Assistant IA connecté : qui décide de ce qu’on lui ouvre ?

Vous dirigez l'entreprise ou êtes responsable de l'outil ? Avant de connecter un assistant IA à la comptabilité, à la boutique ou à la publicité, décidez ce qu'il pourra lire et faire, puis animez un exercice avec votre équipe.

Nous proposons cette répartition : le responsable de l'outil prépare et règle les accès ; le dirigeant valide leur périmètre, notamment s'ils permettent de publier ou de dépenser. Sollicitez aussi l'avis de la personne chargée de la protection des données personnelles avant d'ouvrir des données clients à l'assistant. L'équipe doit apprendre à reconnaître ces permissions, à demander une validation quand elles dépassent son mandat et à retirer l'accès lorsqu'il n'est plus utile.

La décision à prendre avant de cliquer

• Quel travail veut-on réaliser avec cette connexion ?
• Quelles informations seront accessibles et quelles actions seront possibles ?
• Qui autorise l'accès, qui l'utilise et qui saura le couper ?

Une connexion est l'autorisation donnée à un outil d'accéder à un autre service. Elle peut ouvrir davantage que le document auquel on pense : c'est l'écran de permissions et le fonctionnement réel du service qu'il faut examiner, pas seulement le bouton portant son nom.

Pourquoi la question arrive dans les petites entreprises

Dans son annonce du 20 octobre 2026, Google présente une page entreprise de Gemini et des connexions à des services comme Google Ads, Shopify et Xero. L'annonce, relue le 27 octobre, décrit un déploiement mondial dans les jours suivants. Elle ne permet pas de confirmer que chaque connexion est disponible sur chaque compte ni de connaître toutes ses permissions.

Pour une petite structure, l'enjeu pédagogique est immédiat : une personne qui sait rédiger une demande à un assistant ne sait pas nécessairement décider ce qu'elle peut lui ouvrir. Connecter un service change le périmètre des informations disponibles et parfois des actions possibles. Il faut donc apprendre à lire une demande d'accès avant de la valider.

L’aide officielle de Gemini sur les permissions, consultée le 27 octobre, distingue une autorisation ponctuelle d’une préférence conservée pour les tâches futures. Apprendre à reconnaître cette différence évite de donner durablement un accord que l’on pensait limité à un essai.

Cette aide, en anglais, indique où agir : dans Gemini, ouvrez « Customize », puis « Connectors », choisissez l'application connectée et réglez chaque action sous « App actions ». Vous pouvez demander une confirmation à chaque fois (« Always ask ») plutôt qu'une autorisation permanente (« Always allow »). Les actions de lecture, de création ou de suppression peuvent avoir des réglages distincts. L'aide décrit les permissions des tâches Gemini ; elle ne prouve pas que toutes les connexions annoncées le 20 octobre proposent ces mêmes réglages sur votre compte.

La formation Gemini en entreprise traite la formation à Gemini. Ici, la méthode s'applique à toute proposition de connexion : elle porte sur la décision de l'équipe, pas sur le choix du fournisseur ou sa configuration technique.

Les données personnelles des clients font partie de la décision

Une boutique ou un compte de comptabilité peut contenir des noms, des coordonnées et un historique d'achats. Ouvrir ces informations à une IA pose aussi une question de protection des données, même en lecture seule. Pour un résumé des ventes par produit, notre conseil est de commencer par des totaux sans identité client, plutôt que d'ouvrir tout le fichier.

Avec la personne chargée des données personnelles, examinez le besoin, le compte utilisé et les conditions de réutilisation des données par le fournisseur. La CNIL recommande d'encadrer les usages et d'associer les responsables concernés dès le départ pour respecter le règlement général sur la protection des données (RGPD). Un bouton d'autorisation ne suffit pas à établir cette conformité. La section sur les applications connectées de notre article ChatGPT au travail et données confidentielles complète les vérifications à mener.

Séparer lire, modifier et engager une dépense

Lire des informations est déjà une permission importante. Une consultation peut exposer des données que la personne n'aurait jamais copiées volontairement dans une conversation. Modifier un catalogue ajoute un risque différent : un changement peut devenir visible aux clients. Lancer une campagne ou un paiement engage encore une autre responsabilité.

Ces niveaux sont des catégories de travail pour l'atelier, pas la description des fonctions d'un connecteur particulier. Vérifiez ce que l'outil demandé autorise réellement. Un bouton nommé « connexion » ne dit pas si l'accès est limité à la lecture.

Besoin envisagé	Question à poser avant l'accès	Compétence à exercer
Résumer les ventes	Quelles données clients et périodes seront visibles ?	Reconnaître les informations nécessaires et celles à exclure
Préparer une fiche produit	Le brouillon reste-t-il à relire ou peut-il être publié ?	Distinguer préparation et modification visible
Analyser la publicité	L'accès permet-il aussi de changer une campagne ?	Lire les droits demandés et identifier le décideur
Préparer un rapprochement comptable	L'assistant peut-il modifier une écriture ou déclencher une opération ?	Faire confirmer la limite avant toute action

Si le besoin exige seulement un brouillon mais que l'accès inclut une publication, l'équipe doit savoir s'arrêter et demander un périmètre adapté. Dire à l'assistant de « ne rien publier » ne retire pas une permission accordée au service.

