de confiance.⁶ Pour les organisations canadiennes, l'adoption de l'IA devient ainsi un enjeu de gouvernance autant qu'un enjeu de productivité.

Point clé à retenir : la gestion du changement en matière d’IA doit faciliter l’utilisation sûre par rapport à l’utilisation clandestine.

Le cadre de gestion du changement en IA

Un programme de transformation numérique axé sur l'IA doit être suffisamment simple à mettre en œuvre, mais suffisamment rigoureux pour résister à l'examen minutieux de la direction, des auditeurs, des assureurs, des clients et des organismes de réglementation. Le cadre de gestion des risques liés à l'IA du NIST encourage les organisations à gérer ces risques selon un cycle de vie reproductible, et la norme ISO/IEC 42001 définit les exigences relatives à la mise en place, au maintien et à l'amélioration d'un système de gestion de l'IA.^{3, 7}

Pour les PME de taille moyenne et les PME matures, ce cadre peut être décomposé en sept étapes.

1. Définir l'analyse de rentabilisation

   Commencez par des tâches fastidieuses, répétitives, mesurables et suffisamment sûres pour une adoption rapide. Parmi les premiers cas d'utilisation pertinents, citons les comptes rendus de réunions, la recherche de connaissances internes, les premières ébauches, la consultation de politiques, les résumés de tickets, l'aide à la rédaction de propositions et les analyses de routine.

2. Cartographie des parties prenantes et des droits de décision

   Identifiez le sponsor exécutif, le responsable informatique, le responsable de la sécurité, le responsable de la conformité et de la protection des données, le responsable RH et formation, les responsables des projets pilotes et la voie d'escalade. Cela permet d'éviter que les décisions relatives à l'IA ne soient informelles ou fragmentées.

3. Évaluer la préparation des données et de l'identité

   Vérifiez SharePoint, Teams, OneDrive, Exchange, Entra ID, les groupes, l'accès invité, les autorisations obsolètes, les appareils non gérés et le partage externe. Copilot ne peut fonctionner qu'avec les ressources auxquelles les utilisateurs ont accès ; il est donc essentiel de valider le modèle d'autorisations avant tout déploiement à grande échelle.^{2, 9}

4. Créer des contrôles de stratégie

   Définir les conditions d'utilisation acceptables, les données restreintes, l'examen humain requis, les règles de partage externe, les limites de la prise de décision, les outils approuvés, les processus d'approbation des agents et les voies d'escalade des incidents.

5. Effectuer un pilotage contrôlé

   Choisissez un groupe représentatif d'utilisateurs, proposez-leur des scénarios adaptés à leur rôle, recueillez leurs commentaires, surveillez les signaux de risque et affinez la formation avant de passer à l'échelle supérieure.

6. Développez-vous avec des champions et du soutien

   Désignez des référents dans chaque département, publiez des modèles de consignes approuvés, organisez des permanences et créez un processus simple permettant aux employés de demander de nouveaux cas d'utilisation ou de signaler des problèmes.

7. Mesurer, gouverner et améliorer

   Examinez régulièrement l'adoption, le temps gagné, les tickets d'assistance, les exceptions aux politiques, les invites à risque, les événements DLP, les problèmes d'accès et les nouvelles demandes commerciales.

Les contrôles politiques dont tout programme d'IA a besoin

Une politique relative à l'IA ne doit pas ressembler à une clause de non-responsabilité. Elle doit indiquer aux employés comment utiliser l'IA en toute sécurité dans le cadre de leur travail. Une politique efficace est concise, précise et facile à appliquer, et suffisamment flexible pour évoluer au fil des cas d'utilisation.

1. Outils d'IA approuvés

Indiquez les outils d'IA approuvés, les personnes autorisées à y accéder, le type de compte requis et si seuls les outils gratuits ou personnels sont autorisés. Pour les organisations privilégiant les solutions Microsoft, cela implique souvent de privilégier Microsoft 365 Copilot et Copilot Chat au sein de l'environnement professionnel plutôt que les outils grand public non gérés.

