if ( !emtpy($headline_subheadline ) ) : ?>
Les entreprises ont passé des années à s’inquiéter de ce que les employés investissent dans l’IA. Le litige Watson Grinding montre pourquoi ils doivent également réfléchir aux traces que ces interactions laissent derrière elles.
endif; ?>
Un détail du litige concernant l’explosion de Watson Grinding impliquant 3M a changé ma façon de concevoir la gouvernance rapide. Un expert en ingénierie retenu par 3M utilisait ChatGPT lors de l’élaboration de son analyse, et parmi les conversations qui ont fait surface par la suite, il y avait une invite indiquant au système de « montrer comment 3M est à 0 % en faute ». Le rapport n’établit pas que 3M a demandé à l’expert d’utiliser ChatGPT ou lui a demandé de saisir cette invite, et que la distinction est importante. Ce qui compte tout autant, c’est ce qui s’est passé lorsque l’interaction sous-jacente de l’IA elle-même est devenue pertinente.
L’avocat des plaignants, Will Moye, a décrit avoir interrogé l’expert lors de sa déposition après avoir rencontré du matériel qui semblait avoir été généré avec ChatGPT. Selon Moye, la déposition a été confidentielle alors qu’il a exigé les invites sous-jacentes. Environ trois heures plus tard, plus de 350 pages de matériel ChatGPT inédit ont été fournies. La question ne se limitait plus à ce qui figurait dans le rapport final de l’expert. La conversation derrière cela faisait désormais partie de l’enquête.
Cela m’a immédiatement semblé familier. J’ai passé une grande partie de ma carrière à travailler dans des environnements où, lorsque quelque chose tourne mal ou qu’une décision est contestée, le document final suffit rarement à expliquer ce qui s’est passé. Vous reconstituez l’histoire à partir des preuves environnantes : une approbation, un journal système, un ticket, un message qui a changé la direction du travail ou une étape du processus qui était censée se produire mais qui ne s’est pas produite. L’artefact officiel peut vous indiquer où le processus s’est terminé, mais le sentier environnant fournit souvent le contexte nécessaire pour comprendre comment il y est arrivé. L’IA ajoute désormais une autre couche à cette piste.
L’invite peut faire partie du dossier de décision
Pendant des années, les discussions en entreprise sur les risques liés à l’IA générative se sont fortement concentrées sur les intrants. Les organisations ont averti leurs employés de ne pas coller de code propriétaire dans ChatGPT, de télécharger des informations client sensibles, d’exposer des informations personnellement identifiables ou de saisir des propriétés intellectuelles protégées dans des outils publics d’IA. Ces contrôles sont nécessaires, et ma propre expérience dans des environnements technologiques réglementés renforce la raison pour laquelle les organisations ont commencé par là. Mais la protection de l’entrée ne résout qu’une partie du problème. Les interactions de l’IA peuvent également préserver des informations sur le processus qui a produit la réponse finale.
Imaginez un ingénieur utilisant un assistant IA pour comparer deux architectures et modifier à plusieurs reprises les hypothèses jusqu’à ce que l’option préférée l’emporte. Un analyste des achats pourrait demander à AI de construire la justification la plus solide pour un fournisseur qui a effectivement déjà été sélectionné. Un responsable pourrait l’utiliser pour documenter une décision d’embauche après que cette décision a été prise, tandis qu’un auditeur ou un professionnel de la conformité pourrait continuer à réviser les invites jusqu’à ce qu’une lacune de contrôle semble moins grave. Aucun de ces scénarios n’exige que l’IA ait des hallucinations ou un dysfonctionnement. La technologie pourrait fonctionner exactement comme prévu tandis que l’interaction capture les hypothèses, les résultats préférés, les alternatives rejetées et les pistes de recherche qui n’apparaissent jamais dans l’artefact final.
Cela ne signifie pas qu’une invite prouve le raisonnement ou l’intention de quelqu’un. Les gens utilisent l’IA pour tester des arguments, se faire l’avocat du diable, remettre en question leurs propres hypothèses ou explorer des positions qu’ils pourraient finalement rejeter. Une seule invite prise hors de son contexte peut donc être trompeuse. Mais c’est aussi la raison pour laquelle l’historique des interactions peut être important : il peut fournir des preuves ou un contexte sur la façon dont une analyse s’est développée, ce que les résultats raffinés à eux seuls ne fournissent pas.
L’American Bar Association a déjà examiné les historiques de discussions sur l’IA en tant que source émergente de matériel de découverte, en partie parce que ces conversations peuvent préserver des questions, des théories abandonnées et des raisonnements qui ne se retrouvent jamais dans un produit de travail fini. Du point de vue de la gouvernance opérationnelle, je vois quelque chose de plus large qu’un problème de découverte. Les interactions de l’IA peuvent faire partie des preuves entourant une décision conséquente, mais de nombreuses organisations n’ont pas encore décidé quand conserver ces preuves, à qui elles appartiennent ou comment les gérer.
Nous avons protégé l’entrée mais négligé le cycle de vie
L’affaire Watson Grinding a modifié l’une des questions que je me pose désormais lorsque je pense à l’IA d’entreprise. Je veux toujours savoir quelles informations une organisation fournit au modèle, mais je veux aussi savoir quel enregistrement est créé pendant que les gens l’utilisent. Cette deuxième question amène la conversation au-delà des politiques d’utilisation acceptable et vers la gestion du cycle de vie de l’information.
Une interaction avec l’IA ne se termine pas nécessairement lorsque la réponse apparaît à l’écran. Il y a la conversation elle-même, le résultat généré, la manière dont le matériel est partagé, où il est stocké, combien de temps il reste disponible, qui peut le récupérer et que se passe-t-il lorsque quelqu’un le supprime finalement. La plupart des organisations ont consacré beaucoup plus de temps à réfléchir au début de ce cycle de vie qu’à sa fin.
