Formation IA en entreprise : inclure les prestataires externes

Souvent, la formation IA en entreprise s'arrête à l'annuaire des salariés. Cette limite est trop restrictive quand des prestataires, agences ou fournisseurs utilisent des systèmes d'IA pour le compte de l'organisation. La vraie question n'est pas seulement « Qui est salarié ? », mais « Qui peut utiliser ce système, y entrer des données, influencer un résultat ou impacter un client, un collaborateur ou une décision ? ». Un programme efficace suit ce périmètre opérationnel et fournit à chaque acteur externe le contexte, les contrôles et la procédure d'escalade nécessaires.

Pourquoi définir un périmètre pour la formation IA

La Q&R de la Commission européenne sur la maîtrise de l'IA indique que l'Article 4 continue d'exiger des mesures de formation pour le personnel et les tiers qui opèrent des systèmes d'IA pour le compte de fournisseurs ou de déployeurs. Elle cite explicitement les prestataires, fournisseurs de services et clients. La règle ne fixe pas de niveau individuel ; la bonne mesure dépend des connaissances, de l'expérience, de la formation et du contexte d'utilisation. Une formation annuelle générique est donc un critère de délimitation insuffisant.

Ce n'est pas qu'une question de conformité. Un prestataire peut choisir un modèle, y coller des informations sensibles, valider un résultat, rédiger une promesse client ou transmettre une décision assistée par IA à votre équipe. Le Generative AI Profile et l'AI RMF Playbook du NIST incluent le personnel et les services tiers dans l'analyse de risque. La formation doit donc lier l'accès à une tâche définie, des limites de données claires, une validation humaine et un moyen de signaler ou stopper un problème.

Exemple : une agence externe rédige des textes de campagne

Une agence marketing doit rédiger des textes pour une campagne produit avec une IA générative approuvée. Le brief de formation nomme le compte de l'agence et le responsable de campagne interne. Il autorise les informations produit publiques et la liste des arguments validés, mais interdit les données clients, les prix non publiés et les recherches confidentielles. L'agence doit conserver la source de chaque affirmation factuelle, utiliser le registre des arguments de l'entreprise et soumettre les arguments de santé, sécurité ou performance à un validateur désigné.

L'agence n'a pas besoin du même cursus qu'un analyste RH ou un ingénieur logiciel. Il lui faut une brève introduction aux règles IA de l'entreprise, un exercice pratique avec du contenu d'exemple, la validation d'une première version et une procédure d'escalade claire. Si la campagne, le modèle ou les arguments changent, le brief déclenche une mise à jour. À la fin du contrat, le responsable supprime l'accès et documente la passation.

Scan d'usage externe : 10 minutes

Checklist avant de donner l'accès à un acteur externe

Intégrez ce périmètre au reste du programme

Ne créez pas un univers de formation distinct pour chaque fournisseur. Réutilisez le socle commun de l’entreprise, puis ajoutez le contexte minimal requis pour la tâche externe. La formation IA autour de quatre décisions managériales, la formation IA pour des workflows RH sûrs, la checklist de pré-lancement d’une plateforme et le registre des allégations marketing apportent des contrôles complémentaires. Le programme Bokili pour les RH et la formation peut soutenir une base de pratique commune, tandis que les responsables gardent les décisions de tâche et d’accès au plus près du travail.

Le résultat : un périmètre de formation IA plus clair. Toute personne pouvant influencer un travail assisté par IA reçoit la préparation adéquate, et personne n'obtient un accès large simplement parce que son organisation a suivi une formation générique. Commencez par un workflow externe, testez le brief en cinq points, et appliquez vos apprentissages au suivant.