Sarah Webb, directrice des opérations et cofondatrice de LawVu – Série d’entretiens

Sarah Webb est directrice des opérations et cofondatrice de LawVu. Elle possède une expérience en ingénierie et en direction d’équipes logicielles, acquise notamment chez LOVEFiLM et Amazon. Elle a rejoint LawVu en 2015 comme directrice technique (CTO), puis est devenue directrice des opérations (COO) en 2020, mettant à profit son expérience dans les domaines de la technologie, des opérations, de la sécurité et de la gouvernance. Elle s’attache à aider les équipes juridiques à connecter leurs données et leurs flux de travail, tout en conciliant innovation en matière d’IA et gestion des risques de l’entreprise.

LawVu propose un système de gestion des opérations juridiques destiné aux équipes juridiques internes. Sa plateforme connectée regroupe les demandes entrantes, les dossiers, les contrats, les dépenses et les connaissances. Ses fonctionnalités d’IA et ses intégrations aident les équipes à travailler avec leurs outils existants, tout en préservant les autorisations et le contrôle. Dans cet entretien, Webb évoque l’IA fantôme, les flux de travail agentiques, les connaissances institutionnelles et les fondements dont les entreprises ont besoin pour adopter l’IA dans un cadre maîtrisé.

Vous avez cofondé LawVu après avoir consacré une grande partie de votre carrière à la création et à la direction d’équipes logicielles, notamment chez LOVEFiLM et Amazon. Qu’est-ce qui vous a amenée à voir dans les opérations juridiques des entreprises un problème auquel il valait la peine de s’attaquer, et comment votre vision initiale de LawVu a-t-elle évolué à mesure que l’IA transformait le paysage technologique ?

J’ai passé la majeure partie du début de ma carrière dans l’ingénierie et la technologie, notamment chez LOVEFiLM et Amazon. Je n’avais pas prévu de me tourner vers les technologies juridiques : cela s’est fait plutôt par les circonstances. Cela fait presque 11 ans que je travaille chez LawVu. J’y ai commencé comme directrice technique (CTO), avant de devenir assez rapidement directrice des opérations (COO). À elle seule, cette évolution a profondément changé ma façon de voir l’entreprise.

Au début, le premier problème que nous cherchions à résoudre était le manque de visibilité. La plupart de nos clients utilisaient Outlook et des feuilles de calcul Excel ; tout regrouper au même endroit représentait déjà une véritable avancée. Puis les équipes sont passées au télétravail et, sans plateforme centralisée, la collaboration est devenue encore plus difficile. Cela a confirmé ce que nous constations déjà : une grande partie du travail juridique répétitif n’était ni valorisée ni même visible pour le reste de l’entreprise, faute d’un espace où la rendre visible. Cette période nous a amenés à accompagner concrètement nos clients pour leur apprendre à structurer leurs données et à gérer le changement en interne, plutôt que de simplement leur fournir un outil.

Nous avons également développé très tôt des intégrations avec les différents outils de la suite Microsoft, car l’objectif a toujours été de nous adapter aux habitudes de travail quotidiennes de l’entreprise, plutôt que de demander aux équipes d’abandonner leurs outils familiers. Depuis, c’est l’ampleur des exigences liées à cette même idée qui a changé. Auparavant, réduire les obstacles à l’entrée pour obtenir un ensemble de données exploitable était une question de commodité. Aujourd’hui, c’est ce qui distingue une IA capable d’agir concrètement sur le travail juridique d’une IA qui ne fait que vous renvoyer la même fragmentation.

Vous avez avancé que l’« IA fantôme » relève souvent d’un problème de flux de travail plutôt que d’un problème lié aux employés. Qu’est-ce que cela signifie concrètement, et que peuvent apprendre les organisations lorsque les employés contournent les outils ou systèmes d’IA approuvés au profit de leurs propres solutions ?

Si vous ne mettez pas les bons outils à la disposition de vos équipes en interne, elles iront chercher ailleurs ceux qui leur permettront de gagner en efficacité. C’est là le fond du problème. Lorsqu’une personne contourne un système approuvé, le réflexe est d’y voir un manquement à la conformité, qu’il faut empêcher ou encadrer par une politique. En pratique, cela révèle généralement un problème dans le flux de travail lui-même : le parcours approuvé était plus lent ou plus contraignant que l’autre option, alors les personnes ont trouvé leur propre moyen de le contourner.

