Les quatre-vingt-dix premiers jours de la gouvernance de l'IA : inventaire, remédiation, continuité

À ce stade, la question est rarement de savoir si la gouvernance de l'IA compte. C'est de savoir si elle devient un projet de plus pour une équipe qui n'a pas les ressources.

Ce document est donc un plan plutôt qu'un plaidoyer. Chaque phase dit ce que vous obtenez plutôt que ce qui se passe, et qui il vous faut de votre côté pour l'obtenir. Rien ici ne suppose un gel des changements, une migration ou une reconstruction de votre tenant.

L'ordre compte plus que les dates. L'inventaire vient en premier parce que chaque contrôle qui suit ne s'applique qu'à ce que vous voyez. La remédiation vient ensuite parce que corriger ce que vous avez trouvé est ce qui rend l'inventaire digne d'être conservé. La gouvernance continue vient en dernier parce qu'il y a alors quelque chose qui mérite d'être protégé de la dérive.

Les quatre-vingt-dix jours sont une forme, pas un engagement. La durée de chaque phase dépend de la taille de votre tenant et de la part de gouvernance que vous introduisez : les dates sont donc convenues avec Customer Success plutôt que figées ici. Si vous avez déjà mené un Proof of Value dans votre propre tenant, une grande partie de la première phase est derrière vous et le plan démarre plus loin.

Ce que vous avez à la fin

• Des propriétaires désignés. Un propriétaire nommé et actif pour chaque agent et chaque espace de travail qui n'en avait pas, ou la décision de le retirer.
• Les partages les plus risqués fermés. Liens anonymes et liens à l'échelle de l'organisation sur du contenu sensible révoqués, avec une expiration appliquée à ce qui reste.
• Les premières politiques appliquées. En général de trois à cinq, tirées du catalogue fourni. Pour les agents, ce sont le plus souvent Orphaned Copilot Agent Ownership Gap, Unauthenticated Public Agent Security Risk, Confidential Site Referenced in Copilot Agent et Unused Agent Cleanup Candidate à 90 jours. Pour le périmètre, le partage externe de contenus étiquetés et les licences non attribuées.
• Des licences récupérées. Des postes récupérés sur des utilisateurs désactivés et des licences non attribuées, avec l'économie indiquée par rapport à l'état de référence.
• Un historique de remédiation. Ce qui a été modifié, quand, par qui et avec quelle approbation. C'est la première preuve d'audit que produit le programme.

Ce qui change pour les utilisateurs

Certains remarquent cette phase, et mieux vaut le dire. Les propriétaires d'espaces de travail inactifs reçoivent une notification avant tout archivage. Les personnes qui détiennent des liens vers un contenu sur le point d'être restreint sont prévenues avant que le lien ne cesse de fonctionner. Les nouveaux sites suivent une convention de nommage. Rien n'est supprimé pendant cette phase.

Les personnes qu'il vous faut

L'objection à ce stade est rarement le prix. Ce sont les personnes. Voici ce que le plan demande de votre côté, et ce que ces personnes font réellement, pour que votre équipe puisse en juger au regard de ce qu'elle a déjà à faire.

• Jours 1 à 30, inventaire : un administrateur Microsoft 365. Il connecte le tenant, puis passe en revue avec nous le premier lot de constats. La connexion elle-même utilise un compte utilisateur ordinaire. Le consentement à l'analyse est accordé service par service par un administrateur, une étape courte et distincte qui peut être déléguée au propriétaire de chaque service.
• Jours 31 à 60, remédiation : le même administrateur, plus celui qui valide les politiques. Il décide ce qui est corrigé en premier et ce que les politiques appliquent. Le travail de votre côté consiste surtout en décisions plutôt qu'en configuration.
• Jours 61 à 90, continuité : l'administrateur et le responsable de la revue nommé. La conformité si le reporting réglementaire est concerné. Ils conviennent de ce qui tourne selon un calendrier, de ce qui remonte à une personne et des preuves qui doivent pouvoir être produites à la demande.
• Après le jour 90 : le responsable de la revue. Il pilote la revue récurrente. Les propriétaires d'espaces de travail confirment ou retirent les accès sur leur périmètre, ce qui leur prend des minutes à chacun.

Transformez le plan en plan conjoint en quatre étapes

Les phases ci-dessus sont structurées pour pouvoir être reprises dans un plan conjoint sans réécriture. Si cela vous est utile, quatre choses transforment ce document en plan conjoint.

1. Mettez de vraies dates en face des trois phases. Partez de la date prévue pour la connexion plutôt que de la signature.
2. Nommez les personnes. Un administrateur, un validateur des politiques, un responsable de la revue de votre côté. Le responsable de la revue nommé est le rôle le plus souvent laissé vide et le plus souvent regretté ensuite.
3. Convenez de ce qui vaut « terminé » pour chaque phase. Les tableaux de livrables sont rédigés pour servir tels quels de critères d'acceptation.
4. Convenez de la date de l'état de référence. Tout ce qui suit le jour 30 est mesuré par rapport aux chiffres que restitue la première analyse : cet état de référence mérite donc d'être consigné formellement.