L'échéance d'août 2026 pour la mise en conformité avec l'AI Act n'est plus un horizon lointain, mais une date butoir qui s'impose à l'agenda de chaque DSI et DGS. Dans les collectivités territoriales, cette pression réglementaire se heurte à une réalité de terrain complexe : la prolifération silencieuse mais massive du "Shadow AI". Des agents, en quête légitime d'efficacité, utilisent au quotidien des outils comme ChatGPT ou les versions grand public de Copilot, sans cadre, sans contrôle, et surtout, sans évaluation des risques pour les données sensibles des administrés.
Face à ce Far West numérique, l'attentisme n'est plus une option. La question n'est plus de savoir s'il faut utiliser l'IA, mais comment la maîtriser. Le récent partenariat stratégique entre Microsoft et la pépite française Mistral AI ouvre une voie pragmatique. Il ne s'agit pas de choisir un camp, mais de construire une architecture hybride, capable d'allier la puissance des outils bureautiques intégrés à la garantie de souveraineté pour les traitements critiques. Ce playbook, inspiré des leçons pionnières du Département du Gard, propose un plan d'action pour transformer ce chaos en opportunité stratégique.
🎯
En un coup d’œil
- Audit impératif — Cartographier les usages non officiels de l'IA ('Shadow AI') est le prérequis pour mesurer les risques et définir les besoins réels.
- Stratégie hybride — L'alliance Microsoft-Mistral offre une voie pour combiner la productivité de Copilot et la souveraineté de Mistral sur une seule plateforme Azure.
- Gouvernance proactive — Le succès ne dépend pas de l'outil mais du cadre : définir qui utilise quoi, pour quelles données et sous quel contrôle est essentiel.
- Conformité AI Act — L'échéance de 2026 impose de documenter et classifier tous les usages de l'IA, une tâche à commencer dès aujourd'hui pour éviter les sanctions.
Audit et cartographie du 'Shadow AI'
Avant même d’envisager le déploiement d’une solution officielle, il est impératif de mesurer l'existant. Le "Shadow AI" est une réalité dans toutes les organisations, et les collectivités ne font pas exception. Vos agents rédigent des comptes rendus ou préparent des présentations avec des IA génératives dont les politiques de confidentialité et les lieux d'hébergement des données sont souvent opaques. Cette pratique, bien que partant d'une bonne intention, constitue une faille de sécurité et de conformité, exposant des informations confidentielles à des traitements non maîtrisés.
Les risques ne sont pas théoriques. La CNIL a récemment publié une note sur les "IA Agentiques" qui souligne l'importance de la protection des données dès la conception, rappelant que le responsable de traitement reste comptable des opérations effectuées, même par une IA. Ignorer ces usages, c'est s'exposer à des sanctions RGPD avant même de devoir affronter les exigences de l'AI Act.
Ignorer ces usages, c'est s'exposer à des sanctions RGPD avant même de devoir affronter les exigences de l'AI Act.
Conduire un audit n'a pas pour but de sanctionner, mais de comprendre pour mieux encadrer. La démarche peut combiner des questionnaires anonymisés, des analyses du trafic réseau et des ateliers avec les métiers les plus impactés (RH, communication, services juridiques). L'objectif est de dresser une carte précise : quels outils sont utilisés, pour quelles tâches et avec quel type de données ? Cette analyse factuelle est le prérequis pour évaluer les besoins réels et justifier un projet de régularisation.
Cette phase de diagnostic permet de transformer la peur de la perte de contrôle, identifiée comme un frein majeur à l'adoption de l'IA dans le secteur public, en un levier de transformation. En objectivant les pratiques, vous ne subissez plus le phénomène ; vous le pilotez. Vous disposez alors d'une base solide pour définir une doctrine d'usage et construire un argumentaire chiffré démontrant le retour sur investissement d'une approche maîtrisée.
Microsoft-Mistral : l'opportunité d'une IA hybride
L'annonce du partenariat entre Microsoft et Mistral AI change radicalement la donne pour les décideurs publics français. Le choix n'est plus binaire entre la puissance intégrée de Copilot et la souveraineté de solutions européennes. Cette alliance crée une troisième voie, celle de l'IA hybride, permettant de capitaliser sur le meilleur des deux mondes au sein d'un environnement technique cohérent : la plateforme Azure.
Concrètement, cette approche permet de mettre en place une gouvernance granulaire des flux de données. Les tâches à faible risque, comme la synthèse d'un document public, peuvent être traitées par Copilot. En revanche, dès qu'une requête implique des données sensibles (données personnelles d'usagers, documents budgétaires), elle peut être automatiquement routée vers une instance dédiée d'un modèle Mistral, déployée sur un datacenter Azure en France et opérée sous des conditions garantissant la conformité RGPD.
Comme le souligne une analyse de ZDNet, en s'alliant à l'acteur européen le plus en vue, Microsoft vient chercher une caution de souveraineté auprès de Mistral AI. Pour une collectivité, cela signifie pouvoir offrir un service d'IA performant à ses agents sans compromis sur ses obligations légales et sa doctrine de souveraineté numérique. Adopter une telle architecture hybride est aussi une posture stratégique face au risque de dépendance technologique.