2. Règles de classification des données

Définissez les types de données autorisés et interdits dans les invites d'IA. Cette définition doit être conforme aux étiquettes de sensibilité, aux politiques de conservation, aux règles DLP et aux obligations de confidentialité. Microsoft Purview peut utiliser des politiques DLP ciblant Microsoft 365 Copilot et Copilot Chat pour limiter les invites contenant des informations sensibles et empêcher le traitement des fichiers ou e-mails étiquetés comme sensibles dans les réponses Copilot.⁸

3. Inciter à définir les limites

Donnez aux employés des exemples de requêtes sûres, de requêtes risquées et de requêtes interdites. Par exemple, demander à Copilot de résumer une politique stockée sur un site interne approuvé peut être acceptable, tandis que coller des données brutes de santé, financières, juridiques ou RH des clients dans un outil d'IA non approuvé doit être interdit.

Les équipes qui ont besoin d'exemples pratiques peuvent s'appuyer sur des exemples approuvés Modèles d'invites Copilot pour résumer, rédiger, analyser et décider.

4. Exigences relatives à l'examen humain

Définissez les résultats qui nécessitent une vérification humaine avant utilisation. Les contenus générés par l'IA doivent être vérifiés avant d'avoir un impact sur les clients, les employés, les décisions réglementées, les contrats, les rapports financiers, les mesures de sécurité ou les déclarations publiques.

5. Contrôles d'accès et d'identité

Utilisez la sécurité basée sur l'identité pour réduire les risques avant l'adoption généralisée de l'IA. Microsoft décrit l'accès conditionnel comme un moteur de politiques Zero Trust qui utilise des signaux tels que l'utilisateur, le groupe, l'appareil, l'application, la localisation et le niveau de risque pour appliquer les décisions d'accès.⁹ Pour une planification pratique, associez l'adoption de l'IA à des politiques d'accès plus strictes, telles que celles évoquées dans Accès conditionnel au-delà de l'authentification multifacteur.

6. Approbations des agents et de l'automatisation

Les agents d'IA nécessitent une gouvernance renforcée car ils peuvent être connectés à des données, des flux de travail et des actions. Les contrôles d'administration de Microsoft 365 permettent aux organisations de gérer l'accès à Copilot et aux agents Copilot, d'examiner et d'approuver les agents soumis à un catalogue d'organisation et de surveiller les agents partagés au sein de l'organisation.¹⁰

7. Intervention et escalade en cas d'incident

Les employés doivent savoir comment réagir lorsque l'IA produit des données sensibles, des conseils inexacts, du contenu nuisible, des divulgations non autorisées ou des activités suspectes. Les incidents liés à l'IA doivent s'intégrer à votre processus global de sécurité et de continuité d'activité. Pour une approche axée sur la sécurité, utilisez un modèle de plan de réponse aux incidents et le flux de travail de triage des incidents.

Niveaux de risque de l'IA : une méthode pratique pour approuver les cas d'utilisation

Chaque cas d'usage de l'IA ne requiert pas le même processus d'approbation. Une simple demande d'amélioration de la productivité à faible risque ne doit pas être examinée comme un processus de décision ayant un impact sur le client. La hiérarchisation des risques permet d'éviter que la gouvernance ne devienne un goulot d'étranglement.

OWASP met en évidence des risques tels que l'injection rapide, la divulgation d'informations sensibles, le traitement non sécurisé des résultats et un pouvoir d'agence excessif dans les applications LLM.¹¹ C’est pourquoi les cas d’utilisation de l’IA avec des plugins, des agents, des connecteurs externes ou des actions de flux de travail nécessitent des contrôles plus stricts que les simples cas d’utilisation de rédaction. Pour les flux de travail d’IA à haut risque, envisagez Tests d'IA et simulations d'attaques rapides avant la mise à l'échelle.