Même quelque chose d’aussi ordinaire qu’une conversation partagée illustre le problème. Les conseils d’OpenAI sur les liens partagés ChatGPT expliquent que toute personne disposant d’un lien partagé peut voir la conversation associée. OpenAI a supprimé l’option distincte de découverte des moteurs de recherche pour les conversations partagées en 2025, mais le problème de gouvernance plus large demeure : les informations créées dans ce qui ressemble à un espace de travail individuel peuvent devenir accessibles à l’extérieur via une fonctionnalité de produit ordinaire. Multipliez cela dans une entreprise où les employés peuvent utiliser ChatGPT, Copilot, Claude, Gemini et des applications d’IA spécialisées avec différents paramètres de rétention, contrôles administratifs, capacités de journalisation et options de partage, et le défi s’étend rapidement au-delà de l’utilisation de base acceptable de l’IA.
Je ne pense pas que la solution consiste à tout préserver. Une leçon que j’ai tirée de mon travail avec les processus de gouvernance et opérationnels est qu’un plus grand nombre de documentation ne crée pas automatiquement plus de contrôle. Les organisations peuvent accumuler d’énormes quantités de preuves tout en ayant du mal à déterminer ce qui compte, à qui elles appartiennent ou comment elles doivent être utilisées. Enregistrer chaque invite indéfiniment créerait ses propres risques en matière de confidentialité, de sécurité, de découverte et opérationnels.
La meilleure approche consiste à laisser les conséquences du travail déterminer le niveau de gouvernance. Un employé qui demande à l’IA de rendre un e-mail plus clair ne doit pas être traité de la même manière qu’un ingénieur utilisant l’IA pour soutenir une analyse de sécurité, un auditeur évaluant un contrôle, un manager prenant une décision d’emploi ou un cadre s’appuyant sur l’IA pour éclairer une décision commerciale importante. À mesure que les conséquences potentielles augmentent, la nécessité de comprendre le rôle important de l’IA dans le processus augmente également.
Pour les utilisations à plus haut risque, cela peut impliquer de conserver suffisamment de provenance pour reconstruire ce qui s’est passé : les invites et les résultats matériels, le système d’IA utilisé, les preuves d’un examen humain significatif et suffisamment de contexte pour comprendre comment l’IA a contribué à la décision finale. Le but n’est pas d’archiver chaque itération de la pensée de quelqu’un. Il s’agit de préserver suffisamment le processus pour expliquer ce qui s’est passé lorsque la responsabilité est importante.
Cela nécessite également une appropriation claire. Les équipes d’IA ne devraient pas prendre seules des décisions en matière de gestion des dossiers, et les équipes juridiques ou de conformité ne devraient pas découvrir comment une plateforme d’IA conserve les informations seulement après le début d’un litige ou d’une enquête. Les DSI doivent définir des responsabilités définies en matière de technologie, de gestion des dossiers, de droit, de sécurité et de conformité pour décider de ce qui est conservé, de ce qui expire intentionnellement, de ce qui peut être partagé, de ce qui peut être récupéré et de la manière dont les interactions d’IA à plus haut risque s’intègrent dans les conservations ou les enquêtes juridiques.
Ces principes peuvent ressembler davantage à une gouvernance de l’information qu’à une ingénierie rapide. C’est là le point. À mesure que l’IA s’implante dans le travail conséquent de l’entreprise, le défi de la gouvernance ne se limite plus à savoir si quelqu’un a utilisé un modèle approuvé ou a saisi des informations interdites. Les organisations doivent également comprendre quelles preuves l’interaction elle-même peut créer.
Pourriez-vous reconstituer la décision un an plus tard ?
Une habitude que j’ai développée en travaillant autour des systèmes opérationnels est de réfléchir en arrière par rapport à l’enquête future. Je ne présume pas que tous les processus échoueront, mais demander quelles preuves seraient nécessaires six mois ou un an plus tard force une conversation plus claire sur la responsabilité. Si quelqu’un contestait une décision après coup, l’organisation pourrait-elle établir quelles informations étaient disponibles, quel rôle l’IA a joué, ce que l’humain a accepté ou rejeté et à qui appartient finalement la décision ?
Le traitement juridique des conversations IA est encore en développement, et toutes les invites ne deviendront pas automatiquement des preuves détectables. Le privilège, la protection du produit du travail, la pertinence, la possession, la proportionnalité et les circonstances d’un cas particulier peuvent tous affecter la question de savoir si le matériel doit être produit. Un tribunal de New York, par exemple, a récemment rejeté une tentative visant à obtenir les dossiers ChatGPT d’un plaideur, estimant que les documents en cause étaient une recherche juridique protégée. Cette incertitude ne doit pas inciter les organisations à ignorer la question. Cela devrait les encourager à prendre des décisions délibérées en matière de gouvernance avant qu’un auditeur, un régulateur, un enquêteur ou un avocat adverse ne force la question.
Le litige Watson Grinding ne m’a pas convaincu que chaque invite de l’IA est un enregistrement. Cela m’a convaincu que les organisations doivent savoir quand une interaction avec l’IA devient suffisamment importante pour être traitée comme telle.
Mon collègue Josh Copeland, un professionnel de la cybersécurité, a évoqué le risque de responsabilité de façon mémorable : « L’IA ne témoignera pas pour vous ; elle ne vous fera pas condamner à une peine de prison ; elle ne paiera pas vos amendes ; mais elle témoignera absolument contre vous. »
Cela laisse une question à laquelle je pense que toute organisation utilisant l’IA dans des travaux conséquents devrait être en mesure de répondre : si cette décision était contestée dans un an, pourrions-nous reconstruire comment elle a réellement été prise ?
