Le projet pilote a marché. La mise en production, non. Mêmes données, comportement différent. Le service de protection des données a tiré la sonnette d’alarme. L’audit a révélé 6 propriétaires et aucune traçabilité. Personne ne savait si les données provenaient du développement, des tests ou d’un système que quelqu’un avait oublié de désactiver en 2019. Celui dont tout le monde jure qu’il est géré par… euh… quelqu’un.
Ce n'est pas le mannequin qui a lâché. C'était le tissu en dessous : un nid d'oiseau.
Qu'est-ce qui s'améliore quand on consolide les fondations ?
Teams réécrire ce que quelqu’un avait rafistolé l’année dernière. La protection de la vie privée devient un réflexe. La sécurité suit les données, pas le périmètre. Les audits, c’est chiant. Gary, pour une fois, hérite d’outils qui marchent. L’IA cesse d’être une simple « preuve de concept » qui n’a jamais franchi le cap et commence à faire partie intégrante de la façon dont on bosse.
Fais confiance à tes données ou mets le déploiement en pause
Si tes données d'entrée sont bancales, tes résultats en pâtissent. Répertorie les bons ensembles de données. Intègre la traçabilité et les validations dès la conception, pas en après-coup. Publie des produits de données régulés accompagnés de contrats d'utilisation. C'est comme ça que l'IA commence à se comporter comme si elle avait vraiment sa place en production.
Six postes comptables, et comment les clôturer
1. Retouches : le coût des erreurs en amont
Le travail de retouche, c'est le prix à payer pour des données non maîtrisées. Un inventaire bien tenu, des définitions partagées et une traçabilité claire permettent de couper court à ce cercle vicieux. Les cadres arrêtent de faire le rapprochement entre des feuilles de calcul et se mettent à produire des résultats. Chaque heure passée à remonter la piste d'un conflit de données jusqu'à une convention de nommage datant de 2016, c'est une heure pour laquelle on a touché un salaire.
À lire ensuite : On ne peut pas protéger ce qu’on ne trouve pas • Personne n’est promu pour son travail en matière de gouvernance
2. Maîtrise des fuites : la facture que personne n'avait prévue
Ce qui coûte cher dans une faille, ce n’est pas l’intrusion en elle-même. C’est quand personne ne peut dire ce qui a été exposé, pendant combien de temps, ni par qui. C’est là que la cellule de crise se met en place, que le service juridique commence à compter les heures et que l’autorité de régulation te demande un calendrier que tu n’as pas. Des contrôles qui suivent les données, le masquage dans les environnements hors production et des accès qui expirent réellement permettent de limiter l’incident et de réduire les coûts. Microsoft recense plus de 600 millions de cyberattaques et d’attaques visant l’identité chaque jour (Rapport Microsoft Digital Defense 2024). Ce n’est pas un chiffre hypothétique.
À lire ensuite : Ta politique dit une chose, ton environnement en dit une autre • Les données se fichent de ton pare-feu
3. Retards dans les validations : la perte de masse salariale
Le retard le plus coûteux, c'est celui qu'on peut éviter. Si la traçabilité, la classification et les validations font partie intégrante du processus de développement, le service de la protection des données ne bloque pas la mise en production et le service juridique n'a pas à passer au crible une pile de PDF en deux jours. Les preuves sont enregistrées au fur et à mesure que le travail avance, et non pas rassemblées après coup par des gens qui ont un salaire et d'autres priorités.
À lire ensuite : Personne n'est promu pour son travail de gouvernance • Le modèle fonctionne bien, ce sont tes données qui posent problème
4. La prolifération des infrastructures : payer trois fois pour les mêmes données
Le cloud, c'est pas l'ennemi. C'est la prolifération incontrôlée qui l'est. Les pipelines se multiplient dans l'ombre. Trois outils permettent d’appliquer le même contrôle. Les données transitent d’un cloud à l’autre sans classification ni observabilité cohérentes. Centralise la découverte, la classification et les politiques. Élimine les « zombies ». Le TEI de Forrester sur Microsoft Sentinel fait état d’un retour sur investissement de 234 % sur trois ans et d’une intégration des nouvelles sources de données 93 % plus rapide (Forrester, mars 2024). C’est ce qu’apporte la visibilité quand tu en disposes réellement.
