À quoi ressemblerait réellement un incident
Pas une intrusion au sens cinématographique. Une conversation de vingt minutes sur trois scénarios réalistes, pour que personne n’ait à y réfléchir sous pression.
Les entreprises planifient pour des pannes spectaculaires et se font prendre par des banales. Pour l’usage de l’IA dans une PME suisse, trois scénarios réalistes couvrent presque tout, et les parcourir coûte vingt minutes une seule fois.
Scénario un : quelque chose de confidentiel est parti dans un outil grand public
Quelqu’un a collé un document qui n’avait rien à y faire. Il s’en rend compte, ou une collègue le remarque.
Ce qui compte est ce qui suit. Si la culture est telle qu’il se taise, vous avez une exposition inconnue et aucune capacité de répondre honnêtement à un client plus tard. S’il peut le mentionner sans conséquence, vous l’évaluez en dix minutes et concluez généralement que c’était mineur.
La chose la plus précieuse à établir d’avance est que le signaler n’est pas une affaire disciplinaire. Dites-le à voix haute avant que cela n’arrive ; dit après, cela ne vaut rien.
Scénario deux : un résultat faux a atteint un client
Un chiffre, une date, un engagement non vérifié. Ce n’est pas un incident d’IA en un sens particulier — c’est l’erreur ordinaire que votre processus existant traite déjà.
Traitez-la comme une faute de frappe aux mêmes conséquences. La seule part propre à l’IA est de savoir s’il faut dire comment c’est arrivé — et la réponse honnête est le plus souvent oui, brièvement, car les clients l’apprennent de toute façon et la version qui vient de vous est meilleure.
Scénario trois : un fournisseur a une panne ou une fuite
Pour une panne, la réponse du 22 octobre s’applique : la courte liste des processus sans voie manuelle mémorisée est votre exposition, tout le reste attend un jour.
Pour une fuite chez un fournisseur, vous devez savoir vite si vos données étaient concernées, donc savoir quel fournisseur se trouve derrière quel outil — la question du 4 août, et toute la raison pour laquelle il fallait la poser.
La version de vingt minutes
Trois scénarios, une personne nommée qui est prévenue en premier, et une phrase confirmant que signaler n’est pas puni.
C’est tout le plan d’incident approprié à une entreprise de trente personnes. Plus élaboré ne sera pas lu le jour venu.