01 Le Shadow AI est un problème d’exploitation, pas une tendance

Un commercial colle un extrait de CRM dans un chatbot. Une RH passe des CV dans un outil gratuit. Un dirigeant fait analyser un tableau de marges. Chacun agit de bonne foi, avec un compte personnel, hors de tout périmètre géré — et hors de toute logique d’IA gouvernée MSP.

$ trace --scope "poste géré" --usage ia
[commercial]   extrait CRM        →  chatbot grand public   ✗ hors périmètre
[RH]           CV candidats       →  outil gratuit          ✗ hors périmètre
[direction]    tableau de marges  →  compte personnel       ✗ hors périmètre
⚠  classification : données sensibles et actifs informationnels
    listes clients · grilles tarifaires · contrats · plans de rémunération
⚠  cadre contractuel maîtrisé par l'entreprise : absent
⚠  exposition contractuelle et devoir de conseil : à évaluer

Ce qui sort n’est pas un fichier isolé : ce sont des données sensibles et des actifs informationnels. Listes clients, grilles tarifaires, contrats, plans de rémunération. Le service grand public a bien des CGU, mais aucune que votre client ait négociée : la donnée est traitée hors du cadre contractuel et documentaire validé par l’entreprise, sans DPA maîtrisé.

Selon votre périmètre contractuel et votre connaissance des usages, cette situation expose d’abord votre client — et soulève, pour vous, la question du devoir de conseil et des mesures de gouvernance que vous auriez pu proposer. L’usage le plus sensible de l’année se déroule hors du périmètre que vous supervisez.

02 Votre stack sait dire non, il ne sait pas dire « oui, ici »

On croit qu’il manque au stack MSP une couche de contrôle de l’IA. En réalité, il lui manque une destination.

Chacune de vos briques protège un périmètre : l’endpoint, le tenant, le réseau, la boîte mail. C’est la logique du métier depuis vingt ans. Or l’IA générative est le premier usage professionnel massif sans périmètre : elle vit dans un onglet, sur un compte personnel, parfois sur un téléphone que vous ne gérez pas.

Les verbes disponibles dans votre stack sont donc surveiller, auditer et bloquer. Trois verbes défensifs — l’IA gouvernée MSP en ajoute un quatrième, proposer. Car une interdiction sans alternative supprime rarement un usage : le plus souvent, elle le déplace. Le commercial qui ne peut plus ouvrir un chatbot sur son poste géré l’ouvre sur son mobile, sans aucune trace. Vous avez gagné une ligne dans un rapport et perdu de la visibilité réelle.

03 Ce que l’AI Act change depuis le 2 août 2026

Le Digital Omnibus, règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, a repoussé une partie des obligations de l’AI Act : les systèmes à haut risque de l’annexe III passent du 2 août 2026 au 2 décembre 2027, ceux de l’annexe I au 2 août 2028. Beaucoup de MSP en ont conclu que le sujet était reporté en bloc. C’est une lecture partielle : les obligations de transparence de l’article 50 n’ont pas bougé et sont applicables depuis le 2 août 2026.

L’article 50 ne crée pas les mêmes obligations pour tous

C’est la distinction que vos clients ne feront pas seuls, et c’est donc elle qui se facture. Les fournisseurs doivent notamment informer les personnes lorsqu’elles interagissent directement avec certains systèmes d’IA, et rendre détectables les contenus générés ou manipulés. Les déployeurs — vos clients — sont, eux, directement concernés dans des cas précis : reconnaissance des émotions, catégorisation biométrique, deepfakes et certains textes d’intérêt public.

Une PME qui utilise un assistant en interne n’est donc pas automatiquement en défaut. C’est ce tri, client par client, qui constitue le premier livrable vendable d’une offre d’IA gouvernée MSP.

Seule dérogation notable : les systèmes générant du contenu synthétique déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour appliquer le marquage lisible par machine. Ne la vendez pas comme un sursis : elle vise les fournisseurs, pas les PME qui les déploient.

Le régime de sanctions, applicable depuis août 2025, est étagé : 35 M€ ou 7 % du chiffre d’affaires pour les pratiques interdites de l’article 5, un palier inférieur de 15 M€ ou 3 % pour un manquement à la transparence. Pour les PME et start-up, c’est le plus faible des deux plafonds qui s’applique, là où la règle générale retient le plus élevé — régime étendu par l’Omnibus aux petites entreprises à moyenne capitalisation (article 99).

Enfin, l’Omnibus a réécrit la littératie IA de l’article 4 : non plus garantir un niveau suffisant, mais prendre des mesures pour soutenir son développement. Une obligation de moyens, qui se documente. Donc une prestation de sensibilisation facturable.

