L’écart de consentement caché dans l’IA d’entreprise

Les conversations sur l’IA d’entreprise commencent généralement par les données. L’entreprise dispose-t-elle de suffisamment d’informations client pour entraîner un modèle, personnaliser une expérience ou soutenir une décision automatisée ?

La question qui passe souvent inaperçue est de savoir si l’entreprise a réellement l’autorisation d’utiliser ces données pour le but précis qu’elle envisage.

Les données client peuvent être précises, accessibles et précieuses tout en restant soumises à des restrictions. Une personne peut accepter de recevoir des recommandations personnalisées sans accepter que ses informations soient utilisées pour entraîner un modèle d’IA. Une autre peut vouloir des mises à jour par e‑mail une fois par mois mais refuser les messages texte quotidiens.

C’est pourquoi j’ai commencé à décrire la gestion du consentement et des préférences comme une gouvernance des autorisations. Cela répond à une question simple : qui, ou quoi, a l’autorisation d’accéder à ces données et de les utiliser à une fin particulière ?

À mesure que l’IA se connecte à davantage d’expériences client, les entreprises doivent répondre à cette question avant que le système n’agisse. Les incidents d’IA documentés augmenté de 233 en 2024 à 362 en 2025 — une hausse de 55 % en une seule année, et un signe de l’importance de bien faire les choses.

Les données disponibles ne sont pas des données autorisées

La plupart des grandes organisations disposent déjà de technologies pour collecter, stocker et transférer les informations client. Elles savent où résident les données, à quel client elles appartiennent et comment les rendre disponibles à une autre application.

La gouvernance des autorisations répond à un autre ensemble de questions :

• Pourquoi les informations ont-elles été collectées ?
• À quoi le client a-t-il consenti ?
• Quelles utilisations cet accord couvre-t-il ?
• Le client a-t-il changé d’avis ?
• Quels systèmes doivent recevoir cette mise à jour ?

Ces questions deviennent particulièrement importantes lorsque des données collectées à une fin sont introduites dans un nouveau cas d’utilisation de l’IA. Les informations présentes dans un CRM ou le profil d’un client ne sont pas automatiquement appropriées pour chaque modèle, campagne ou décision automatisée.

Le consentement est une base légale pour le traitement des données personnelles, mais ce n’est pas la seule. Les exigences dépendent de la juridiction, des données et du cas d’utilisation. L’idée principale est que la simple disponibilité ne prouve pas l’autorisation.Les régulateurs examinent déjà ce qui se passe lorsque des modèles d’IA sont développés en utilisant des données personnelles traitées illégalement. Les questions sur la façon dont les informations ont été obtenues ne disparaissent pas une fois que ces informations sont intégrées dans un modèle.

L’IA a besoin de plus que “Opt In” ou “Opt Out”

Les systèmes de consentement traditionnels réduisent souvent la décision du client à deux choix : opt in ou opt out. Cela ne reflète pas la façon dont les gens souhaitent réellement interagir avec les entreprises.

Un client peut vouloir des recommandations de produits mais rejeter la publicité non pertinente. Il peut accepter la personnalisation tout en refusant l’utilisation de ses informations pour l’entraînement du modèle. Il peut encore apprécier les e‑mails d’une marque mais souhaiter les recevoir une fois par mois plutôt que chaque jour.

Un examen de 22 systèmes d’IA destinés aux consommateurs a révélé une grande variation dans la façon dont les produits demandent l’autorisation et gèrent la personnalisation, sans norme cohérente parmi les systèmes étudiés.

Offrir aux clients la possibilité de « opt down » peut être une avancée majeure. Sans cette option, une personne qui se sent submergée par trop de messages peut se désabonner complètement. L’entreprise perd un client disposé parce qu’elle ne lui a jamais offert un choix plus raisonnable.

L’expérience devient intrusive dès que cet échange se rompt — lorsque le client ne se souvient pas d’avoir demandé cela ou ne comprend pas pourquoi l’entreprise agit sur certaines informations. Les entreprises peuvent éviter une grande partie de cette confusion en étant directes : voici les informations que nous souhaitons collecter, voici comment nous voulons les utiliser et voici ce que vous recevrez en retour.

Le choix d’un client doit atteindre chaque système

Enregistrer une préférence sur un site web n’est que le début. Ce choix doit atteindre chaque système utilisant les informations du client. Un client peut mettre à jour une préférence tandis qu’une plateforme d’e‑mail, une application de service ou un environnement d’IA continue d’agir sur une réponse plus ancienne, et différentes unités commerciales peuvent ainsi détenir des enregistrements contradictoires. Un client peut également passer d’une navigation anonyme à un compte authentifié sans que l’entreprise ne relie jamais ses choix antérieurs au nouveau profil.

