Les fuites spectaculaires n’existent quasiment pas dans les PME. Ce qui sort part par la porte de service : une pièce jointe expédiée vers une adresse personnelle « pour avancer ce week-end », un fichier de formules déposé sur un espace de partage gratuit pour l’envoyer à un laboratoire sous-traitant, une clé remise à un stagiaire qui repart avec l’ensemble du dossier technique. Chez un fabricant d’arômes alimentaires de trente et un salariés, le classeur qui contenait toutes les formulations actives portait un nom éloquent et se trouvait accessible à vingt-deux personnes, dont l’assistante commerciale et le responsable maintenance. L’IA pour la protection des secrets d’affaires commence donc rarement par de la détection sophistiquée. Elle commence par savoir ce qui est précieux, et par regarder qui y accède.
Un savoir-faire que l’on n’a pas identifié ne se défend pas
La protection du secret d’affaires, dans son principe, ne s’obtient par aucun dépôt. Elle repose sur trois conditions cumulatives : l’information doit rester confidentielle, elle doit tirer sa valeur de cette confidentialité, et l’entreprise doit avoir pris des mesures raisonnables pour la préserver. Le cadre est harmonisé à l’échelle européenne, comme l’ont documenté les travaux du Parlement Européen, et sa mise en œuvre concrète relève de votre avocat ou de votre conseil en propriété industrielle.
Retenez surtout la troisième condition. Elle est celle qui se perd.
Un dirigeant qui découvre qu’un ancien collaborateur exploite ses formulations se trouve désarmé s’il ne peut pas démontrer qu’il avait organisé la confidentialité de ces informations. Un fichier ouvert à tout le personnel, sans mention particulière, sans restriction d’accès, sans engagement signé, affaiblit considérablement sa position. Ce n’est pas une question technique. C’est une question de preuve.
Commencer par la cartographie plutôt que par l’outil
Nous démarrons toujours par un exercice ingrat : lister ce qui, dans l’entreprise, aurait de la valeur pour un concurrent. Chez notre aromaticien, la liste a tenu en sept lignes. Les formulations et leurs versions de travail. Les résultats de stabilité qui expliquent pourquoi telle version a été écartée. Le tarif d’achat de trois matières premières rares et le nom des courtiers qui les fournissent. Les cahiers des charges déposés par deux clients de la grande distribution. Sept lignes, quand le fondateur en attendait cinquante.
C’est une bonne nouvelle. Sept catégories se protègent sérieusement ; cinquante ne se protègent pas du tout, parce qu’un dispositif qui classe tout en confidentiel finit ignoré de tous.
Un modèle de langage aide utilement à cette phase, à condition d’être employé sur des documents internes et dans un environnement maîtrisé. On lui fait parcourir l’arborescence des dossiers partagés pour repérer les fichiers contenant des formules, des prix d’achat, des noms de fournisseurs ou des mentions de contrat. Il produit une proposition de classement que l’on corrige. Sur les six mille documents de cette entreprise, l’opération a demandé une nuit de traitement et deux demi-journées de relecture, là où un stagiaire y aurait passé son été.
Ce que la détection automatique voit, et ce qu’elle croit voir
Les dispositifs de détection des transferts sortants ont beaucoup progressé. Ils repèrent l’envoi massif de pièces jointes vers un domaine externe, la copie d’un dossier entier sur un support amovible, l’accès à des fichiers sensibles en dehors des horaires habituels. Correctement réglés, ils réduisent fortement les partages hors périmètre : nous observons des baisses de l’ordre de la moitié aux deux tiers dans les mois qui suivent une mise en place sérieuse.
Ils produisent aussi des fausses alertes en quantité. Un commercial qui prépare un salon télécharge cinquante fiches produit d’un coup et déclenche exactement le même signal qu’une exfiltration. Si chaque alerte remonte au dirigeant, le dispositif sera débranché en six semaines. Nous calibrons donc les seuils sur un mois d’observation à blanc avant toute activation réelle, et nous réservons l’alerte immédiate à deux ou trois scénarios franchement anormaux.
