L'IA que vous n'avez jamais déployée travaille déjà chez vous : gouverner l'adoption par défaut

En cette semaine de rentrée, vos équipes rouvrent des boîtes mail saturées et des canaux Slack qui ont tourné tout l'été. Un bouton de résumé IA les attend, déjà activé, dans Gmail, Outlook et Slack. Personne, dans votre organisation, n'a validé ce déploiement en comité; il a pourtant eu lieu. C'est cela, l'adoption par défaut, et elle est devenue la principale voie d'entrée de l'IA dans l'entreprise.

L'adoption par défaut, troisième voie d'entrée de l'IA

Les directions générales pilotent classiquement deux circuits d'adoption : les projets d'entreprise (cas d'usage, POC, déploiements outillés) et les initiatives métiers sponsorisées. Un troisième circuit s'est installé sans elles, par deux canaux.

Le premier canal, ce sont les éditeurs. Le 8 janvier 2026, Google a annoncé l'intégration de Gemini dans Gmail pour ses plus de 3 milliards d'utilisateurs : résumés automatiques des fils de discussion, boîte de réception priorisée par IA, aide à la rédaction. Point décisif : une partie de ces fonctions est activée par défaut, et c'est à l'utilisateur de les désactiver s'il n'en veut pas (Google, CNBC, janvier 2026). Microsoft suit la même logique avec Copilot dans Outlook (résumé de fils, tri par priorité), Slack avec ses résumés de canaux et sa recherche en langage naturel. Vos collaborateurs n'adoptent plus l'IA; ils la trouvent allumée en revenant de congés.

Le second canal, ce sont les salariés eux-mêmes. Selon le Work Trend Index de Microsoft et LinkedIn (2024), 75 % des travailleurs du savoir utilisent déjà l'IA générative au travail, et 78 % des utilisateurs y apportent leurs propres outils, sans validation de l'employeur. La même étude relève que 60 % des dirigeants estiment que leur entreprise manque d'une vision de déploiement. Autrement dit : l'usage est massif, le pilotage est minoritaire.

La conséquence est structurante : votre exposition à l'IA ne dépend plus de votre feuille de route. Elle dépend du rythme des éditeurs et des habitudes de vos équipes.

Ce que le calendrier de l'AI Act change à cette rentrée

Le 2 août 2026, les obligations de transparence de l'AI Act (article 50) sont devenues applicables et opposables : information des personnes qui interagissent avec une IA, marquage des contenus générés, signalement des deepfakes, avec un délai jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché (Commission européenne; analyse Norton Rose Fulbright, juillet 2026).

Dans le même mouvement, l'omnibus numérique européen (règlement UE 2026/1744, entré en vigueur fin juillet 2026) a reporté les obligations relatives aux systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l'annexe III, au 2 août 2028 pour l'IA embarquée dans les produits réglementés (Gibson Dunn, 2026).

Le piège de lecture serait de retenir uniquement le report. Trois blocs s'appliquent déjà : les pratiques interdites (dont la reconnaissance des émotions au travail) et l'obligation de maîtrise de l'IA par le personnel, depuis le 2 février 2025; la transparence, depuis le 2 août 2026. Les sanctions de l'article 99 sont dimensionnées en conséquence : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements, transparence comprise. Et le RGPD, lui, n'a jamais cessé de s'appliquer aux données qui transitent par ces outils.

L'adoption par défaut n'attend pas vos échéances de conformité : elle crée dès aujourd'hui des traitements de données et des interactions IA que ces textes couvrent.

Un lundi de rentrée ordinaire

Lundi matin, une chargée de clientèle d'une banque régionale revient de trois semaines de congés : 600 messages. Le résumé IA de sa messagerie d'entreprise, couvert par le contrat de l'éditeur, lui fait gagner une heure; jusque-là, tout va bien. Puis, pour accélérer sur une réclamation sensible, elle colle l'historique complet de l'échange client dans l'outil d'IA grand public qu'elle utilise à titre personnel, celui qu'elle connaît le mieux.

Résultat : des données clients sur un service sans contrat, sans journalisation, sans trace dans le registre des incidents. La charte informatique de 2024 ne mentionne pas ce cas. Personne n'a mal agi au sens des règles existantes; ce sont les règles qui ont un angle mort. Multipliez ce scénario par le nombre de collaborateurs qui rentrent cette semaine : voilà la surface réelle de votre exposition.

