Glossaire de l’IA en entreprise

AI Governance — Gouvernance de l'IA

La gouvernance de l'intelligence artificielle (AI Governance) est l'ensemble des politiques, cadres, processus et contrôles qu'une organisation met en place pour garantir que son usage de l'IA soit sûr, éthique, transparent et conforme à la réglementation applicable.

Un programme de gouvernance de l'IA efficace définit qui peut utiliser l'IA, avec quels outils, pour quelles tâches, avec quelles données et sous quelle supervision. Il établit également des mécanismes de responsabilité et des procédures de réponse aux incidents liés à l'IA.

Dans le contexte européen, l'AI Act (Règlement UE 2024/1689) oblige les organisations à mettre en place des systèmes de gestion des risques pour les systèmes d'IA à haut risque, ce qui fait de la gouvernance de l'IA une nécessité réglementaire autant qu'une bonne pratique.

DLP — Data Loss Prevention pour l'IA

Le Data Loss Prevention (DLP) dans le contexte de l'intelligence artificielle désigne les technologies et politiques qui analysent les prompts et les réponses des modèles de langage afin de détecter, alerter ou empêcher l'exposition non autorisée de données sensibles.

Contrairement au DLP traditionnel (qui protège les fichiers, les e-mails et les endpoints), le DLP pour l'IA agit sur le texte des messages avant qu'ils ne soient envoyés aux modèles. Il peut détecter des Informations Personnelles Identifiables (PII), des données financières, des identifiants, des secrets commerciaux ou des données de santé, et appliquer des actions comme bloquer l'envoi, avertir l'utilisateur, anonymiser les données sensibles en temps réel ou envoyer le prompt en révision manuelle.

coordinat.io met en œuvre le DLP par analyse de motifs (regex) et règles configurables, appliquées au niveau du gateway avant que la moindre donnée n'atteigne le fournisseur d'IA.

BYOK — Bring Your Own Key

Le BYOK (Bring Your Own Key) est le modèle dans lequel une entreprise utilise ses propres clés API et des contrats directs avec les fournisseurs d'IA (OpenAI, Anthropic, Google, etc.), au lieu de consommer l'IA via un intermédiaire qui facture l'usage.

Les principaux avantages du BYOK sont : un contrôle total des coûts (on paie directement le fournisseur, sans marge), une meilleure visibilité sur les conditions de confidentialité applicables, et la possibilité de négocier des tarifs entreprise avec les fournisseurs.

Chez coordinat.io, le BYOK est disponible à partir du plan Basic. La plateforme agit comme un proxy transparent : elle reçoit les requêtes, applique les politiques de sécurité et les transmet au fournisseur en utilisant les clés propres du client. Le client paie directement OpenAI, Anthropic ou Google.

AI Gateway

Un AI Gateway est un composant d'infrastructure qui sert de point d'entrée centralisé pour toutes les requêtes vers les modèles d'intelligence artificielle au sein d'une organisation. À l'image d'un API Gateway dans les architectures de microservices, l'AI Gateway intercepte le trafic d'IA avant qu'il n'atteigne les fournisseurs.

Les fonctions typiques d'un AI Gateway comprennent : l'authentification et l'autorisation, l'application des politiques de sécurité (DLP), la journalisation de l'activité, la limitation de débit (rate limiting), la répartition de charge entre fournisseurs, le fallback automatique en cas de panne et l'optimisation des modèles.

coordinat.io expose un AI Gateway doté d'une API compatible avec la spécification d'OpenAI, ce qui permet aux organisations d'adopter la gouvernance de l'IA sans modifier leurs applications existantes : il suffit de pointer l'URL de base vers coordinat.io.

Shadow AI

Le Shadow AI (IA de l'ombre) est l'usage non autorisé ou non supervisé d'outils d'intelligence artificielle par les employés, à l'insu et hors du contrôle des services informatiques, de sécurité ou de la direction de l'organisation.

Le phénomène est analogue au « Shadow IT » apparu avec l'adoption massive des services cloud. Des études récentes indiquent qu'entre 70 % et 80 % des employés utilisent des outils d'IA au travail, que l'entreprise les ait autorisés ou non.

Les risques du Shadow AI incluent : la fuite de données confidentielles via des prompts non contrôlés, l'usage d'outils non conformes au RGPD ou à d'autres réglementations, des coûts incontrôlés lorsque l'employé utilise des outils payants sur une carte d'entreprise, et une absence totale de traçabilité pour les audits.

La solution la plus efficace n'est pas de bloquer l'accès à l'IA (ce qui réduit la productivité sans éliminer le risque), mais de centraliser l'accès via une plateforme de gouvernance permettant un usage contrôlé et audité.

Routing intelligent de modèles d'IA

Le routing intelligent de modèles d'IA (Intelligent Model Routing) est la sélection automatique du modèle de langage le plus adapté à chaque requête, dans le but de minimiser le coût sans sacrifier la qualité de la réponse.