À lire ensuite : Tu ne peux pas protéger ce que tu ne trouves pas • Les données se fichent de ton pare-feu
5. La panique liée à la conformité : l'audit que tu ne peux pas te permettre
Un audit, ça ne devrait pas être synonyme de stress et de prières. Si les validations, la traçabilité et les règles d'utilisation sont en place par défaut, l'audit devient juste un rendez-vous à noter dans l'agenda. Pas de situations d'urgence, pas de sprints qui déraillent, moins de café. Selon l'ITIC, plus de 90 % des entreprises estiment que chaque heure d'indisponibilité leur coûte plus de 300 000 dollars, et 41 % d'entre elles parlent même de plus d'un million de dollars par heure (ITIC, 2024). Mieux vaut la prévisibilité que la panique.
À lire ensuite : Personne n'est promu pour son travail en matière de gouvernance • Ta politique dit une chose, ton environnement en dit une autre
6. Le déficit de confiance : quand les budgets s'évaporent en silence
Le rapport « Readiness Report » de Kyndryl montre que 90 % des dirigeants affirment que leur infrastructure informatique est la meilleure de sa catégorie. 39 % pensent qu’elle est prête à faire face aux risques futurs (Kyndryl, octobre 2024). C’est dans cet écart de 51 points entre « on peut » et « on a fait » que les budgets partent en fumée. Toutes les entreprises qui ont dû relancer une initiative parce que quelqu’un avait négligé la gouvernance ont dû payer deux fois pour les bases. La deuxième fois, ça leur a coûté plus cher.
À lire ensuite : Le modèle fonctionne bien, ce sont tes données qui posent problème
Ce qu'on ne cesse de réapprendre
Les catalogues, c'est ce qui permet aux systèmes de s'accorder sur la vérité. La confidentialité intégrée au code dure plus longtemps que celle des classeurs. La gouvernance sur papier ne fonctionne pas en production. Une sécurité qui suit les données permet de limiter les incidents. Les équipes compétentes sont plus efficaces quand la plomberie ne fuit plus sous leurs pieds.
Le petit test rapide
L'environnement de développement est-il masqué par défaut ? Peux-tu suivre un champ de données critique de bout en bout ? Les validations sont-elles intégrées aux pipelines, et non pas aux réunions ? Les journaux d'accès correspondent-ils à la réalité ? Est-ce que quelqu'un peut expliquer ce qui a planté sans avoir recours à une « war room » ? Si tu réponds « oui » à la plupart de ces questions, continue à construire. Sinon, consolide d'abord les fondations avant d'y ajouter une nouvelle tour.
C'est là qu'on intervient
On intervient quand les choses prennent une tournure politique, quand tout est rafistolé à la va-vite ou quand les budgets fondent en silence. Depuis plus d’un demi-siècle, on démêle les systèmes hérités, les réglementations et la complexité hybride au sein des entreprises et des organismes du secteur public canadiens. De Regina à Rimouski, on s’occupe de ces structures qui comptent 10 systèmes baptisés « final_v3 » et plus d’auditeurs que de DevOps.
Des responsables locaux qui comprennent tes contraintes. Le soutien mondial de Kyndryl quand l'échelle de l'opération l'exige. Des données qui se comportent bien. Des audits réussis. Des projets qui ne tombent pas dans l'oubli en environnement de test.
C'est pas très joli à voir. Mais c'est justement pour ça que ça vaut le coup de s'en occuper. Si ça te dit quelque chose, on devrait en parler. On s'y connaît en bricolage, et on sait réparer la plomberie pour qu'elle tienne le coup quand il pleut.