Reprendre la main : une démarche en cinq étapes

1. Inventorier ce qui tourne déjà. Côté éditeurs : extraire des consoles d'administration (Google Workspace, Microsoft 365, Slack) la liste des fonctions IA activées, par population. Côté salariés : une enquête déclarative explicitement sans sanction, car vous avez besoin de la vérité, pas d'un chiffre rassurant.
2. Décider fonction par fonction. Pour chaque fonction inventoriée : autoriser, encadrer ou désactiver. Chaque domaine (relation client, RH, finance) a un propriétaire nommé qui tranche avec la DSI et le juridique ou DPO, dans un délai maximal fixé entre l'activation par l'éditeur et la décision interne.
3. Documenter les contrôles là où les données sont sensibles. Données clients, RH, secret des affaires : les contrôles vivent dans le paramétrage (règles DLP, périmètres de données, journalisation), pas dans un PDF signé. C'est aussi le moment de vérifier l'information des personnes exigée par l'article 50 quand une IA interagit ou génère du contenu à destination de tiers.
4. Transformer les usages individuels qui marchent en processus redessinés. Une question posée à l'IA ne fait pas le travail de bout en bout : le tri de messagerie, la synthèse client, la veille deviennent des workflows explicites, avec règles, responsabilités et mesure du gain. C'est là que se joue la valeur : selon McKinsey (The State of AI, novembre 2025), 88 % des organisations utilisent l'IA mais environ un tiers seulement l'a déployée à l'échelle, et à peine 6 % en tirent un impact significatif sur le résultat opérationnel.
5. Installer une revue trimestrielle au COMEX. À l'ordre du jour : nouvelles fonctions activées par les éditeurs, usages déclarés, incidents, décisions prises et en attente. L'adoption par défaut est un flux continu; la gouvernance doit l'être aussi.

Erreurs à éviter

• Le blocage général. Interdire pousse les usages dans la clandestinité : le BYOAI continue, mais sans visibilité ni contrôle. Vous perdez l'information sans réduire le risque.
• Le report pris pour une pause. Confondre le report des obligations haut risque (2027-2028) avec les obligations déjà applicables (interdictions, formation, transparence) expose à des sanctions immédiates.
• La gouvernance confiée à la seule DSI. Sans propriétaire métier, les décisions arrivent toujours après les activations des éditeurs, et les arbitrages restent techniques alors qu'ils sont opérationnels et juridiques.
• Le contrôle rétrofitté. Documenter après coup ce qui tourne depuis six mois coûte plus cher et protège moins que d'intégrer les contrôles au moment de chaque activation.
• La charte prise pour un contrôle. Une charte signée ne détecte rien et n'empêche rien; seuls le paramétrage, la journalisation et la mesure comptent en cas d'audit.

Les marqueurs d'une reprise de contrôle effective

Vous saurez que la démarche produit ses effets quand vous pourrez observer, chiffres à l'appui : 100 % des fonctions IA des suites bureautiques couvertes par une décision explicite et datée; un délai médian entre activation éditeur et décision interne inférieur à 30 jours; des déclarations d'usages personnels en hausse au premier trimestre (signe que la parole est libre), puis une bascule mesurable vers les outils fournis; zéro donnée client détectée hors périmètre contractuel lors des tests DLP; une part croissante de processus redessinés avec gain documenté en heures ou en délai de traitement; un registre de transparence article 50 à jour.

Par où commencer cette semaine

Trois actions tiennent dans les dix prochains jours : demander à la DSI l'extraction des fonctions IA activées par défaut dans vos suites bureautiques; nommer le propriétaire unique du sujet, avec mandat de décision; inscrire l'adoption par défaut à l'ordre du jour du prochain COMEX, avec une décision par fonction, pas un point d'information. Une entreprise qui découvre ses usages d'IA dans un audit les découvre trop tard.

TokenShift accompagne les directions générales d'entreprises européennes régulées dans le passage de l'IA du pilote à la production gouvernée.

Sources

• Google, « Gmail is entering the Gemini era », janvier 2026 : https://blog.google/products-and-platforms/products/gmail/gmail-is-entering-the-gemini-era/
• CNBC, « Google is unleashing Gemini AI features on Gmail. Users will have to opt out », janvier 2026 : https://www.cnbc.com/2026/01/08/google-adds-gemini-features-to-gmail-message-summaries-proofreading-.html
• Microsoft et LinkedIn, Work Trend Index 2024 : https://news.microsoft.com/source/2024/05/08/microsoft-and-linkedin-release-the-2024-work-trend-index-on-the-state-of-ai-at-work/
• McKinsey, The State of AI, novembre 2025 : https://www.mckinsey.com/capabilities/operations/our-insights/the-state-of-ai
• Norton Rose Fulbright, Data Protection Report, « The EU AI Act : when does it become enforceable now? », juillet 2026 : https://www.dataprotectionreport.com/2026/07/the-eu-ai-act-when-does-it-become-enforceable-now/
• Gibson Dunn, « EU AI Act Omnibus Agreement », 2026 : https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
• AI Act, article 99 (sanctions) : https://artificialintelligenceact.eu/article/99/ ; article 50 (transparence) : https://artificialintelligenceact.eu/transparency-rules-article-50/