L'IA qui fait parler les morts : ce que ce cas extrême révèle sur les vrais risques IA pour les PME
Le sujet fait frémir, et c'est précisément pour ça qu'il mérite une lecture froide. Des entreprises spécialisées dans ce qu'on appelle désormais l'IA mémorielle reconstituent la voix, les formulations, les habitudes conversationnelles de personnes décédées à partir de leurs données numériques. Messages, emails, enregistrements audio, historiques de discussion. Le résultat est un avatar conversationnel censé « prolonger » la présence d'un défunt pour ses proches. On est ici dans le cas limite par excellence. Mais ce cas limite n'est pas sans rapport avec ce que font, ou s'apprêtent à faire, des centaines de PME françaises avec des données bien réelles de leurs clients, collaborateurs ou partenaires. La question que ce phénomène pose n'est pas philosophique. Elle est opérationnelle : à partir de quand une donnée devient-elle trop sensible pour être confiée à un système IA sans cadre préalable ?
Pourquoi ce cas extrême parle directement aux risques IA des PME
La tentation est de mettre l'IA mémorielle dans une catégorie à part, celle des dérives éthiques réservées aux grandes plateformes ou aux startups américaines sans boussole. Ce serait une erreur d'analyse. Ce que ces services font techniquement, c'est exactement ce que font, à plus petite échelle, des outils que les PME déploient chaque semaine : ingérer des corpus de données personnelles, identifier des patterns comportementaux ou langagiers, et restituer une modélisation de ces données sous forme conversationnelle ou décisionnelle.
Un chatbot entraîné sur les échanges emails d'une équipe commerciale. Un assistant RH alimenté par les comptes rendus d'entretiens annuels. Un outil de scoring client construit sur l'historique des interactions support. Ce ne sont pas des cas fictifs. Ce sont des projets qu'on observe dans des entreprises de 30 à 200 salariés, menés souvent sans que la direction juridique, ni parfois même la direction générale, ait formalisé ce qui est acceptable et ce qui ne l'est pas.
La différence entre l'IA mémorielle et ces usages n'est pas de nature. Elle est de degré.
Ce que la gouvernance IA signifie vraiment pour une structure de taille intermédiaire
Le terme « gouvernance IA » sonne institutionnel. Il évoque les comités d'éthique des multinationales, les chartes en douze pages que personne ne lit. Ce n'est pas ce dont il s'agit ici.
Pour une PME, la gouvernance IA se réduit à trois questions concrètes, à poser avant tout déploiement sur des données qui concernent des individus :
- Qui a consenti à ce que ces données soient utilisées de cette façon, et comment ce consentement est-il documenté ?
- Quelle décision ce système va-t-il influencer, et qui en porte la responsabilité si le résultat est erroné ou préjudiciable ?
- Comment ces données sont-elles stockées, par qui, et sous quelle juridiction ?
Ces questions paraissent basiques. Elles ne sont presque jamais posées en amont. Ce qu'on observe dans les projets d'intégration IA en PME, c'est un schéma récurrent : l'enthousiasme pour la solution précède systématiquement la réflexion sur les données qu'elle va consommer. On choisit l'outil, on l'intègre, et on découvre six mois plus tard que le modèle a été entraîné sur des données dont certains employés ou clients n'avaient pas connaissance.
La question du cadre RGPD et de la souveraineté des données n'est pas une contrainte administrative à cocher. Elle est le premier filtre à appliquer avant de décider quelle donnée peut légitimement alimenter quel système.
Les données collaborateurs : le borgne oublié de la vigilance IA en PME
Les dirigeants pensent spontanément aux données clients quand on évoque les risques liés à l'IA. C'est logique : la relation client est visible, réglementée, et les conséquences d'un incident sont immédiates. Mais les données collaborateurs exposent à un risque tout aussi structuré, et bien moins anticipé.
Prenons un cas précis. Une PME industrielle déploie un outil IA pour analyser les performances individuelles à partir des données de son ERP et de son outil de ticketing interne. L'objectif est légitime : identifier les goulots d'étranglement dans les processus. Mais si le modèle produit des scores individuels qui influencent des décisions RH, sans que les collaborateurs en soient informés, sans que les représentants du personnel aient été consultés, et sans que les critères de scoring soient auditables, on entre dans une zone de risque juridique et social qui dépasse largement les bénéfices opérationnels attendus.
L'IA mémorielle pousse cette logique jusqu'à l'absurde : elle modélise une personne dans sa totalité, y compris après sa mort. Mais la modélisation comportementale d'un collaborateur à partir de ses données de travail pose la même question de fond : jusqu'où une organisation a-t-elle le droit d'objectiver un individu par ses données, et avec quelles garanties pour celui-ci ?
Définir les garde-fous avant de choisir l'outil : une séquence que peu de PME respectent
L'ordre habituel d'un projet IA en PME est : identification du besoin, choix de l'outil, déploiement, puis ajustements. Les garde-fous éthiques et opérationnels arrivent, quand ils arrivent, en phase d'ajustement. C'est-à-dire trop tard.
L'ordre qui réduit réellement les risques est différent. Il commence par la cartographie des données impliquées : leur nature, leur sensibilité, les personnes qu'elles concernent. Il passe ensuite par la définition explicite de ce que le système est autorisé à faire avec ces données, et ce qu'il ne peut pas faire. Ce n'est qu'à partir de là que le choix de l'outil devient rationnel, parce qu'il est contraint par un périmètre défini.
Cette séquence n'est pas plus lente. Elle évite les reprises coûteuses et les incidents qui, dans le meilleur des cas, détruisent la confiance en interne, et dans le pire, exposent l'entreprise à des sanctions ou à des contentieux. Le calcul du coût réel d'un déploiement IA en PME doit intégrer ce risque de reprise, qui est sous-évalué de façon quasi systématique.
Chez Lumivi, nous avons développé l'habitude de commencer les projets IA impliquant des données personnelles par ce que nous appelons un périmètre de légitimité : un document court, opérationnel, qui fixe ce que le système peut ingérer, ce qu'il peut produire, et qui valide ces deux paramètres avant la première ligne de configuration. Ce n'est pas un audit de conformité. C'est un outil de décision.
Ce que le cas de l'IA mémorielle dit sur la maturité du marché
Le développement de services capables de recréer des défunts par IA n'est pas un accident. C'est le produit d'un marché qui a progressé plus vite que les cadres qui devaient l'encadrer. Les outils sont disponibles, les cas d'usage se multiplient, et les garde-fous arrivent en retard. Ce décalage n'est pas propre aux startups de la mort numérique. Il structure l'ensemble du marché de l'IA appliquée.
Pour les PME françaises, ce décalage crée une fenêtre de responsabilité. Les entreprises qui déploient aujourd'hui sans cadre font le pari que les conséquences se manifesteront après elles, ou qu'elles resteront sous le radar. C'est un pari risqué dans un contexte où les autorités de contrôle, en France comme au niveau européen, montent en compétence sur ces sujets et où les premières décisions significatives en matière d'IA Act commencent à dessiner une jurisprudence.
La vraie ligne de partage ne se situe pas entre les entreprises qui utilisent l'IA et celles qui ne l'utilisent pas. Elle se situe entre celles qui ont défini ce qu'elles sont prêtes à faire avec, et celles qui le découvriront sous contrainte.