Comment accompagner les bons usages de l'IA auprès des agents ?

De nombreux agents territoriaux se sont appropriés l’IA, parfois en dehors de tout cadre formalisé. Pour réduire les risques de fuites de données, les collectivités doivent définir une doctrine claire encadrant les usages internes de l’IA et former les agents pour favoriser des pratiques utiles, maîtrisées et souveraines.

Explications d’Antoine Trillard, président du CoTer Numérique et DSI de la ville de Chelles.

Selon les retours que vous avez des membres du CoTer Numérique, comment les agents se sont appropriés les solutions d’IA et notamment l’IA générative ?

Pour bon nombre d’agents, la découverte de l’IA s’est faite en dehors du cadre de la politique numérique du territoire. C’est ce que l’on appelle du "shadow IT" ou en l’occurrence du "shadow IA" . Le principe est d’utiliser une solution sur son poste de travail sans en référer à la DSI, donc sans qu’elle puisse vérifier que la solution respecte notamment la réglementation sur les données personnelles (RGPD) ou les règles de cybersécurité.

Des agents utilisent donc quotidiennement des solutions telles que ChatGPT, notamment car ils exploitent déjà ce type d’outil dans leur vie personnelle et qu’ils ont compris les bénéfices qu’ils pouvaient leur apporter.

Ce n’est pas un phénomène marginal. Quasiment toutes les collectivités membres du CoTer Numérique évoquent cet enjeu de l’adoption de l’IA en dehors de tout cadre. Selon le quatrième baromètre de l'Observatoire Data Publica 2025 : 77 % des collectivités françaises utilisent désormais de l’IA et 84 % de ces territoires exploitent de l’IA générative. Mais l’on notera, selon l’étude, que 48 % des collectivités n'ont donné aucune consigne à leurs agents sur l'usage de l'IA générative (source : Observatoire Data Publica : l'IA générative poursuit sa percée et impacte les collectivités de toutes tailles) (lien externe, nouvelle fenêtre).Donc dans près d’un territoire sur deux, les agents se retrouvent seuls pour décider comment adopter l’IA qui se généralise pourtant dans l’ensemble de notre société.

Notons que certains agents utilisent aussi de l’IA sans le savoir. Dans Windows 11 par exemple, l’IA est exploitée par les fonctions de recherche sans que cela ne soit toujours connu des utilisateurs. Dans Microsoft Office 365, Copilot est intégré à de nombreuses fonctions. Même dans les messageries mail, l’IA est désormais utilisée pour accompagner les utilisateurs dans la rédaction de leurs messages. Donc, il y a des usages de l’IA qui ne sont pas conscients et les agents ne peuvent ainsi pas être tenus pour responsables.

Ces usages non encadrés ou non conscients posent de nombreux problèmes. Ils peuvent générer des failles en matière de sécurité, de fuites de données (principalement vers les États-Unis), des non-conformités avec la réglementation sur la protection des données personnelles (RGPD) et plus largement des problèmes en matière de gouvernance des données et de souveraineté technologique.

Dans ce contexte, la collectivité territoriale doit donc se saisir du sujet à différents niveaux :  DSI, métiers et élus, pour décider ensemble d’une doctrine claire en matière d’usages de l’IA par les agents. Et bien entendu, il faut accompagner les agents dans la mise en place de cette doctrine.

Comment construire cette doctrine et quelle forme peut-elle prendre ?

Il peut s’agir d’un ajout à la charte numérique du territoire ou de la création d’une charte spécifique aux usages de l’IA. Dans tous les cas, un bon début est d’échanger avec les agents pour connaître leurs besoins et les usages qu’ils ont déjà de l’IA. L’objectif n’est pas de bannir complètement les usages de l’IA mais d’identifier ceux qui sont réellement utiles et ensuite de construire un cadre des usages autorisés de l’IA au sein de la collectivité.

Une fois les besoins et attentes des agents identifiés. Il faut choisir quelles solutions sont autorisées ou non. Si la collectivité adopte une politique privilégiant des solutions françaises ou européennes, hébergées localement, alors l’utilisation d’outils américains comme ChatGPT ou Gemini sort complètement du cadre défini.

A Chelles, nous avons ainsi bloqué ChatGPT au niveau de nos firewalls, pour éviter tout risque de fuite de données, notamment via les documents envoyés à ChatGPT. J’aimerais pouvoir laisser ChatGPT ouvert, mais dans un mode sécurisé : sans possibilité d’envoyer des documents, sans risque d’exfiltration de données. Mais aujourd’hui, les firewalls ne permettent pas encore ce niveau de granularité. Notons que cette interdiction a aussi une vertu pédagogique : elle sensibilise les agents au risque de fuite de données et à l’importance de respecter le cadre fixé.