Cloisonner vaut mieux que surveiller
Une entreprise qui surveille beaucoup et cloisonne peu se donne bonne conscience. L’inverse produit davantage d’effet, pour moins d’argent et sans dégrader le climat interne. Chez cet aromaticien, quatre décisions ont fait l’essentiel du travail. Les formulations ont été déplacées dans un espace accessible à cinq personnes au lieu de vingt-deux. Les échantillons envoyés aux clients ont cessé d’être accompagnés de la fiche technique complète, remplacée par une fiche commerciale allégée. Les échanges avec le laboratoire sous-traitant sont passés par un espace de dépôt dédié, avec des accès nominatifs révocables. Les départs déclenchent enfin une procédure écrite de restitution et de coupure des accès, appliquée le jour même.
Aucune de ces mesures ne relève de l’intelligence artificielle. Toutes conditionnent son utilité.
Un point d’attention que nous soulevons systématiquement : tout dispositif de journalisation touchant l’activité des salariés suppose une information préalable des équipes et des représentants du personnel, ainsi qu’une proportionnalité réelle entre le risque couvert et les moyens employés. Faites valider ce volet par votre conseil avant l’installation, pas après. Un dispositif contesté perd toute valeur au moment précis où vous auriez besoin de vous en servir.
Les moments où tout se joue
Quatre situations concentrent la majorité des incidents que nous rencontrons. Le départ d’un collaborateur de la recherche, évidemment. L’entrée en discussion avec un partenaire industriel, quand l’enthousiasme conduit à envoyer beaucoup trop de documents avant qu’un accord de confidentialité soit signé. La réponse à un appel d’offres, où le service achats du donneur d’ordre demande des détails techniques qui n’ont aucune raison d’y figurer. Les salons professionnels, enfin, où un ingénieur passionné raconte volontiers son procédé à un interlocuteur qui pose de très bonnes questions.
Contre ces quatre-là, la meilleure protection reste une consigne écrite, courte, connue de tous, et rappelée avant chaque salon.
Notre fabricant d’arômes n’a pas acheté de logiciel de sécurité. Il a cartographié, cloisonné, formalisé, puis ajouté une détection modeste sur deux scénarios. C’est cette progression que nous recommandons pour l’IA pour la protection des secrets d’affaires dans une entreprise de trente personnes : l’organisation d’abord, l’outillage ensuite, le juriste en accompagnement des deux. Si vous ne savez pas qui accède aujourd’hui à ce qui fait votre valeur, l’équipe MINOBIA peut vous aider à l’établir avant qu’un départ ne vous l’apprenne.
Questions fréquentes
Faut-il déposer un brevet pour protéger un savoir-faire ?
Pas nécessairement, et parfois surtout pas : un brevet se publie, donc il divulgue. Le choix entre dépôt et secret dépend de votre marché et de la facilité avec laquelle un concurrent peut retrouver votre procédé. C’est une décision à prendre avec un conseil en propriété industrielle.
Une clause de confidentialité dans le contrat de travail suffit-elle ?
Elle est utile, elle ne suffit pas. Ce que l’on vous demandera de démontrer, c’est l’existence de mesures concrètes : accès restreints, documents identifiés comme confidentiels, procédures de départ appliquées.
Peut-on utiliser un assistant conversationnel public sur des documents sensibles ?
Non, pas sur vos formulations ni sur vos contrats. Pour ces contenus, exigez un environnement où vos données ne servent pas à l’entraînement et restent hébergées dans un cadre que vous maîtrisez.
Quel budget prévoir pour une PME de trente personnes ?
La cartographie et le cloisonnement mobilisent surtout du temps interne, quelques jours répartis sur deux mois. Les dépenses techniques viennent après, et restent modestes si vous exploitez d’abord les fonctions déjà présentes dans vos outils actuels.
Prêt à concrétiser votre projet IA ?
À propos de l’auteur
Joël Obitz est entrepreneur et fondateur de MINOBIA, cabinet spécialisé dans l’intégration stratégique de l’intelligence artificielle au sein des PME et ETI. Fort de 20 ans d’expérience dans le B2B industriel, il accompagne les entreprises dans leur transformation numérique, avec une approche directe, pragmatique et orientée résultats.
Contactez-nous : contact@minobia.ai
Suivez-nous sur LinkedIn et Facebook
MINOBIA – Activateur France Num https://www.francenum.gouv.fr/activateurs/minobia