Préparation du copilote : l’aspect technique du changement lié à l’IA

L’évaluation de la compatibilité avec Copilot ne se limite pas à une simple liste de vérification des licences. Il s’agit d’un examen visant à déterminer si votre environnement Microsoft 365 peut exposer, rechercher, synthétiser et générer des données organisationnelles en toute sécurité.

À tout le moins, le service informatique devrait examiner ces domaines avant un déploiement à grande échelle :

Comment favoriser l'adoption sans perdre le contrôle

Les employés adoptent l'IA lorsqu'elle facilite leurs tâches concrètes. Ils la délaissent lorsque la formation est abstraite, les politiques perçues comme punitives ou lorsque l'outil alourdit une journée déjà chargée.

Un plan d'adoption pratique devrait inclure les éléments suivants.

Commencez par des cas d'utilisation basés sur les rôles

Les formations génériques en IA sont rarement efficaces. Les services commerciaux, financiers, opérationnels, RH, informatiques et la direction ont besoin d'exemples différents. Commencez par 3 à 5 cas d'utilisation validés pour chaque groupe et définissez clairement le flux de travail attendu.

Utilisez des champions, pas seulement des entraîneurs.

Les référents facilitent la mise en œuvre des politiques dans le travail quotidien. Ils peuvent recueillir les questions, identifier les pistes pertinentes, repérer les points de confusion et soutenir leurs collègues sans transformer chaque problème en ticket informatique.

Créer une boucle de rétroaction sécurisée

Les employés devraient pouvoir demander sans crainte : « Puis-je utiliser l’IA pour cela ? ». Un simple formulaire de demande ou un canal Teams permet d’orienter les questions relatives aux cas d’usage vers le responsable approprié et de constituer une liste d’améliorations à réaliser.

Rendre la politique visible au moment de son utilisation

Les politiques doivent figurer dans les processus d'intégration, les formations, les bases de connaissances internes, les pages de lancement des outils d'IA et les bibliothèques de consignes. Plus les instructions sont pratiques, moins les employés seront tentés d'improviser avec des outils non gérés.

Modèle de politique relative à l'IA : Que doit-on inclure ?

Votre politique en matière d'IA peut être simple à mettre en œuvre. L'important est de la rendre concrète et de la tenir à jour.

Plan de communication : Que dire aux employés

L'adoption de l'IA suscite à la fois enthousiasme et inquiétude. Certains employés craignent qu'elle ne remplace leur travail. D'autres lui font une confiance excessive. Certains utiliseront discrètement des outils non homologués si les directives officielles tardent à se mettre en place.

Un bon plan de communication devrait indiquer :

• Pourquoi nous adoptons l'IA : Améliorer la productivité, réduire les efforts manuels et aider les équipes à se concentrer sur des tâches à plus forte valeur ajoutée.
• Ce qui est protégé : Données sensibles, confiance des clients, confidentialité, obligations de conformité et réputation de l'entreprise.
• Les responsabilités des employés : Utilisez les outils approuvés, respectez les règles relatives aux données, examinez les résultats et signalez tout problème.
• Où apprendre : Séances de formation, bibliothèques de prompts, exemples, référents et permanences.
• Ce qui vient ensuite : Calendrier du projet pilote, plan d'expansion, nouveaux cas d'utilisation et mises à jour des politiques.

Pour les organisations qui peinent déjà à gérer la réactivité de leurs fournisseurs, le déploiement de l'IA peut également révéler des lacunes plus importantes en matière de maturité informatique. Si votre fournisseur actuel tarde à prendre en charge la sécurité, Microsoft 365 ou la gouvernance de l'IA, il est peut-être temps de revoir votre stratégie. Quand changer de fournisseur de services gérés.

Des indicateurs qui prouvent que l'adoption de l'IA fonctionne

L'adoption de l'IA doit être mesurée à la fois par sa valeur ajoutée pour l'entreprise et par la maturité des contrôles. Se contenter de suivre l'activation des licences, c'est passer à côté de l'essentiel.