Leçons du Gard : gouvernance et IA hybride
L'expérimentation de Microsoft Copilot menée par le Département du Gard offre un retour d'expérience précieux. Le premier enseignement est clair : les gains de productivité sont réels sur des tâches bureautiques ciblées. Cependant, ces bénéfices ne sont ni automatiques ni universels. Ils dépendent fortement de la maturité numérique des agents et de leur capacité à formuler des requêtes précises, ce qui souligne un besoin criant d'acculturation et de formation.
Le second point, plus critique, est le "paradoxe de Copilot" dans le secteur public. L'outil est le plus puissant lorsqu'il a accès à un maximum de données (emails, documents, calendriers). Or, c'est précisément cet accès étendu qui génère les risques les plus élevés. L'étude du cas pionnier du Gard par Ancoria met en lumière cette tension fondamentale : comment libérer la puissance de l'IA sans exposer les données sensibles de la collectivité ? La réponse a été de limiter le périmètre et de procéder avec prudence.
💡
L’analyse de l’expert
Le défi de Copilot dans le secteur public n'est pas technique, mais organisationnel. Sa puissance maximale est atteinte en accédant à toutes les données, ce qui est incompatible avec la sensibilité des informations publiques. Le retour d'expérience du Gard ne condamne pas l'outil, mais valide une approche par la gouvernance : limiter le périmètre et segmenter les usages est la seule voie viable, confirmant la pertinence stratégique d'un modèle hybride.
Cette expérience démontre qu'un déploiement "brut" de Copilot, sans une architecture de données pensée pour la sensibilité, est une voie périlleuse. Elle invite à ne pas considérer Copilot comme une solution monolithique, mais comme une brique d'un système plus large qui doit inclure des solutions souveraines pour les données critiques.
La véritable leçon est la nécessité d'une gouvernance proactive.
Avant de donner accès à l'outil, il faut définir des règles claires : quels agents y ont accès, pour quels usages et avec quelles limites sur les types de documents ? L'expérimentation du Gard valide l'approche hybride : un outil pour la productivité générale (Copilot) et un autre, souverain et maîtrisé (Mistral), pour les cas d'usage qui concentrent le plus de risques.
L'échéance d'août 2026 impose une refonte de la manière dont les organisations publiques acquièrent, déploient et supervisent les systèmes d'IA. La première étape consiste à classifier les usages identifiés lors de l'audit. La majorité des applications de type assistant bureautique sera classée à risque minimal. Cependant, une attention particulière devra être portée aux systèmes qui pourraient être qualifiés de "à haut risque", par exemple un outil d'aide à la décision pour l'attribution d'aides sociales.
Il est crucial de comprendre la répartition des responsabilités. Le fournisseur du modèle a des obligations, mais la collectivité, en tant qu'entité déployant le système, a ses propres devoirs : superviser son fonctionnement et tenir des registres d'utilisation. Comme le souligne une analyse du Village de la Justice, les entités qui déploient l'IA devront anticiper des questions cruciales sur leurs propres obligations.
C'est ici que le modèle hybride devient un atout majeur pour la conformité. Il permet de créer une documentation claire et segmentée. Pour les usages à faible risque sur Copilot, la documentation de Microsoft peut suffire, complétée par une charte d'usage. Pour les traitements sensibles délégués à Mistral, la collectivité s'appuie sur la documentation d'un acteur européen. L'unification de l'offre Copilot et 365 Copilot par Microsoft simplifie l'aspect commercial mais ne résout pas la question de fond de la gouvernance.
Votre plan de conformité doit donc inclure un registre des usages de l'IA, précisant le modèle utilisé, la finalité, le niveau de risque et les mesures de contrôle mises en place.
🛠️
Conseil pratique
Ne lancez pas une expérimentation à l'aveugle. Avant tout PoC, constituez un groupe de travail transverse incluant DSI, DPO et un représentant des métiers clés. Ce groupe doit définir en amont deux cas d'usage précis : un à faible risque pour Copilot (ex: rédaction de communications internes) et un à haute sensibilité pour Mistral (ex: anonymisation de documents juridiques). Cela garantira que votre test mesure des résultats pertinents et prépare directement votre dossier de conformité pour l'AI Act.
Conclusion
L'échéance d'août 2026 pour l'AI Act n'est pas une menace, mais un catalyseur. Elle oblige les collectivités territoriales à sortir de la passivité face à la vague de l'IA générative. Ignorer le "Shadow AI" revient à naviguer à l'aveugle vers un iceberg réglementaire et sécuritaire.
Le partenariat entre Microsoft et Mistral AI, abordé avec une vision stratégique, offre une solution pragmatique pour concilier performance, intégration et souveraineté. Il ne s'agit pas de tout interdire ou de tout autoriser, mais de segmenter, de gouverner et de maîtriser. Le plan en trois temps — Auditer, Expérimenter, Déployer — constitue une feuille de route claire pour tout DSI ou DGS souhaitant reprendre le contrôle. L'heure est venue de transformer ce défi technique en un projet de modernisation maîtrisé pour le service public.