La logique de routing repose sur la classification de la complexité de chaque requête avant de l'envoyer à un modèle. Une question simple (« traduis cette phrase ») n'a pas besoin du même modèle qu'une tâche complexe (« analyse ce contrat et détecte les clauses abusives »). Les modèles « nano » (les versions les plus économiques de chaque fournisseur) coûtent jusqu'à 10 fois moins que les modèles « top » (les versions les plus avancées), pour des tâches où la différence de qualité est imperceptible.

coordinat.io met en œuvre un routing heuristique basé sur le contenu du prompt : longueur, vocabulaire, type de tâche demandée et contexte. La classification est instantanée, sans appels d'API supplémentaires, et peut faire économiser entre 20 % et 40 % sur les coûts d'IA aux organisations qui utilisent intensivement des modèles premium.

AI Act — Règlement européen sur l'IA

L'AI Act (Règlement UE 2024/1689 du Parlement européen et du Conseil) est le premier cadre réglementaire complet au monde sur l'intelligence artificielle. Publié au Journal officiel de l'UE en juillet 2024, il établit des obligations pour les fournisseurs, déployeurs et utilisateurs de systèmes d'IA en fonction du niveau de risque.

Le Règlement classe les systèmes d'IA en quatre catégories de risque : inacceptable (interdits), haut risque (avec des obligations strictes de transparence, de gestion des risques et de documentation), risque limité (avec des obligations de transparence) et risque minimal (sans obligations spécifiques).

Pour les entreprises qui utilisent des modèles à usage général (comme ceux d'OpenAI, Anthropic ou Google) dans des contextes internes, les principales obligations sont : documenter l'usage, mettre en place une gestion des risques, garantir la supervision humaine et conserver des journaux d'activité auditables.

coordinat.io aide les organisations à se conformer à l'AI Act en fournissant une journalisation complète de toute l'activité d'IA, des rapports de conformité exportables et des contrôles de politiques configurables.

Prompt Injection

Le prompt injection est une technique d'attaque consistant à insérer des instructions malveillantes au sein d'un prompt afin de manipuler le comportement d'un modèle de langage (LLM) et de lui faire réaliser des actions non autorisées, révéler des informations système confidentielles ou contourner des contrôles de sécurité.

Il existe deux variantes principales : le direct prompt injection (l'utilisateur insère des instructions adverses directement dans son message) et l'indirect prompt injection (les instructions malveillantes sont introduites via un contenu externe que le modèle traite, comme une page web ou un document).

Pour les organisations qui déploient des assistants d'IA ou utilisent des LLM dans des processus automatisés, le prompt injection représente un vecteur d'attaque réel pouvant compromettre la confidentialité des system prompts, les données traitées ou l'intégrité des workflows. Les défenses incluent l'assainissement des entrées, la séparation claire entre instructions et données, et la surveillance des motifs anormaux dans les prompts.

FinOps de l'IA — Chargeback

Le FinOps de l'IA applique la discipline de gestion financière du cloud à la consommation d'intelligence artificielle : mesurer la dépense réelle, l'attribuer à celui qui la génère et l'optimiser en continu. Le chargeback en est le mécanisme central : imputer le coût de l'IA au client, au projet ou au service qui le consomme.

Pour les entreprises de services (cabinets de conseil, agences, cabinets d'avocats), c'est particulièrement critique : si l'IA est utilisée pour le travail des clients mais que son coût n'est pas imputé à chaque compte, cette dépense érode la marge sans que personne ne le voie. Un programme de FinOps de l'IA distingue aussi le coût facturable de l'interne et détecte la dépense non attribuée.

coordinat.io implémente le FinOps de l'IA nativement : chaque requête est associée à un utilisateur, un projet et un service, avec des règles d'imputation (overhead, facturable/interne) et un export comptable en CSV.

Gouvernance des agents d'IA

La gouvernance des agents d'IA est l'ensemble des contrôles qui supervisent les agents autonomes : des systèmes d'IA qui ne se contentent pas de répondre à des questions mais exécutent des actions — appeler des outils, interroger des API, modifier des données.

Contrairement à un chat, un agent agit. Cela exige des contrôles supplémentaires : une approbation humaine avant les actions sensibles (human-in-the-loop), un journal de chaque outil exécuté avec ses paramètres et résultats, et des limites sur les outils que chaque agent peut utiliser.

coordinat.io enregistre chaque session d'agent avec une traçabilité complète de ses tool calls et applique des flux d'approbation humaine configurables avant qu'un agent n'exécute des actions externes.

RAG — Retrieval-Augmented Generation

Le RAG (Retrieval-Augmented Generation) est la technique qui permet à un modèle de langage de répondre en utilisant les connaissances propres d'une organisation : avant de générer la réponse, le système récupère les fragments pertinents des documents de l'entreprise et les fournit au modèle comme contexte.

Sans RAG, un modèle ne sait que ce qu'il a appris lors de son entraînement : il répond bien sur les connaissances générales et mal sur le métier concret. Avec le RAG, les réponses citent des procédures, des contrats ou de la documentation interne réels, ce qui réduit les hallucinations et rend l'IA utile au travail quotidien.

Dans coordinat.io, les bases de connaissances permettent de télécharger des documents d'entreprise que les assistants utilisent comme source, toujours à l'intérieur du périmètre de sécurité de l'organisation : la connaissance ne sort pas des politiques de l'entreprise.