IA en Norvège : quand la confiance pousse les salariés à trop partager

En Norvège, on fait confiance à ses collègues, à son employeur et, souvent, aux outils qu'on utilise. Cette culture de confiance est une force : les décisions vont vite, la hiérarchie est plate, chacun est encouragé à prendre des initiatives. Elle a aussi un revers quand l'IA générative arrive au bureau.

Un salarié qui fait confiance à son assistant IA lui confie facilement un contrat, un dossier patient ou une liste de clients. Pas par négligence, mais parce que l'outil semble utile et sans danger. Le défi pour les organisations norvégiennes n'est donc pas d'interdire l'IA, mais d'orienter les comportements.

Le cadre : le RGPD via l'EEE et Datatilsynet

La Norvège n'est pas membre de l'Union européenne, mais elle fait partie de l'Espace économique européen (EEE). Le RGPD y a été intégré par la loi sur les données personnelles, la personopplysningsloven, entrée en vigueur en juillet 2018. Les obligations sont donc les mêmes que dans l'UE : base légale, minimisation, sécurité, analyse d'impact.

L'autorité de contrôle est Datatilsynet. Pour l'IA, la Norvège prépare aussi l'intégration du règlement européen sur l'IA dans son droit national, et l'autorité des communications Nkom a été désignée pour en assurer la surveillance. Le RGPD reste toutefois le texte qui s'applique dès qu'un prompt contient des données personnelles.

Le bac à sable IA de Datatilsynet

Datatilsynet a lancé en 2020 un bac à sable réglementaire consacré à l'intelligence artificielle. Des organisations publiques et privées y testent leurs projets avec l'autorité, qui publie ensuite des rapports utiles à tous.

Un projet a beaucoup intéressé les DSI : l'université NTNU, à Trondheim, a testé Microsoft 365 Copilot au printemps 2024 avec l'appui de ce bac à sable. L'objectif était de voir si un grand organisme public pouvait adopter l'outil de façon responsable. NTNU a publié ses constats et des projets d'analyse d'impact, et le bac à sable a publié son propre rapport à l'automne 2024. Pour nous, la leçon est simple : avant d'activer un assistant IA, il faut savoir quelles données il peut voir et ce que les salariés vont lui confier.

Pourquoi les salariés partagent trop avec l'IA

Les fuites vers l'IA ressemblent rarement à des actes malveillants. Elles naissent de réflexes ordinaires :

• La confiance : l'assistant répond poliment, comme un collègue serviable. On oublie qu'il s'agit d'un service externe.

• La pression du temps : coller tout le document va plus vite que d'en retirer les noms.

• L'autonomie : dans une organisation plate, chacun choisit ses outils sans demander la permission.

• L'invisibilité du risque : rien ne se passe au moment de l'envoi, ni alerte ni conséquence visible.

Ces mécanismes existent partout, mais ils pèsent davantage là où la confiance est la norme. Une secrétaire médicale à Bergen ou un conseiller bancaire à Oslo ne pense pas fuite de données quand il demande à une IA de reformuler un courrier.

Pourquoi interdire ne marche pas

Interdire l'IA générative va à l'encontre d'une culture de travail fondée sur l'autonomie et la responsabilité individuelle. Surtout, cela ne supprime pas l'usage : les salariés passent par leur téléphone ou leur compte personnel, hors de toute visibilité. C'est l'IA fantôme, dont nous détaillons le vrai coût.

La formation seule ne suffit pas non plus. Une session annuelle s'oublie vite, comme nous l'expliquons dans pourquoi la formation sécurité IA ne fonctionne pas. Le bon moment pour guider quelqu'un, c'est l'instant où il s'apprête à envoyer.

Guider au bon moment

Une DLP pour l'IA comme ZeusLock suit cette logique. Elle fonctionne sur le poste ou dans le navigateur et agit au moment de l'envoi, avec une réponse graduée :

1. Avertir : un message court explique pourquoi la donnée détectée est sensible et laisse le salarié corriger.

2. Anonymiser : l'anonymisation préservant le format remplace les noms ou les numéros par des valeurs fictives, et le travail continue.

3. Bloquer : réservé aux cas les plus graves, comme des données de santé ou des secrets d'affaires.

Chaque incident est journalisé. Les équipes sécurité voient où se trouvent les vrais risques et ajustent les règles au lieu de deviner. Cette approche respecte la confiance accordée aux salariés : on les traite en adultes, on leur explique, et on n'intervient fermement que lorsque c'est nécessaire. Pour planifier un déploiement progressif, par exemple en commençant par le seul mode avertissement, consultez notre playbook de déploiement en 90 jours.

Par où commencer

Inutile de tout lancer en même temps. Trois étapes suffisent pour démarrer :

• observer d'abord : activer la détection sans bloquer pendant quelques semaines, pour mesurer quelles données partent réellement et vers quels outils ;

• en parler ouvertement : partager les résultats avec les équipes, sans chercher de coupable, et expliquer les règles avec des exemples tirés de leur métier ;

• resserrer ensuite : activer l'anonymisation pour les données courantes et le blocage pour les plus sensibles, en associant le délégué à la protection des données et les représentants du personnel, les tillitsvalgte.

Cette progression colle à la manière norvégienne de travailler : on mesure, on discute, puis on décide ensemble.

En résumé

La Norvège applique le RGPD via l'EEE, sous le contrôle de Datatilsynet, et prépare l'arrivée du règlement européen sur l'IA. Sa culture de confiance favorise l'adoption de l'IA, mais aussi le partage excessif de données. Plutôt que d'interdire, les organisations gagnent à guider les salariés au moment précis où ils envoient leurs données, avec des avertissements clairs, de l'anonymisation et des blocages ciblés.

Vous déployez l'IA générative en Norvège ? Demandez une démo de ZeusLock et voyez comment guider vos équipes sans freiner leur travail.