Une IA au service de votre mission, sur une infrastructure que vous contrôlez.

Oui, mais seulement si l'architecture autour du modèle est conçue pour ça. Le risque vient rarement du modèle d'IA lui-même. Il vient de l'endroit où vont vos données, de qui peut les voir, et de la juridiction qui peut en exiger l'accès. Un chatbot gratuit géré par une entreprise américaine n'a rien à voir avec un système hébergé en privé sur une infrastructure de l'UE, même si les deux utilisent le même modèle sous-jacent.

Pour une ONG qui travaille avec des bénéficiaires vulnérables ou des dossiers sensibles, le schéma le plus sûr est simple : une infrastructure hébergée dans l'UE, des outils open source quand c'est possible, des règles claires sur ce que le personnel peut et ne peut pas confier aux outils d'IA, et une architecture que vous contrôlez vraiment. Nous aidons les organisations à bâtir ce schéma. Pas parce que l'IA serait magique, mais parce que la faire mal est dangereux, et la plupart des offres toutes faites ne sont pas pensées pour ce niveau de sensibilité.

Trois niveaux, tous concrets. D'abord, décidez quelles données sont assez sensibles pour ne jamais toucher un service d'IA externe. Noms, lieux, détails médicaux ou juridiques, statut migratoire, tout ce qui pourrait identifier une personne vulnérable. Ensuite, choisissez des outils d'IA dont les contrats et l'infrastructure correspondent à cette décision : hébergés dans l'UE, aucun entraînement sur vos données, avec des règles de suppression claires. Enfin, formez votre équipe. La plupart des risques liés aux données dans les ONG viennent de membres du personnel qui collent du contenu sensible dans des chatbots gratuits sans mesurer les conséquences. Une courte règle interne, plus une conversation à ce sujet une fois par trimestre, suffit généralement à écarter le pire. Rien de tout cela n'exige un logiciel coûteux, juste des choix réfléchis.

La shadow AI, c'est quand le personnel utilise des outils d'IA que l'organisation n'a pas approuvés ou dont elle ignore l'existence, le plus souvent parce que les outils officiels sont trop limités ou trop lents. Un travailleur social colle une note de dossier sensible dans un chatbot gratuit pour obtenir un résumé rapide. Une bénévole en communication rédige un communiqué avec un modèle qui peut conserver tout ce qu'il voit. Personne n'agit avec de mauvaises intentions. Ces personnes cherchent à être efficaces. Le risque, c'est que du contenu sensible finisse dans des systèmes tiers avec lesquels l'ONG n'a aucun contrat, aucune visibilité, et aucun moyen de récupérer ses données. La solution est en général de donner au personnel un outil d'IA validé qui soit vraiment bon, pas d'interdire l'IA. Les interdictions sans alternative ne font que déplacer le problème dans l'ombre.

Si quelqu'un dans votre équipe ou parmi vos bénévoles utilise des outils d'IA, il vous faut une politique. Elle n'a pas besoin d'être longue. Une page suffit pour la plupart des petites ONG : quels outils d'IA sont validés, quelles données ne doivent jamais être confiées à l'IA, à qui demander en cas de doute, et quoi faire quand une erreur se produit. La politique compte moins pour la conformité que pour la conversation qu'elle impose. La rédiger oblige l'équipe de direction à formuler ce qu'elle croit vraiment au sujet de l'IA, à cerner quels bénéficiaires sont les plus exposés, et à décider ce qu'elle est prête à concéder. Une politique sans cette conversation n'est qu'un document. La conversation, c'est le vrai but.

Oui. Les outils existent, ils fonctionnent bien, et l'écart entre « IA américaine » et « IA européenne ou auto-hébergée » est bien plus faible en pratique que ne le laisse croire le marketing. Pour la plupart des tâches des ONG (rédiger, résumer, classer, faire des recherches de base) les modèles open source qui tournent sur une infrastructure de l'UE sont tout à fait à la hauteur. Pour les tâches spécialisées qui gagnent encore à s'appuyer sur les modèles américains de pointe, il existe des schémas de routage qui vous permettent d'utiliser ces modèles pour le travail non sensible tout en gardant tout ce qui est identifiant dans l'architecture souveraine. Le paramétrage demande plus de réflexion que de simplement s'inscrire à un service américain, mais pour les organisations dont le modèle de menace inclut le gouvernement des États-Unis, cette réflexion est justement le sens de la démarche.