Plan de gestion du changement IA sur 90 jours

Ce plan est conçu pour les organisations qui souhaitent passer de l'incertitude face à l'IA à une adoption maîtrisée en un trimestre.

Jours 1 à 30 : Préparation et fondements de la gouvernance

• Confirmer le parrain exécutif, le responsable informatique, le responsable de la sécurité et les responsables du projet pilote.
• Recenser l'utilisation actuelle de l'IA, y compris les outils d'IA parallèles et les expérimentations spécifiques à chaque département.
• Évaluer la préparation des données Microsoft 365, le partage externe, la prolifération de Teams et SharePoint, l'accès invité et les autorisations obsolètes.
• Élaborer une politique d'utilisation acceptable de l'IA et un modèle de niveaux de risque.
• Sélectionner les utilisateurs pilotes et les scénarios d'affaires.

Jours 31 à 60 : Pilotage et commandes

• Configurer ou valider les étiquettes de sensibilité, la DLP, l'accès conditionnel et la préparation à l'audit.
• Former les utilisateurs pilotes aux invites approuvées, aux données restreintes et aux attentes en matière de vérification humaine.
• Organiser des ateliers sur les cas d'utilisation par département.
• Recueillir les commentaires, les problèmes d'assistance, les suggestions risquées et les premiers exemples de productivité.
• Mise à jour de la politique en fonction des résultats du projet pilote.

Jours 61 à 90 : Mise à l’échelle et optimisation

• Élargir l'accès à des équipes supplémentaires en fonction de leur niveau de préparation et de risque.
• Publier des bibliothèques d'invites basées sur les rôles et de courts guides pratiques.
• Lancement de champions, de permanences et de flux de travail de support.
• Examiner l'adoption, l'impact sur l'activité, les incidents de perte de données, les exceptions d'accès et les besoins de formation.
• Élaborer la feuille de route du prochain trimestre pour les nouveaux cas d'utilisation, les agents, l'automatisation et les améliorations de la gouvernance.

Erreurs courantes de gestion du changement en IA

Où MSP Corp vous aide

MSP Corp aide les organisations canadiennes à intégrer l'adoption de l'IA à Microsoft 365, à la sécurité, à l'identité, à la gouvernance des données et à la gestion du changement afin de rendre cette adoption durable.

Pour les organisations qui modernisent l'expérience employé dans son ensemble, la gestion du changement par l'IA peut également s'aligner sur solutions modernes pour les espaces de travail, Conseil informatique et services de cybersécurité.

Liste de contrôle de gestion du changement en IA

Utilisez cette liste de contrôle pour évaluer si votre organisation est prête à passer de l'expérimentation à une adoption contrôlée.

• Nous avons un sponsor exécutif pour l'adoption de l'IA.
• Nous avons désigné des responsables pour l'informatique, la sécurité, la confidentialité, la conformité, les ressources humaines et l'adoption par les entreprises.
• Nous savons quels outils d'IA sont approuvés et lesquels sont interdits.
• Nous avons documenté les règles d'utilisation acceptable et les règles relatives aux données restreintes.
• Nous avons passé en revue SharePoint, Teams, OneDrive, les groupes, les invités et le partage externe.
• Nous disposons d'étiquettes de sensibilité, de DLP ou de contrôles équivalents pour les données sensibles.
• Nous disposons d'un modèle de niveaux de risque pour les cas d'utilisation de l'IA.
• Nous avons un plan pilote avec des résultats commerciaux mesurables.
• Nous proposons des formations, des exemples concrets et un parcours d'assistance pour les utilisateurs.
• Nous disposons d'une procédure d'escalade pour les résultats inexacts, la divulgation de données sensibles, les violations de politiques et les comportements suspects de l'IA.
• Nous avons un calendrier de gouvernance pour l'examen des indicateurs, des exceptions, des nouveaux cas d'utilisation, des agents et des mises à jour des politiques.