La cyber série de l'été – volet 7 : voyage d'un RSSI au pays de Claude

Je profite donc de cette période – relativement – calme pour écluser quelques dossiers de fond (vous savez, ceux où il faut être au calme, sans que le téléphone sonne toutes les 2 minutes et les mails déboulent toutes les 30 secondes). Et je m'étais promis de pousser un peu les tests avec une IA, ce que j'ai fait. Et le résultat ne cesse de me surprendre.

On trouve pas mal de tutos sur YouTube sur la meilleure façon d'utiliser Claude, à commencer par la souscription d'un abonnement payant (sinon on arrive vite au bout des tokens de l'offre gratuite). Tout l'exercice consiste à en dire suffisamment à l'interface sur qui vous êtes et ce que vous faites (RSSI et DPO de CHU dans mon cas) sans lui livrer d'informations sensibles (ma fonction est publique, aucun problème). Également, ne télédéverser dans l'interface que les documents pour lesquels il n'y a pas d'enjeux de confidentialité : une charte utilisateur interne ne pose aucun souci, je ne m'amuserais pas à y mettre des schémas réseau internes ou une cartographie des interfaces.

Go : il y a 3 façons de travailler avec l'interface :

- le chat classique : on est en mode question / réponse et on peut joindre des documents pour lui demander d'analyser, de travailler dessus ;

- le mode Cowork : là on donne un accès à un certain nombre de ressources (répertoires entiers, messagerie, navigateur) et l'IA va taper dedans, en mode quasi autonome (Cowork = collègue mais à entendre plutôt « subordonné ») pour produire le résultat demandé dans le prompt ; c'est assez bluffant ;

- le mode Projet, qui conserve un environnement, un fil de discussion, de contraintes, un suivi dans le temps, une production versionnée, un environnement de travail, etc.

Enfin, le choix du modèle (Sonnet pour les tâches « simples », Opus pour les complexes) influe énormément sur la consommation de tokens, mais aussi sur les résultats. J'ai passé à la moulinette de Sonnet 5 un document interne sur le RGPD : il a relevé des erreurs factuelles et de nombreux points d'amélioration. Une fois ses suggestions vérifiées et implémentées, j'ai repassé le document corrigé à Opus et j'avais l'impression de me trouver en Champions League.

Ce qui est impressionnant, après 3 semaines d'utilisation intensive, c'est le niveau d'analyse produit par l'IA. Le document RGPD en question était le support interne utilisé pour sensibiliser les agents qui touchent, de près ou de loin, à la mise en œuvre de traitements de DCP. Le niveau produit par Claude est proprement stupéfiant : j'ai relu en long, en large et en travers ce qu'il a sorti de ses entrailles, et s'il a fait des erreurs, je ne les ai pas trouvées (ce qui n'est certes pas tout à fait pareil que « il n'y en a pas »). Je veux bien que l'IA fasse des erreurs (argument que l'on me sert en général) mais dans l'exemple j'en avais fait plus dans le document d'origine (qui était pourtant le résultat de plusieurs mises à jour / relectures / ajouts au fil du temps). Mais surtout il y a des propositions non seulement sur la forme mais sur le fond, sur l’enchaînement des idées, la façon de les agencer, etc.

J'ai également testé le mode « discussion » sur l'interprétation de certaines mesures de l'annexe A de la 27001, le mode conseil sur ce que l'on devrait trouver dans l'analyse des risques et opportunités de mon SMSI (2h de travail en mode ping pong, résultat époustouflant), la rédaction de note de synthèse sur les réglementations qui nous arrivent en pleine face (CRA, IA Act, NIS 2, etc.) avec une contrainte en nombre de signes et Executive Summary au début, la mise à jour de ma procédure d'homologation interne, et j'en passe.

Dit autrement et pour 21,60 EUR par mois, j'ai à ma disposition un super assistant qui en sait autant que moi sur pas mal de sujets, rédige très bien, dépiste mes erreurs, recommence 15 fois le boulot si cela ne me plaît pas, est capable d'aller chercher de la jurisprudence même si je ne le lui ai pas demandé. Ok il fait encore des erreurs, mais un adjoint ou un consultant externe n'en fait jamais, peut-être ?

Je tire de cette expérience plusieurs enseignements :

- un subordonné est en mode délégation : il fait ce qu'on lui dit mais ne décide pas quoi faire ; c'est la limite de l'IA à ce jour et je ne vois pas très bien ce qui changerait ; mais en même temps, on est tous le subordonné de quelqu'un, à recevoir du travail parce que le chef a une vision stratégique que l'on n'a pas ; en gros on est tous en train de disposer d’un super assistant à nos côtés, encore faut-il savoir bien s’en servir : l'interaction avec Claude exige de savoir de quoi on parle, à la fois pour savoir quoi lui demander et être capable de contrôler le résultat produit ;

- comme à chaque révolution technologique, j'ai l'impression de manipuler des briques de plus en plus grosses, et de laisser à la machine des pans entiers d'un travail que je faisais encore moi-même il y a un an ;

Les conséquences sont évidentes :

- le métier de conseil « entrée de gamme » est mort : les cabinets à fort turn over de juniors encravatés vont avoir du mal à justifier des TJM à 2 000 EUR alors qu’une IA fait au moins aussi bien et pour beaucoup moins cher ;

- j’ai l’impression de revivre cette période de ma vie professionnelle pendant laquelle je suis passé d’ingénieur exécutant à manager ; c’est un gros changement de paradigme, accepter cette forme de deuil de ne plus faire soi-même, déléguer de passer en mode contrôle et « facilitateur » ; c’est exactement le même trip, et d’expérience certains s’y font et d’autres pas, on va donc avoir des personnes, pourtant très compétentes, qui vont rester sur le carreau ; comme à chaque fois - encore un sujet RH ;

- c'est peut-être le retour à l’époque de grand-papa, celle où il fallait d’abord avoir coupé du bois soi-même avant de prétendre commander ou conseiller une armée de bûcherons ; dit autrement comme on le dit à l’armée, pour être maître chien il faut être plus intelligent que le chien. Reste que la génération en poste depuis 15 à 20 ans partira en retraite dans la prochaine décennie, et que personne n'a de réponse sérieuse sur qui la remplacera, ni surtout sur qui l'aura formée ;

- la relation au travail entre des experts capés et expérimentés et l'IA va devoir être complètement repensée ; ce n'est ni mieux ni moins bien, c'est juste différent ; comme à chaque fois ;

- certaines tâches ultra chronophages et sans valeur ajoutée vont disparaître, et c'est tant mieux ; que l'on songe aux millions d'heures cramées chaque année à fignoler des PowerPoint débiles. Le revers étant bien entendu que les employés, quel que soit leur niveau hiérarchique, seront attendus non pas sur le truc qui clignote dans le 8ème slide, mais vraiment de la valeur ajoutée high level ;

Quant à la prochaine faille façon DGFIP, elle ne viendra pas d'un manque d'IA mais du même liant organisationnel qui nous fait défaut depuis vingt ans, et ça, aucun assistant ne le corrigera à ma place.