C’est précisément pourquoi l’IA fantôme représente un risque plus important que l’informatique fantôme ne l’a jamais été. Les incidents liés à l’IA fantôme sont désormais à l’origine de 20 % des violations de données, pour un coût moyen de 10,2 millions de dollars, car les personnes ne se contentent pas d’adopter un outil non approuvé : elles lui transmettent directement des informations sensibles, comme des clauses contractuelles, des modalités de transaction et des raisonnements internes.

Ce que les organisations devraient vraiment retenir, c’est qu’il faut repérer où se situe la lacune. L’absence d’une solution de remplacement sécurisée et ancrée dans le contexte n’empêche pas les gens de se tourner vers l’IA ; elle les pousse simplement à le faire dans un espace qui échappe à votre visibilité. Un risque plus profond se profile également, au-delà des enjeux de sécurité. Lorsque le travail est dispersé entre des outils d’IA personnels plutôt que regroupé dans un système commun et structuré, l’entreprise prend des décisions à partir d’une vision incomplète, sans même se rendre compte qu’il lui manque une partie des informations. Si un outil d’IA ne peut accéder qu’à 60 % des données pertinentes parce que le reste se trouve dans le compte personnel d’une personne, sa précision diminue et le risque de prendre une mauvaise décision augmente. Interdire cette solution de contournement ne résout rien. En revanche, proposer aux gens une meilleure solution que celle-ci, oui.

Dans le cadre de votre travail avec des centaines d’équipes juridiques de grandes entreprises chez LawVu, quelles sont les erreurs les plus fréquentes que vous voyez commettre par les organisations lorsqu’elles mettent en place une gouvernance de l’IA, en particulier à mesure que les employés ont accès à des outils d’IA généralistes toujours plus puissants ?

L’erreur la plus fréquente consiste à confondre une politique écrite avec un véritable mécanisme de contrôle. De nombreuses organisations disposent désormais d’un document précisant comment l’IA doit ou ne doit pas être utilisée. Très peu ont mis en place des dispositifs opérationnels pour la faire respecter : des mécanismes qui régissent les données auxquelles un outil peut accéder, consignent ses actions et permettent ensuite d’en reconstituer le déroulement si nécessaire.

La deuxième erreur consiste à ne pas tenir compte de l’augmentation du risque, outil après outil. Chaque solution spécialisée adoptée par une équipe, qu’elle concerne les contrats, les dépenses ou la réception des demandes, nécessite sa propre intégration, conserve son propre protocole d’authentification et détient sa propre copie des données sensibles. Prises individuellement, ces solutions semblent toutes gérables. Ensemble, elles transforment la pile technologique juridique en un ensemble fragmenté de risques, et plus d’un tiers des violations de données remontent précisément à ce type d’accès par des tiers. La plupart des équipes ne mesurent pas l’ampleur du risque cumulé avant d’en faire l’objet d’un examen à la suite d’un incident.

La troisième erreur consiste à traiter les outils d’IA généralistes différemment de tous les autres logiciels qui touchent à des données sensibles. Depuis nos débuts, chaque client avec lequel nous avons travaillé, y compris les clients du secteur public, a fait l’objet d’une évaluation de sécurité complète de notre part, car les informations qui se retrouvent dans un système comme le nôtre comptent parmi les plus sensibles qu’une entreprise détient : secrets commerciaux, données liées aux opérations de M&A, données personnelles (PII). Chaque jour, les employés confient ce même type d’informations à des outils d’IA accessibles au public, sans bénéficier d’un niveau de vérification comparable, car cela ne leur donne pas l’impression d’adopter un nouveau fournisseur, mais simplement d’utiliser un outil. C’est dans cet écart entre ce qui fait l’objet d’un audit et ce qui présente réellement un risque que la plupart des programmes de gouvernance échouent.

LawVu intègre des agents d’IA et des flux de travail agentiques aux opérations juridiques. Comment déterminez-vous quels processus juridiques peuvent être confiés à une IA autonome et lesquels doivent toujours nécessiter un examen ou une approbation humaine ?

