Imaginons une personne qui doit résumer un document avant sa prochaine rencontre. L’assistant approuvé demande une nouvelle connexion, une catégorie de risque et plusieurs écrans. Un outil public est déjà ouvert. Le copier-coller va probablement gagner, non par malveillance, mais parce que notre chemin officiel est mal dessiné.

La réponse ne peut pas être seulement une politique. Je veux un point d’entrée d’entreprise avec authentification unique, classification simple et contrôles côté serveur. L’utilisateur choisit la tâche; le service connaît son identité, applique les règles et route vers l’offre approuvée.

document -> interface approuvée -> identité + classification
                              -> politique de données
                              -> fournisseur autorisé
                              -> réponse + journal minimal

Le navigateur ne devrait pas recevoir une clé de fournisseur. La passerelle garde les secrets, limite le volume, bloque les destinations non approuvées et associe chaque appel à un responsable. Une règle peut refuser un numéro d’assurance sociale, masquer certains identifiants ou demander une justification pour une catégorie sensible.

Transformer la classification en trois gestes

Je commencerais avec des exemples, pas quinze étiquettes abstraites :

Catégorie	Exemple	Traitement
Public	communiqué déjà publié	outil approuvé standard
Interne	procédure de travail	compte d’entreprise, pas d’entraînement contractuel
Restreint	paie, santé, secret commercial	flux spécifique ou aucun envoi externe

Le système peut suggérer la catégorie selon l’emplacement et les marqueurs du document, mais la personne confirme. Une détection de contenu sensible est une barrière supplémentaire, pas une garantie. Les faux positifs doivent offrir un chemin de révision; les faux négatifs doivent apparaître dans des tests et des audits d’échantillons.

L’évaluation du fournisseur couvre la résidence, la rétention, l’usage pour l’entraînement, les sous-traitants, les accès administratifs, le chiffrement, les logs et l’export. Deux fenêtres de chat presque identiques peuvent avoir des conditions complètement différentes selon le type de compte. L’interface doit afficher le contexte d’entreprise pour éviter la confusion.

Je testerais le workflow avec vingt tâches pressées :

1. ouvrir depuis Word ou le gestionnaire de documents;
2. confirmer la classification déjà suggérée;
3. soumettre sans recopier le fichier dans un autre onglet;
4. recevoir une réponse avec la source et les limites;
5. signaler une sortie ou un blocage incorrect;
6. terminer en moins de gestes que l’alternative publique.

Les journaux gardent qui, quand, fournisseur, catégorie, volume et résultat de politique. Ils ne recopient pas tout le prompt par défaut. Les alertes cherchent surtout les volumes anormaux, les refus répétés et les clés utilisées hors de la passerelle. Un incident doit permettre de révoquer le fournisseur ou un groupe sans fermer tous les autres outils.

La panne possède un mode dégradé : le document reste dans sa source et la tâche revient au processus manuel. Le service ne garde pas une copie cachée dans une file indéfinie. Une procédure efface les demandes échouées selon la rétention.

Comme directeur TI, je regarde notre design avant d’accuser la personne pressée. Si les utilisateurs contournent toujours le chemin, je mesure les clics, délais et refus, puis je simplifie. La gouvernance se gagne au moment du copier-coller lorsque l’option sûre est aussi l’option la plus évidente.