Il y a quelques jours, j’ai entendu quelqu’un côté métier me dire qu’il avait développé le site internet de son activité, avec une liaison Cloudflare. Seul, sans passer par la DSI ni par un prestataire.
Ma première réaction a été de trouver ça impressionnant. Ma deuxième a été une série de questions. C’est de ces deux réactions que je veux parler, parce que je les retrouve aujourd’hui dans presque toutes les organisations que j’accompagne.
Ce qui a changé
Il y a encore deux ans, un site, une application interne ou une automatisation, c’était un projet. Il fallait un budget, un prestataire ou une équipe technique, et un passage par la DSI. Entre l’idée et le résultat, il y avait plusieurs semaines, souvent plusieurs mois.
Aujourd’hui, l’IA générative écrit le code, explique comment le mettre en ligne et corrige les erreurs au fil de l’eau. Des plateformes hébergent un site en quelques clics. Un collaborateur motivé passe de l’idée au résultat en un week-end, sans intermédiaire.
C’est une très bonne nouvelle. Les métiers connaissent leurs problèmes mieux que personne, et ils ont enfin les moyens de les résoudre eux-mêmes. Je préfère mille fois une équipe qui teste des idées à une équipe qui attend.
Ce que le métier ne voit pas
Le problème, c’est que le résultat visible, un site qui s’affiche, une appli qui tourne, cache tout ce qui ne se voit pas. Face à ce genre de projet, voici les questions que je pose systématiquement.
Qui a les accès ? Le nom de domaine, le compte Cloudflare, l’hébergement : sont-ils sur un compte de l’entreprise, ou sur l’adresse personnelle de la personne qui les a créés ? Si elle quitte l’entreprise demain, qui récupère les clés ?
Où vont les données ? Un formulaire de contact collecte des données personnelles. Où sont-elles stockées, qui y a accès, combien de temps sont-elles conservées ? Le RGPD s’applique à un site monté en un week-end comme à n’importe quel autre.
Est-ce sécurisé ? Un code produit par l’IA fonctionne, mais il n’est pas forcément sûr. Une clé d’accès laissée dans le code, une dépendance jamais mise à jour, un formulaire sans protection contre le spam : ce sont des failles classiques, et elles ne se voient pas à l’écran.
Qui maintient ? Un site, une appli ou une automatisation vit dans le temps. Il faut le mettre à jour, le corriger, le faire évoluer. Quand tout repose sur une seule personne, le jour où elle n’est plus disponible, l’outil devient une boîte noire.
Rien de tout ça n’est de la mauvaise volonté. Ce sont simplement des enjeux que personne n’a jamais eu besoin d’expliquer aux métiers, puisque ces sujets passaient jusqu’ici par la DSI.
Ce que la DSI vit de son côté
En face, la DSI n’est pas inactive, elle est débordée. Les demandes des métiers ont explosé avec l’IA, les équipes et les budgets, eux, n’ont pas suivi. Sécurité, conformité, maintien en conditions opérationnelles, projets de fond : tout passe par les mêmes personnes.
Résultat, la DSI répond souvent « non » ou « plus tard ». Et c’est là que le fossé se creuse. Un métier à qui l’on dit d’attendre six mois, alors qu’il peut le faire lui-même ce week-end, ne va pas attendre. Il le fait, sans le dire. C’est exactement le mécanisme que je décrivais dans mon article sur le Shadow Gen AI : l’interdiction ne supprime pas l’usage, elle le rend invisible.
Personne n’a tort
Le métier a raison de vouloir avancer. La DSI a raison de s’inquiéter de la sécurité, des données et de la maintenance. Le problème n’est ni l’un ni l’autre : c’est la distance entre les deux.
D’un côté, des idées et des outils qui permettent enfin de les réaliser. De l’autre, une expertise des enjeux techniques, de sécurité et de gouvernance qui n’arrive plus à suivre le rythme. Tant que les deux ne se parlent pas, chaque nouveau projet du métier élargit un peu plus l’écart.
Comment refermer le fossé
Ce que je recommande, et ce que je mets en place avec mes clients, tient en quelques principes simples.
Un cadre plutôt qu’une interdiction. Donner aux métiers un espace autorisé : des comptes au nom de l’entreprise, des outils validés, un environnement où tester sans risque. Un cadre clair dit ce qu’on peut faire seul, et à partir de quand on appelle la DSI.
Quelques questions avant de mettre en ligne. Pas un dossier de cinquante pages, mais les quatre questions ci-dessus : qui a les accès, où vont les données, est-ce sécurisé, qui maintient. Un projet qui y répond peut avancer vite. Un projet qui n’y répond pas a besoin d’un coup de main.
Des référents côté métier. Une ou deux personnes par équipe, formées aux enjeux, qui font le lien avec la DSI. Elles traduisent les idées en besoins, et les contraintes techniques en règles compréhensibles.
Une DSI qui accompagne plutôt qu’elle ne garde la porte. Revue légère des projets, catalogue des cas d’usage déjà validés, briques réutilisables. La DSI garde la main sur la sécurité et la gouvernance, sans devenir un goulot d’étranglement.
De l’acculturation des deux côtés. Les métiers doivent comprendre ce qu’implique un outil en production. La DSI doit comprendre ce que les métiers font réellement avec l’IA. Si les mots eux-mêmes posent problème, j’ai rassemblé les notions essentielles de l’IA générative pour que tout le monde parle de la même chose.
C’est précisément ce rôle de pont entre les métiers et la DSI que je joue au quotidien : identifier les cas d’usage, poser le cadre, former les équipes, et faire en sorte que l’énergie des métiers devienne un atout pour l’organisation plutôt qu’un risque. Si vous reconnaissez ce fossé chez vous, parlons-en.