Nous nous intéressons davantage aux conséquences et à la réversibilité qu’au degré de complexité apparent d’un processus. Si une erreur est facile à repérer et à corriger, le processus se prête généralement bien à l’autonomie. C’est pourquoi les tâches à fort volume et bien définies, comme la réception et le tri des demandes, s’y prêtent souvent.

Toute tâche qui touche à un engagement externe, à une exposition juridique ou à une décision difficilement réversible nécessite une intervention humaine, quelle que soit la précision de l’agent lors des tests. C’est la même logique qui guide notre approche plus générale de la tolérance au risque chez LawVu. Nous déterminons ce qu’une équipe peut accepter, mettons en place les contrôles appropriés, puis élargissons le champ d’action. Le véritable critère n’est pas la précision : il s’agit de pouvoir dire à quelles informations l’agent a eu accès, pourquoi il a entrepris cette action, s’il y était autorisé et si nous pouvons le prouver après coup. Si nous ne pouvons pas répondre à ces questions, le processus n’est pas encore prêt à fonctionner de façon autonome.

Ces décisions ne se prennent pas une fois pour toutes : un processus dont l’automatisation est sûre aujourd’hui peut ne plus l’être lorsque son utilisation se généralise ou que le flux de travail commence à toucher des informations plus sensibles qu’au départ. Il faut donc réévaluer la limite, et pas simplement la fixer une fois pour toutes.

Le serveur MCP de LawVu permet aux organisations de connecter directement des outils tels que ChatGPT, Claude et Microsoft Copilot à leur environnement de gestion des opérations juridiques. Comment les entreprises peuvent-elles donner aux systèmes d’IA externes un accès utile aux données de l’entreprise tout en préservant les autorisations, la traçabilité, la confidentialité et le contrôle ?

On a tendance à penser que connexion et sécurité sont incompatibles, mais ce n’est pas nécessairement le cas. La plateforme doit rester la source de référence pour les autorisations, et non l’outil d’IA qui vient s’y ajouter. Que quelqu’un commence une conversation dans ChatGPT, Claude ou Copilot, les informations qu’il est autorisé à consulter et les actions qu’il peut effectuer ne devraient pas dépendre de l’interface qu’il a choisi d’ouvrir ce jour-là.

Cela ne fonctionne que si l’environnement auquel on se connecte dispose déjà des contrôles appropriés, ce qui constitue précisément le travail préparatoire que la plupart des entreprises négligent. Tout le monde considère MCP comme une garantie automatique de sécurité parce que moins de données circulent, et c’est vrai, mais seulement si le système destinataire peut préciser quelles informations ont été consultées, pourquoi, par quel agent et au nom de qui, puis le prouver après coup.

Il y a aussi un argument commercial. Si l’outil d’IA central peut reconnaître qu’une demande comporte un volet juridique et l’orienter automatiquement vers LawVu, cela évite les allers-retours et dispense l’employé de devoir savoir d’emblée quel système utiliser. Cela évite aussi qu’il se tourne vers un outil d’IA personnel qui n’a aucun accès à un jeu de données fiable et sécurisé. Offrir aux utilisateurs un point de départ unique et bien encadré favorise davantage l’adoption que de tout verrouiller.

Les modèles d’IA généralistes peuvent être puissants, mais ils ne disposent souvent ni de la mémoire institutionnelle d’une organisation, ni de l’historique de ses décisions, ni d’une connaissance précise de son profil de risque. Quelles informations et quelles infrastructures doivent entourer un modèle d’IA pour qu’il devienne véritablement utile dans le cadre d’activités d’entreprise à forts enjeux ?

Je vois l’IA généraliste comme un inconnu brillant : quelqu’un qui a lu une quantité extraordinaire de choses, écrit avec élégance et peut discuter de presque tout. Mais cette personne n’a jamais rencontré votre client. Elle n’a jamais participé à vos négociations. Elle ne sait pas comment votre organisation arbitre les risques. Elle n’a jamais vu les conversations qui ont conduit aux exceptions approuvées par votre équipe il y a six mois.

