IA générative : engouement mondial malgré des retours sur investissement quasi inexistants

L’intelligence artificielle générative suscite un engouement comparable à une ruée vers l’or dans le monde de l’entreprise. Les directions générales pressent leurs équipes d’adopter cette technologie révolutionnaire. Pourtant, derrière cette course effrénée à l’innovation se cache une réalité bien plus nuancée que les promesses des fournisseurs.

Un emballement généralisé malgré des résultats décevants

Les directeurs des systèmes d’information se retrouvent en première ligne pour encadrer cet enthousiasme. « Aujourd’hui, il n’est pas possible d’éviter le sujet de l’IA générative », constate Lionel Chaine, DSI de Bpifrance. Cette technologie s’est imposée au plus haut niveau des organisations.

Nicolas Siegler, DGA adjoint et DSI à la Maif, témoigne du même phénomène : « quand cette technologie a émergé, le sujet a été porté au niveau de la direction générale ». Les éditeurs de logiciels alimentent cette frénésie, tandis que les résultats concrets tardent à se manifester.

Le MIT révèle un échec massif

Une étude du MIT intitulée « The GenAI Divide: State of AI in Business 2025 » dresse un constat sans appel : 95 % des entreprises ne constatent aucun retour mesurable de leurs investissements en IA générative. Un chiffre qui contraste violemment avec l’effervescence ambiante.

« Pour les cas d’usage pertinents, les bénéfices émergent seulement après la mise à l’échelle », souligne Lionel Chaine. Malgré cette absence de visibilité sur le ROI, la quasi-totalité des directions poursuivent leurs expérimentations massives.

Le Shadow AI, une menace grandissante

La démocratisation de ChatGPT et d’autres modèles de langage auprès du grand public complique encore la situation. Les salariés, familiarisés avec ces outils dans leur vie personnelle, sont tentés de les utiliser professionnellement sans autorisation.

« Même quand une entreprise interdit le Shadow AI, des salariés sont tentés de le contourner en passant par leur smartphone ou un abonnement personnel », observe Damien Peries, DSI de Crosscall. Les DSI portent la responsabilité des incidents qui pourraient en découler.

Des risques multiples et interconnectés

Les dangers associés à l’IA générative se déclinent en plusieurs catégories : conformité réglementaire, hallucinations, exposition de données sensibles, impacts sur les ressources humaines, conséquences environnementales et dérapages budgétaires. Le Cigref a publié plusieurs guides sur ces questions, notamment sur l’application de l’AI Act européen.

La gouvernance comme bouclier

« C’est la bonne approche pour bénéficier des apports de cette technologie en maîtrisant au mieux les risques induits », confirme Nicolas Siegler. La Maif a créé un conseil de surveillance « Numérique éthique » pour évaluer les impacts RH, environnementaux et éthiques.

L’évaluation de l’apport technologique demeure complexe. Pour les cas d’usage intégrés dans un processus métier, le ROI reste relativement simple à mesurer. Chez Bpifrance, « sur 200 cas d’usage proposés par les métiers, environ 20 ont été mis en production pour le moment », illustre Lionel Chaine.

Sensibiliser plutôt qu’interdire

Face à ces défis, de nombreuses organisations privilégient la pédagogie. Chez Crosscall, « tout ce qui n’est pas listé aux collaborateurs comme autorisé est interdit, insiste Damien Peries. Le but n’est pas d’empêcher toute requête, les flux ne sont pas bloqués, mais de responsabiliser les utilisateurs par des actions différentes de sensibilisation. »

À l’agglomération de Lorient, « Nous privilégions la sensibilisation et la pédagogie. Une note a été diffusée à l’ensemble des agents pour les informer des opportunités et des risques », souligne Alain Cottencin, DSI.

Des dispositifs de sécurisation variés

La Maif autorise l’utilisation de Copilot web sur Azure, « ce qui sécurise ces usages », précise Nicolas Siegler. Les autres LLM ne sont pas bloqués techniquement, mais les flux sont surveillés et les utilisateurs sensibilisés. L’organisation a également mis en place une cellule d’assistance aux prompts.

Bpifrance a déployé une charte d’utilisation. Ces actions de sensibilisation ont permis au management de Crosscall de prendre conscience des risques à exposer des informations sensibles via l’IA générative dans un contexte professionnel.

Gérer les hallucinations et les erreurs

L’accompagnement vise à faire comprendre que la technologie génère des hallucinations. « Il est indispensable que l’utilisateur garde un regard critique », résume un DSI du secteur de la santé. Le Cigref préconise une organisation dédiée pour définir les rôles sur les cas d’usage critiques.

À la Maif, « Pour ‘surveiller’ le chatbot chargé de répondre à des questions sur la prise en charge des incidents dans les contrats, une équipe dédiée de deux postes a été créée », note Nicolas Siegler. L’organisation a également mis en place un dispositif « Maintien en Conditions Intelligentes » pour détecter les dérapages.

Classification des agents IA

Bpifrance utilise des agents IA classés en trois catégories pour les LLM : crawling web sans accès aux données internes, accès hybride limité aux données non critiques, et focus exclusif sur les données internes. L’organisation s’interdit d’utiliser la GenIA pour les cas critiques comme l’octroi de prêts.

Conformité réglementaire et cybersécurité renforcées

Le risque réglementaire peut entraîner des sanctions financières importantes. L’AI Act impose la transparence sur l’usage de la technologie et le suivi des données. Chez Bpifrance, « tous les usages sont supervisés, les prompts sont archivés associés au profil de l’utilisateur », décrit Lionel Chaine.

La Maif a développé une plateforme gérant les flux liés aux LLM, permettant de « suivre les impacts environnementaux », signale Nicolas Siegler. L’agglomération de Lorient envisage des modèles open source ou des fournisseurs européens comme Mistral pour la production.

Les failles de sécurité persistantes

« À ce jour, les équivalents d’un firewall pour les IA génératives ne sont pas encore au point, par exemple pour éviter l’injection de prompts », rappelle Lionel Chaine. La Maif surveille le dark web pour vérifier que les données de ses sociétaires ne sont pas divulguées.

Selon le rapport du Cigref, « l’appréhension des risques doit être faite globalement et non sur chaque facteur », car confidentialité, sécurité, protection des données, hallucinations et propriété intellectuelle sont intimement liées.