Étude de cas · Services financiers réglementés · Gestion de fortune et prévoyance · Suisse
Mission réelle, client anonymisé. Chiffres mesurés avec le client et arrondis ; pas d’audit par un tiers.
Une société financière de 120 personnes encadre ses 68 usages de l’IA en quatre mois et demi
Inventaire des usages de l’IA, règles selon le risque, outils approuvés avec accès contrôlé et validation en moins de 48 h pour les usages simples.
Périmètre et limites
Chiffres arrondis. Mission réelle : le nom du client et les détails qui permettraient de le reconnaître ont été retirés.
- Entreprise
- Société suisse de services financiers réglementés (gestion de fortune et prévoyance), environ 120 personnes
- Périmètre
- L’usage de l’IA générative dans toute l’entreprise, et les données qui passent dans ces outils
- Logiciels en place
- Microsoft 365 et applications métier ; aucun outil d’IA choisi par l’entreprise
- Point de départ
- Outils d’IA grand public utilisés partout, sans inventaire, sans règles et sans validation
Situation de départ
Les outils d’IA grand public s’étaient installés dans les équipes sans qu’aucune décision n’ait été prise : rédaction de courriers, synthèses de dossiers, préparation d’analyses. Personne ne savait qui utilisait quoi, ni avec quelles données. Puis un collaborateur a copié les données d’un client dans un de ces outils. L’incident a été évité de justesse, mais il montrait que le chemin risqué était devenu le chemin par défaut.
La direction a d’abord pensé tout interdire. Cela n’aurait rien réglé : l’usage serait passé sur les téléphones personnels, hors de vue, et l’entreprise aurait perdu ce que ces outils apportaient vraiment. Le conseil d’administration, lui, ne demandait pas une charte : il voulait la preuve que l’usage était maîtrisé, dans une activité où les données de prévoyance ne tolèrent aucune approximation.
La question posée
Tout interdire et perdre l’usage utile, ou poser des règles et rendre le chemin sûr plus rapide que le contournement ?
Contraintes
Réglementation financière et nLPD
Activité réglementée et données personnelles soumises à la nLPD : chaque règle d’usage devait être écrite, traçable et opposable, pas une simple recommandation.
Données de prévoyance
Les données de prévoyance des clients comptent parmi les plus sensibles de l’entreprise. Les exposer à un outil non approuvé était le premier scénario à exclure.
Un conseil qui veut des preuves
Une politique signée ne suffisait pas : le conseil demandait un inventaire, des contrôles, des journaux et des indicateurs revus à date fixe.
Pas d’habitude du risque informatique
L’entreprise gérait ses risques financiers avec rigueur, mais n’avait aucune pratique écrite pour les risques liés aux outils numériques. Les règles devaient pouvoir être reprises par les équipes, pas leur être imposées.
Ce que nous avons mis en place
Deux livrables : des règles d’usage et les outils qui les rendent concrètes. Un principe du premier au dernier jour : chaque usage reçoit un niveau de risque, chaque niveau reçoit des contrôles à sa mesure, et le chemin approuvé doit être plus rapide que le contournement.
Les éléments
Étapes de la mission
Inventaire et analyse des risques 4 semaines
Entretiens équipe par équipe et observation des pratiques réelles : 68 usages de l’IA générative recensés, données concernées identifiées, scénarios de fuite et d’erreur décrits.
Règles et contrôles 4 semaines
Classement des usages en quatre niveaux de risque, contrôles par niveau, règles d’usage rédigées avec le juriste externe, validation par la direction.
Mise en service des outils approuvés 6 semaines
Outils approuvés accessibles avec les comptes de l’entreprise, droits par rôle, journal d’usage, circuit de validation à deux vitesses en service.
Formation et transmission 4 semaines
Formation par rôle (utilisateurs, valideurs, direction), publication interne des décisions de validation, premier tableau de bord complet, suivi repris par le client.
- Usages autorisés définis par niveau de risque
- Aucune donnée client dans un outil non approuvé
- Validation en moins de 48 h pour un usage à faible risque
- Journaux d’usage revus chaque mois
- En cas d’incident : qui alerte qui, et dans quel délai, est écrit et nommé
- Revue des règles chaque trimestre avec la direction
Résultats mesurés
Au départ, rien n’existait : ni inventaire, ni contrôle, ni circuit de validation. Les chiffres ci-dessous mesurent ce que les règles ont rendu visible puis maîtrisé, y compris six mois d’utilisation après la mise en service.
Chiffres arrondis. Mission réelle : le nom du client et les détails qui permettraient de le reconnaître ont été retirés.
Ce que nous ferions autrement
Chaque étude dit aussi ce qui aurait pu être mieux fait.
- 01
Former avant de livrer les outils, pas après. Les équipes savaient que des outils approuvés arrivaient et l’attente a créé de la frustration ; former pendant la mise en service aurait transformé ce délai en préparation.
- 02
Associer le juriste dès l’inventaire, pas seulement à la rédaction des règles. Deux reprises du texte auraient été évitées si les contraintes juridiques avaient guidé le classement dès le départ.
- 03
Publier les décisions de validation dès le premier jour. Nous l’avons fait en cours de mission, et c’est cette transparence qui a fait adopter le circuit : chacun voyait qu’il décidait vite, et pourquoi.