C’est pourquoi l’une des premières choses que font de nombreuses équipes juridiques est de relier l’IA à un référentiel — et, pour être clair, c’est extrêmement utile. Donnez à un modèle d’IA accès à vos clauses privilégiées, à vos positions de repli, à vos seuils d’approbation et à vos consignes de négociation, et les gains d’efficacité se font sentir presque immédiatement. Le défi, c’est que les décisions juridiques les plus importantes surviennent souvent lorsque la position habituelle ne convient plus : un client stratégique a besoin d’une exception, une occasion de forte croissance justifie une prise de risque supplémentaire, ou une négociation atteint un stade où les priorités commerciales prennent le pas sur la clause privilégiée.

C’est là que le discernement juridique commence à se manifester. Certaines des connaissances les plus précieuses se trouvent dans les exceptions, et non dans le référentiel. Pourquoi avons-nous accordé une exception à ce client ? Que s’est-il passé lors de la dernière négociation de cette position avec la même contrepartie ? L’entreprise a-t-elle accepté ce risque ailleurs ? Cette question a-t-elle déjà été remontée, et quelle décision a finalement été prise ?

Les réponses ne se trouvent que rarement dans un seul document : elles sont éparpillées dans les contrats, les approbations, les courriels, les dossiers, les comptes rendus de réunion et l’expérience accumulée par les personnes concernées à l’époque. Le document consigne simplement le résultat, tandis que l’organisation conserve le raisonnement ailleurs.

Un inconnu brillant peut apprendre les règles remarquablement vite, mais comprendre pourquoi elles ont été assouplies au départ est un tout autre défi. Ce qui distingue généralement une IA utile d’une IA transformatrice, c’est la quantité de son propre vécu que l’organisation a préservée pour que l’IA puisse s’en inspirer.

De nombreuses entreprises ont accumulé des systèmes de gestion des contrats cloisonnés, des outils de gestion des dossiers, des feuilles de calcul, des archives de courriels et d’autres sources de connaissances internes. Dans quelle mesure est-il important de disposer d’une base de données unifiée avant de déployer des agents d’IA, et que doit faire une organisation pour que ses données soient véritablement prêtes pour l’IA ?

Le domaine juridique illustre parfaitement l’importance de cet enjeu : les contrats sont révisés avec le suivi des modifications dans Word, les approbations arrivent par courriel, les décisions sont prises sur Slack, puis l’IA est ajoutée au-dessus du référentiel documentaire au lieu de relier réellement les processus de travail. Ajouter l’IA à un système fragmenté, c’est simplement accéder plus rapidement au chaos.

Les entreprises qui ont passé des années à bâtir une véritable infrastructure de données et à mettre de l’ordre dans leurs systèmes avant l’arrivée de l’IA sont celles qui en tirent déjà parti. C’est vraiment là l’essentiel. On ne peut pas déployer des agents à grande échelle au-dessus de systèmes de gestion des contrats cloisonnés, d’outils de gestion des dossiers, de feuilles de calcul et d’archives de courriels, puis s’attendre à obtenir des résultats fiables. Il faut d’abord mettre en place les fondations : des systèmes connectés, des contrôles d’accès clairs et une tolérance au risque définie, avant même d’envisager un déploiement de l’IA à grande échelle.

Lorsque les grandes entreprises évaluent s’il vaut mieux créer leurs propres applications d’IA, acheter des plateformes d’IA spécialisées ou connecter des modèles généralistes à leurs systèmes existants, comment les responsables technologiques devraient-ils aborder le choix entre créer, acheter et intégrer ?

Créer ou acheter : cela semble relever d’une décision technologique. D’après mon expérience, c’est plutôt une question de maturité des opérations juridiques. Tout dépend de la mesure dans laquelle une équipe juridique se considère sérieusement comme une fonction à part entière, dotée de ses propres processus de travail, données et modèle opérationnel. Si cette maturité est au rendez-vous, la bonne stratégie d’IA juridique s’impose généralement d’elle-même.

Pour ce qui est de la création en interne : pour les quelques équipes qui ont les ressources nécessaires pour fonctionner comme une entreprise de logiciels, cela peut être judicieux. Les modèles évoluent, l’infrastructure change et le travail ne s’achève jamais vraiment. Pour la plupart des équipes, le défi n’est pas de créer une solution une fois, mais de la maintenir indéfiniment.

