Le sujet n’est pas nouveau mais l’IA change considérablement la donne. Plus précisément, les agents IA peuvent potentiellement avoir accès à un certain nombre d'informations, dont certaines sont sensibles. Face à l’accumulation des documents au fil des années – espaces collaboratifs, messageries, applications métiers… –, les directions des systèmes d’information n’ont d’autre choix que de repenser la gestion des droits d’accès.

Chez Meritis, cabinet de conseil en transformation des systèmes d'information, le diagnostic est sans détour. « Notre principal enjeu en matière de gestion documentaire porte sur la gouvernance des données, résume Laurent Plagnes, DSI de l'entreprise. Elle inclut notamment l’identification des propriétaires, des droits d’accès fondés sur le moindre privilège et revues régulières, la classification, la gestion du cycle de vie de la donnée, sans oublier le volet réglementaire... Rien de fondamentalement nouveau mais le moindre oubli peut désormais être facilement révélé par l’IA. »

La migration comme occasion de tout remettre à plat

Pour Meritis, l'occasion est venue d'un projet d'infrastructure lorsque l’entreprise a migré ses serveurs de fichiers sur site vers SharePoint Online. « La bascule s'est faite entité par entité. La dernière, en cours, concerne les équipes commerciales, avec un objectif précis : repenser l’organisation des données afin d’aider les métiers, et faciliter la gestion des droits d’accès », explique Laurent Plagnes.

Le DSI ne cache pas l'ampleur de la tâche. « Nous en avons également profité pour revoir la gestion des droits d'accès de chacun. » Pour ne pas avoir à reproduire cet exercice, particulièrement long et fastidieux, à chaque mouvement de personnel, la DSI a misé sur l’automatisation afin d’attribuer les droits à partir de la fonction ou du périmètre de chaque collaborateur. Cela « permet d'accorder des accès au plus juste en fonction du rôle du collaborateur, lequel peut évoluer au cours de sa vie au sein de l'entreprise ».

Ce point n'est pas un détail. Les comptes et les droits orphelins constituent l'un des angles morts les plus répandus. Selon le rapport 2025 sur l’état de la sécurité des données de Varonis, mené auprès de 1 000 organisations dans une quinzaine de pays, 88 % des entreprises conservent des comptes « fantômes » toujours actifs, et 90 % ont des fichiers sensibles accessibles à l'ensemble des salariés via Microsoft 365 Copilot.

Les métiers en première ligne

La principale difficulté n'est pourtant pas technique. « C'est revoir les usages de chacun dans son environnement », souligne Laurent Plagnes. Chez Meritis, l'organisation des espaces a été confiée aux équipes elles-mêmes. « C'est leur espace de stockage : à elles de l'organiser selon leurs besoins, dans le cadre que nous définissons. » La DSI fixe le cadre et automatise ce qui peut l'être. Les métiers décident du classement et de qui doit accéder à quoi.

L'automatisation sert aussi la conformité. « Toute la partie légale, notamment le RGPD et la durée de vie des données, est importante, rappelle le DSI. C’est pourquoi nous avons automatisé un maximum de processus dans nos environnements afin de respecter ces obligations, par exemple en appliquant automatiquement des durées de conservation, avec archivage ou suppression à échéance. »

L'IA voit ce que l'utilisateur ne cherchait pas

Si le chantier remonte aujourd'hui dans les priorités, c'est à cause de l'IA. « La vérification des accès est d'autant plus importante avec l'arrivée de l'IA », observe Laurent Plagnes, qui constate « une forte demande de la part des utilisateurs à laquelle la DSI doit pouvoir répondre sans exposer l’entreprise ». Il résume le risque ainsi : « Un agent IA connecté à un environnement documentaire peut introduire ou révéler des failles qu’un humain ne verrait pas. » Dans n'importe quelle entreprise, un dossier mal protégé, longtemps resté hors de vue, peut ainsi ressortir dans la réponse d'un assistant.

Les usages vont plus vite que les règles. Selon le Baromètre Phygital Workplace 2026 de Julhiet Sterwen mené par l'Ifop, 62 % des salariés de grandes entreprises utilisent l'IA, contre 38 % en 2024. Seuls 34 % déclarent pourtant que des règles d'usage formalisées existent dans leur entreprise.

Le shadow IA illustre bien ce manque de règles d’utilisation en entreprise, comme le souligne Olivier Iteanu, avocat spécialisé en droit du numérique. « Chaque entreprise essaie d'encadrer l'usage de l'intelligence artificielle, car, avec l’externalisation des postes de travail, que ce soit en télétravail ou en déplacement, son utilisation pose de nombreux problèmes de sécurité, de protection du savoir-faire, de propriété intellectuelle et de secrets des affaires ». Un document confié à un outil non maîtrisé échappe à toute règle de droits d'accès, aussi bien conçue soit-elle.

Penser cycle de vie plutôt que stockage

Quel conseil donner à un DSI qui n'a pas encore ouvert ce chantier ? « Penser gouvernance avant de penser stockage, répond Laurent Plagnes, classifier ses données, identifier un propriétaire pour chaque espace, automatiser tout ce qui peut l’être, et tester un périmètre restreint avant de brancher l’IA à grande échelle ».

L'IA a remis la gouvernance au centre de la gestion documentaire. Si les outils existent pour automatiser les droits et les durées de conservation, le travail de fond, lui, reste humain : connaître, service par service, qui a accès à quoi.

Sources