Si certaines solutions sont interdites, d’autres doivent être autorisées et même fournies par la collectivité pour répondre aux besoins des agents. Techniquement ce choix est basé sur la même procédure que tout nouvel outil numérique. L’intégration d’une solution d’IA dans une collectivité nécessite ainsi des audits de sécurité, une analyse contractuelle, une évaluation de sa conformité réglementaire, des tests sur un périmètre restreint avant l’industrialisation, etc.  C’est ce que nous faisons déjà pour toutes les solutions cloud.

Comment définir les « bons usages » de l’IA ?

C’est très difficile à définir de manière absolue. Le bon usage est celui qui est utile, proportionné, frugal et qui ne met pas en danger la collectivité. L’assistant rédactionnel, par exemple, est un bon usage : il permet à un agent de mieux rédiger un courrier, de gagner en autonomie, de réduire sa dépendance envers ses collègues ou sa hiérarchie. Nous avons un cas très parlant d’un agent administratif qui avait l’habitude de faire relire ses messages avant envoi. Grâce à l’IA, il peut aujourd’hui rédiger et mettre en forme un courrier seul. Son responsable lui a même demandé « avec qui » il avait travaillé tant le résultat lui semblait meilleur. Ce gain d’autonomie est une vraie valeur ajoutée pour elle comme pour le service

À l’inverse, il existe des usages peu pertinents. Le plus typique est de considérer l’IA générative comme un moteur de recherche. C’est une erreur : l’IA n’est pas une base de connaissances fiable. Il faut donc privilégier les solutions d’IA qui exploitent des bases de connaissances internes ou spécifiques.

A Chelles nous avons par exemple choisi de déployer la solution Delibia, qui dispose de sa propre base de connaissances. Il s'agit d’une solution française pensée pour les collectivités. À l’origine, l’outil servait uniquement à rechercher des délibérations et actes administratifs publiés par les communes. Mais il a évolué et propose désormais une vingtaine d’assistants, notamment pour la rédaction, la correction, le résumé, ou l’aide à la décision. Sur les six premiers mois du déploiement, près de 40 % des usages concernaient la recherche dans la base de données, le reste se répartissant entre les différents assistants rédactionnels (correction, rédaction de mails, etc.)

Comment accompagner les agents vers ces bons usages de l’IA ?

L’accompagnement repose sur trois piliers : donner des outils, définir un cadre, et former.

1.   Donner des outils
Si la collectivité ne fournit rien, les agents trouveront toujours des solutions extérieures. Il faut donc trouver des alternatives à ce qu’ils utilisent déjà et même peut-être étendre les possibilités d’usage pour démontrer qu’ils ont un intérêt à exploiter les solutions fournies. A Chelles, nous avons expliqué que certaines fonctions de Delibia sont bien plus spécifiques aux missions des collectivités qu’un ChatGPT.

2.   Définir un cadre clair
Comme évoqué précédemment, cela passe par une charte ou une extension de la charte numérique existante. Chez nous, elle interdit explicitement le shadow IA et rappelle qu’une utilisation non autorisée constitue une faute professionnelle. Le but n’est pas de sanctionner mais de rendre les règles lisibles. Les agents savent ce qui est permis, ce qui ne l’est pas, et pourquoi.

3.  Former les agents
La formation est indispensable. Nous avons opté pour une année d’accompagnement à la solution déployée avec des vidéos de sensibilisation ainsi que des sessions d’une demi-journée pour comprendre les usages, éviter les erreurs, apprendre à rédiger un prompt, et connaître les limites techniques ou énergétiques de l’IA. Nous voulons aussi créer un réseau d’ambassadeurs, c’est-à-dire des agents utilisateurs avancés capables de partager leurs bonnes pratiques auprès des autres services. Les formations abordent également les risques : RGPD, souveraineté, empreinte environnementale des modèles, limites des IA génératives.

Quels impacts de ces mesures observez-vous aujourd’hui ?

Il est encore tôt pour tirer des conclusions définitives. Le blocage strict a été perçu comme brutal par certains agents, surtout ceux qui utilisaient déjà ChatGPT quotidiennement. Certains trouvent Delibia moins efficace sur certains usages, et je ne le nie pas. Nous sommes encore dans une phase exploratoire, et les solutions ne sont pas totalement matures. Mais ce blocage a eu un effet positif : il a permis de sensibiliser. Les agents ont compris que l’IA n’est pas neutre, qu’elle pose des questions de conformité, de souveraineté, de sécurité.

Le shadow IA n’a pas disparu, soyons honnêtes. Mais les agents sont désormais conscients que certaines pratiques sont à risque. Pour nous, c’est déjà un progrès significatif. Et surtout, cela montre que l’accompagnement est indispensable. L’IA est entrée massivement dans la vie personnelle avant d’arriver dans la sphère professionnelle : les agents l’utilisent chez eux, parfois mieux que certains services informatiques ! Il faut donc expliquer, encadrer, orienter. L’IA fait des choses extraordinaires, mais elle a aussi des limites importantes, notamment quand les données ne sont pas parfaites ou que les modèles ne sont pas adaptés. Nous ne sommes qu’au début de cette transformation.