Pour ce qui est de l’achat : la plupart des équipes choisissent cette voie, mais l’« achat » ne correspond pas à une seule option. Il recouvre au moins trois réalités différentes que l’on confond souvent. L’IA horizontale, comme ChatGPT, Copilot et Claude, est puissante, mais elle ne comprend pas intrinsèquement la structure des dossiers, la prise en charge des demandes ni les processus d’approbation. Une IA reliée à une solution ponctuelle unique, par l’intermédiaire d’un outil comme MCP, représente une avancée notable, mais sa vision reste limitée à ce qui existe dans ce seul système.

La véritable occasion réside dans une IA qui comprend comment les activités juridiques s’articulent à l’échelle de la fonction, et pas seulement ce qui se passe dans un outil donné. Lorsque la prise en charge des demandes, les dossiers, les contrats, les dépenses et les connaissances sont regroupés, l’IA peut raisonner à partir de l’ensemble de la situation plutôt que d’une seule de ses facettes.

Vous avez occupé les fonctions de directrice de la technologie (CTO) et de directrice des opérations (COO) chez LawVu, avec des responsabilités couvrant la technologie, les opérations, la sécurité et la mise en œuvre des produits. Comment cette combinaison a-t-elle influencé votre approche de l’équilibre entre l’innovation rapide en matière d’IA et la sécurité, la conformité, la fiabilité et les risques pour l’entreprise ?

J’ai rejoint LawVu en tant que directrice de la technologie en 2015 et j’ai pris les fonctions de directrice des opérations en 2020. Cela fait donc plus de dix ans que je travaille à la croisée de la technologie et des opérations.

Cette combinaison change la manière dont on envisage l’innovation en IA par rapport à la sécurité et à la conformité, car on ne les considère pas comme des sujets distincts. Assumer en interne la gouvernance, la gestion des risques et la conformité, tout en développant une plateforme qui aide les clients à gérer ces mêmes fonctions, signifie que je ne peux pas traiter l’innovation et la sécurité comme des étapes successives : l’une ne vient pas après l’autre, elles se déroulent en même temps ou pas du tout. Depuis le premier jour, chacun de nos clients a fait l’objet d’une évaluation complète de sécurité, et chaque fois que l’on ajoute un nouvel outil à son écosystème, on élargit le périmètre des risques liés à ces données. C’est tout aussi vrai pour nous en interne que pour nos clients ; construire la plateforme et répondre de la manière dont elle est régie nous oblige donc à prendre en compte ces deux aspects simultanément.

À l’avenir, comment pensez-vous que l’IA agentique va transformer le rôle des équipes juridiques des entreprises ? Selon vous, les services juridiques vont-ils principalement utiliser l’IA pour gagner en productivité, ou pourraient-ils finir par superviser des flux de travail largement autonomes, déployés à l’échelle de l’entreprise ?

L’IA générative a fait évoluer le débat : il ne s’agit plus seulement d’améliorer progressivement l’efficacité, mais de repenser en profondeur la manière dont le travail juridique est effectué et le modèle opérationnel à adopter, alors que le monde évolue rapidement vers des capacités agentiques. Je considère l’IA agentique non pas comme un effet de mode, mais comme une couche d’exécution capable d’aider les équipes juridiques à passer de la gestion du travail à son exécution active, avec les contrôles et les garde-fous appropriés.

On assiste actuellement, dans les organisations, à une évolution du « point d’entrée » : les utilisateurs métiers commencent de plus en plus par utiliser des outils comme Microsoft Copilot ou Claude, et la question est de savoir comment les services juridiques peuvent veiller à ce que ces interactions soient reliées aux bons systèmes, aux bonnes données et aux bons flux de travail.

Je ne vois donc pas les choses comme une opposition entre un outil de productivité et un rôle de supervision, mais plutôt comme une évolution. Les services juridiques commencent par utiliser l’IA pour accélérer l’exécution de tâches individuelles ; mais à mesure que les capacités agentiques arrivent à maturité, la véritable possibilité consiste pour eux à prendre en charge la couche d’exécution elle-même et à exécuter activement le travail au moyen de systèmes encadrés, plutôt que de simplement produire plus rapidement de premières ébauches.

Merci pour cette excellente interview. Les lecteurs qui souhaitent découvrir les opérations juridiques connectées et les flux de travail d’IA soumis à une gouvernance peuvent consulter LawVu.