Apport Origin : la carte des accès

Apport Origin : proposez un atelier dans lequel l'équipe remplit une carte par connexion envisagée. L'objectif est d'aboutir à une décision compréhensible par le dirigeant, l'utilisateur et la personne chargée des accès. C'est un exercice pédagogique proposé ici, pas une obligation de format ni un résultat client mesuré.

Pour chaque carte, consignez :

1. Le besoin. Une tâche précise et le résultat attendu, par exemple préparer un résumé des ventes à relire.
2. Le périmètre. Les comptes, informations et actions concernés. Notez ce que vous n'avez pas pu vérifier.
3. La décision. La personne habilitée à autoriser l'accès et les éventuelles validations nécessaires avant une action.
4. L'usage. La personne qui utilisera la connexion, les limites qu'elle doit connaître et le moyen de signaler un doute.
5. Le retrait. Qui retire la permission, comment vérifier son retrait et à quelle occasion revoir la décision.

Le dirigeant n'a pas besoin de connaître tous les réglages. Il doit pouvoir comprendre la portée de l'autorisation et nommer les responsables compétents. L'utilisateur doit pouvoir reconnaître une demande nouvelle : une extension de permissions ou un autre compte ne se valide pas automatiquement parce que le premier essai avait été accepté.

Cas pratique : décider avant de connecter

Scénario illustratif : une boutique souhaite que son assistante prépare un résumé des produits les plus demandés. L'écran proposé pour connecter la boutique inclut aussi la modification de fiches. Ce cas est inventé, à remplacer par vos données ; il ne décrit pas les permissions réelles d'un fournisseur.

En tant que responsable, demandez à l'équipe d'expliquer ce qui dépasse le besoin. La bonne suite peut être de demander une connexion limitée, de préparer un jeu de données autorisé pour l'exercice ou de suspendre l'essai tant que le périmètre n'est pas compris. Il ne s'agit pas de trouver une façon de passer outre l'écran.

Faites ensuite jouer le retrait de l'accès sur un compte de démonstration autorisé. Fermer une conversation n'est pas une preuve de retrait. Chaque participant doit retrouver l'endroit où les permissions sont gérées et vérifier ce qui reste actif. S'il ne peut pas le faire lui-même, il doit savoir à qui transmettre la demande.

Enfin, introduisez une demande d'accès plus large pendant l'exercice. L'équipe doit la reconnaître comme une nouvelle décision. Cette mise en situation teste une compétence utile au quotidien, sans demander de mémoriser les menus d'un produit qui peuvent changer.

Ce que chacun doit savoir

La personne qui utilise l'assistant doit comprendre les données exposées, les actions permises et le moment où solliciter une validation. La personne responsable du métier doit savoir quelles erreurs auraient une conséquence pour les clients ou l'entreprise. Celle qui administre les accès doit vérifier le périmètre effectif et le retrait. Dans une petite structure, une même personne peut tenir plusieurs rôles ; les questions restent distinctes.

La charte IA de l'entreprise peut formaliser la règle commune. La carte apporte le détail d'une connexion particulière. Une charte générale ne prouve pas que les permissions d'un service ont été examinées.

Pour préparer l'apprentissage, le programme IA responsable et conformité peut aider à cadrer les besoins. Choisissez les exercices selon les comptes et responsabilités réellement concernés, plutôt qu'une démonstration identique pour tous.

Quand revoir une carte

Réexaminez l'accès lorsque le besoin change, qu'une personne quitte sa fonction, qu'un service demande de nouveaux droits ou qu'un incident révèle un périmètre mal compris. Fixez aussi une date de revue adaptée à l'usage que vous pourrez tenir.

Un accès devenu inutile doit être traité comme une action à réaliser, avec une personne chargée de vérifier son retrait. La carte est utile si elle aide l'équipe à prendre et à suivre cette décision. Remplie une fois puis oubliée, elle ne protège pas le parcours réel.

Questions pratiques

Une connexion en lecture seule est-elle sans risque ?

Non. Elle peut donner accès à des informations sensibles ou inutiles au besoin. Il faut vérifier les données accessibles, les conditions applicables et la personne habilitée à autoriser cet accès.

Fermer une conversation retire-t-il les accès ?

Ce n’est pas une preuve de retrait. Vérifiez les permissions dans les services concernés ou demandez à leur administrateur de confirmer le retrait.

Sources

• Google, New Gemini tools for small business owners, annonce du 20 octobre 2026, relue le 27 octobre 2026. Elle établit l'annonce des connexions, pas leurs permissions détaillées ni leur disponibilité sur un compte particulier.

• Aide Gemini, permissions des tâches, page en anglais consultée le 27 octobre 2026. Elle décrit les réglages par action, pas la disponibilité de chaque connexion annoncée.

• CNIL, déployer une IA générative, 18 juillet 2024, consultée le 27 octobre 2026.

La carte, les rôles et l'exercice constituent une méthode pédagogique proposée par Origin Education. Ils doivent être adaptés aux outils, aux données et aux règles de l'entreprise.