Repère de cadrage commercial, pas analyse juridique : la qualification (fournisseur ou déployeur) s’apprécie système par système. Faites valider le volet réglementaire de votre offre par un conseil avant de l’engager chez un client.

04 Quatre approches d’IA gouvernée MSP, et ce que chacune couvre réellement

Les trois premières restent nécessaires et se combinent entre elles. Aucune ne suffit seule dès que les usages sortent d’un périmètre unique, parce qu’aucune ne donne à l’utilisateur un endroit où aller.

Quelle approche d’IA gouvernée MSP proposer, et à qui

Aucune de ces quatre approches n’est la bonne réponse dans l’absolu. C’est la maturité du client, la sensibilité de ses données et le nombre de modèles utilisés qui tranchent.

Ces lignes se superposent souvent : charte et filtrage DNS restent utiles même chez un client équipé d’une plateforme. Le tableau indique la brique dominante, pas la seule à déployer.

05 Ce qu’une plateforme d’IA gouvernée MSP apporte à votre exploitation

Goodweek, éditeur d’origine française conçu pour le channel, est désormais référencée au catalogue Watsoft. Lue du point de vue d’une offre d’IA gouvernée MSP, voici ce que l’éditeur annonce :

Six besoins d’exploitation à couvrir

Traduit en besoins concrets, voici ce qu’une plateforme d’IA gouvernée MSP doit couvrir côté partenaire :

Côté conformité d’une offre d’IA gouvernée MSP, l’éditeur revendique SOC 2 Type I, RGPD, hébergement UE au choix — AWS Paris et Scalingo, des régions américaines restant disponibles — et l’absence d’utilisation des données pour l’entraînement. Deux précisions à porter vous-même : les modèles appelés restent majoritairement américains, hors Mistral (français) et DeepSeek (juridiction chinoise, affiché en statut restreint, à arbitrer selon la sensibilité des données) ; et hébergement européen ne vaut pas souveraineté au sens SecNumCloud.

06 Construire et facturer l’offre d’IA gouvernée MSP : le modèle économique

L’éditeur avance que seuls 5 % des MSP proposent un service d’IA structuré à leurs clients (Goodweek, 16/06/2026 — estimation non sourcée). Rapproché des 64 % mesurés par WatchGuard, l’ordre de grandeur reste parlant : la demande est là, l’offre structurée beaucoup moins.

Trois composantes pour facturer l’IA gouvernée MSP

Structurez la prestation en trois lignes distinctes : c’est ce qui la rend défendable face à un client qui compare avec un abonnement grand public.

Les deux premières se vendent une fois, la troisième chaque mois. Avant de signer votre premier contrat d’IA gouvernée MSP, tranchez ces points avec l’éditeur :

07 L’IA gouvernée MSP est une couche d’usage, pas un moteur de sécurité

Une plateforme d’IA gouvernée MSP journalise qui demande quoi à quel modèle. Elle ne durcit pas un tenant, ne filtre pas un DNS, n’audite pas un Active Directory et ne sauvegarde pas ce que l’IA écrit dans SharePoint ou dans votre ticketing.

C’est là qu’est votre valeur face à un concurrent qui revendrait la plateforme seule : l’audit des accès, le filtrage, la sécurisation Microsoft 365 et la sauvegarde sont déjà dans votre stack. C’est de les tenir ensemble, sous un seul contrat et un seul interlocuteur, que naît une offre que le client aurait du mal à assembler seul. On surveille, on protège, on sauvegarde, et surtout on propose.

$ stack --map "usage IA"
audit des accès        →  déjà dans votre stack   ✓
filtrage DNS           →  déjà dans votre stack   ✓
sécurité M365          →  déjà dans votre stack   ✓
sauvegarde             →  déjà dans votre stack   ✓
destination autorisée  →  manquante              ✗
➜ un seul contrat, un seul interlocuteur = une offre cohérente de bout en bout

08 Conclusion

Vos clients n’attendent pas votre feu vert pour utiliser l’IA : ils l’utilisent déjà, ailleurs. Le rôle du MSP en 2026 n’est plus de contenir cet usage mais de l’encadrer et de l’administrer, avec un cadre écrit, une traçabilité et un accompagnement. C’est ce qui transforme un sujet anxiogène en revenu récurrent : c’est tout l’objet d’une offre d’IA gouvernée MSP, dosée selon la maturité de chaque client.

09 FAQ

À noter : cet article fournit des informations générales sur l’AI Act et les solutions présentées. Les obligations applicables dépendent du rôle de chaque entreprise, des usages concernés et du système déployé. Les caractéristiques des solutions doivent être confirmées contractuellement avant tout engagement.