C’est ici que le consentement ne peut plus rester dans un silo de confidentialité que le reste de l’entreprise connaît à peine. Il doit se connecter au marketing, à l’expérience client, à la gouvernance des données et aux systèmes déployant l’IA. Une couche d’autorisations fonctionnelle doit conserver le dernier enregistrement, relier les choix entre les profils client, associer chaque autorisation à un objectif précis et transmettre les modifications à chaque système concerné.

Si le registre central indique qu’un client a retiré son autorisation mais que les systèmes en aval continuent d’utiliser les données, l’enregistrement du choix ne l’a pas réellement respecté. Ce problème devient beaucoup plus important avec l’IA. Une autorisation périmée peut influencer des milliers de recommandations, de messages ou d’actions automatisées avant que quiconque ne s’en rende compte.

La confidentialité ne peut pas se permettre d’être le « Bureau du non »

Rien de tout cela ne fonctionne si la confidentialité n’est impliquée qu’après coup. Les équipes de confidentialité ont acquis une réputation dans certaines entreprises en tant que bureau du non, et dans de nombreux cas cela se produit parce que la confidentialité est intégrée à un projet après que les décisions importantes ont déjà été prises.

Une équipe marketing élabore une campagne, une équipe de données construit un nouveau modèle ou la direction décide qu’il faut agir rapidement sur l’IA. La confidentialité reçoit le plan à la fin et identifie un problème. À ce stade, la seule réponse réaliste peut être non.

Intégrer la confidentialité plus tôt dans le processus change la conversation. L’équipe peut aider l’entreprise à continuer d’avancer tout en cochant les bonnes cases en cours de route. Protection de la vie privée dès la conception est beaucoup plus facile que d’essayer de démêler un système après que les données client ont déjà traversé celui-ci.

Cela importe parce que les équipes de confidentialité sont souvent petites, même au sein des plus grandes entreprises du monde. Ces équipes petites mais puissantes ne peuvent pas suivre manuellement chaque choix client à travers chaque application. Elles ont besoin de systèmes flexibles, faciles à utiliser et capables de transporter les autorisations à travers l’entreprise.

Les professionnels de la confidentialité ont également besoin de la confiance nécessaire pour expliquer leur travail en termes commerciaux. Ils se situent entre l’entreprise et le client et peuvent aider les deux parties à tirer davantage de valeur de la relation.

La piste d’audit doit atteindre la décision d’IA

Lorsqu’une décision pilotée par l’IA est remise en question, l’entreprise doit pouvoir reconstituer ce qui s’est passé. Cela inclut l’identification des données client utilisées, ce à quoi le client avait consenti, quel avis il a reçu et si le dernier choix était parvenu au système avant qu’il n’agisse. Directives d’IA établies insistent sur la documentation des données, des exigences du système et des décisions tout au long du cycle de vie de l’IA.

Ces preuves soutiennent les enquêtes réglementaires, mais elles ont également une valeur pratique. Les équipes de confidentialité, de marketing, d’expérience client et de données doivent comprendre pourquoi quelque chose a mal tourné, identifier quels systèmes se sont désynchronisés et corriger le processus.

Capturer le consentement n’est pas équivalent à le prouver plus tard. Un enregistrement devient beaucoup plus difficile à reconstituer après que les données ont traversé plusieurs systèmes et ont influencé une action automatisée.

La confiance se construit ou se brise à chaque interaction

La confiance peut sembler un mot à la mode, mais elle est le fondement de chaque relation client. Chaque interaction rend cette relation un peu meilleure ou un peu pire, que l’entreprise s’en rende compte ou non.

À mesure que l’adoption augmente, les entreprises ont davantage d’opportunités de créer de la valeur, mais aussi plus d’opportunités pour que de petites lacunes de gouvernance affectent les clients. Avant de déployer à grande échelle une application d’IA orientée client, les dirigeants doivent comprendre quelles données seront utilisées, quelles autorisations s’appliquent et à quelle vitesse le choix mis à jour du client atteindra le système.

Une recommandation ne doit pas s’appuyer sur des informations que le client ne s’attendait pas à voir utilisées. Un message ne doit pas arriver via un canal que le client a rejeté. Un système automatisé ne doit pas agir simplement parce que les données sont disponibles.

Les clients indiquent déjà aux organisations ce qu’ils souhaitent. L’étape suivante consiste à s’assurer que les systèmes d’IA qui agissent sur leurs données sont capables d’écouter.