Classification des données IA : pourquoi la sur-protection paralyse l'adoption en PME

80% des PME françaises n'ont aucune gouvernance IA documentée (nachnouchi.com). Face à ce vide, le réflexe le plus répandu n'est pas l'imprudence qu'on redoute, c'est l'excès inverse : classer par précaution la quasi-totalité des documents comme confidentiels, jusqu'à rendre l'IA inutilisable sur l'essentiel du fonds documentaire de l'entreprise.

Dans mes accompagnements de PME/ETI, ce schéma revient régulièrement. Une entreprise de services, échaudée par les mises en garde entendues sur les risques de l'IA, avait classé la quasi-totalité de ses dossiers clients et contrats en très confidentiel avant même de déployer son assistant. Résultat : l'outil, techniquement accessible à toutes les équipes, ne pouvait exploiter aucun document réellement utile. Trois mois après le déploiement, l'adoption réelle était nulle, alors que la direction pensait avoir sécurisé son projet.

Cette sur-classification part d'une bonne intention et produit l'effet inverse. Un document étiqueté très confidentiel devient invisible pour l'IA même si l'utilisateur y a un accès normal, ce qui protège les données réellement sensibles mais neutralise l'outil si l'étiquette est posée par défaut. Si la majorité du fonds documentaire est classée ainsi, l'assistant devient une coquille vide : licences payées, adoption nulle, ROI illisible en comité de direction. Le risque juridique n'a pourtant pas disparu, il s'est déplacé. Faute d'un outil validé utilisable, les équipes se tournent vers des comptes personnels non contrôlés, une part de ce shadow AI qui touche 40 à 60% de l'usage IA réel en PME/ETI selon le constat terrain de nachnouchi.com.

C'est exactement le sixième des huit principes de gouvernance IA défendus sur nachnouchi.com : ne pas sur-protéger, viser la classification juste plutôt que maximale. Concrètement, cela suppose une échelle à quatre niveaux, public, interne courant, confidentiel métier, hautement sensible, et une règle simple : une donnée ne monte d'un niveau que si un risque précis et documenté le justifie, jamais par défaut. Ce travail de classification fait partie du cadrage réalisé en semaine 1 de la méthode IMPACT, avant même le choix des outils.

La sur-protection n'est pas une gouvernance, c'est un renoncement déguisé en prudence. Une PME qui classe tout confidentiel n'a pas sécurisé son IA, elle l'a neutralisée sans réduire son exposition réelle. Un audit TransformAudit établit cette classification par niveau de sensibilité dans son diagnostic de 5 jours ouvrés.