Gouvernance IA en entreprise : qui a le droit de faire quoi, et comment le prouver

Gouverner l'IA en entreprise, ce n'est pas rédiger une charte éthique : c'est répondre à quatre questions opérationnelles — qui a le droit de faire quoi, quelles données ont le droit d'entrer dans un modèle, comment on prouve après coup qui a produit quoi, et jusqu'où le budget peut monter. Une politique d'usage crédible tient sur ces quatre axes, pas sur des principes. Et depuis le 2 août 2026, elle a aussi une échéance : les obligations de transparence de l'AI Act (article 50) s'appliquent, et la supervision des autorités nationales est en place — même si les obligations « haut risque » ont, elles, été repoussées à décembre 2027 par le Digital Omnibus adopté en juin 2026.

Cet article est écrit pour un lecteur précis : le DSI, le secrétaire général, le directeur financier ou le responsable conformité d'une ETI qui doit produire une politique d'usage applicable — pas une note de veille juridique. Vous y trouverez une matrice de droits par métier, une classification des données, un modèle de trace exploitable et une méthode de plafonnement des coûts. Nous sommes agence Creative Tech, basée à Vélizy-Villacoublay : notre rôle sur ce sujet est celui d'architecte-intégrateur — nous aidons à intégrer l'IA dans vos process, gouvernance comprise. Nous ne vendons pas de licence, et nous ne faisons pas de conseil juridique : pour le droit, le texte fait foi et votre juriste tranche.

En bref

• La gouvernance IA se décide sur 4 axes : droits d'usage par métier · données admissibles · traçabilité · plafonds de coût.
• Le bon objet n'est pas la charte, c'est la matrice : un tableau « métier × niveau d'autonomie × classe de données » que chaque manager peut appliquer sans interpréter.
• Depuis le 2 août 2026, l'article 50 de l'AI Act impose d'informer qu'on interagit avec une IA et de marquer les contenus de synthèse (Règlement (UE) 2024/1689).
• Les obligations « haut risque » (annexe III) sont reportées au 2 décembre 2027, et au 2 août 2028 pour l'IA embarquée dans des produits réglementés (Digital Omnibus, Conseil de l'UE, 29 juin 2026).
• La traçabilité est le vrai livrable : sans espace de travail administré, il est structurellement impossible de prouver qui a produit quoi — les comptes personnels ne laissent aucune trace opposable.
• Le plafond de coût fait partie de la gouvernance, pas de la technique : budget par équipe et par usage, seuils d'alerte, revue valeur/coût.

Qu'est-ce que la gouvernance de l'IA en entreprise ?

La gouvernance de l'IA en entreprise est le dispositif par lequel une organisation décide qui peut utiliser l'IA, pour quoi, avec quelles données, sous quel niveau de contrôle humain, et avec quelles preuves conservées. C'est un cadre de décision et de preuve, pas un manifeste : il produit des règles applicables par un manager le lundi matin, et des traces exploitables par un auditeur six mois plus tard.

Trois documents sont souvent confondus, et cette confusion coûte cher :

Définition utile — Une politique d'usage de l'IA est le document qui attribue, pour chaque métier et chaque type de tâche, un niveau d'autonomie (ce que l'IA peut faire seule) et une classe de données autorisée (ce qu'elle a le droit de lire). Tout le reste — charte, formation, comité — n'est que la mise en œuvre de cette matrice.

L'erreur la plus fréquente : commencer par la charte. Une charte écrite avant l'inventaire des usages réels décrit une entreprise qui n'existe pas. On commence par regarder ce qui se fait déjà — y compris ce qui se fait en dehors du cadre.

Où en est la réglementation européenne en 2026 ?

Le calendrier européen se resserre en cascade : l'AI Act (Règlement (UE) 2024/1689) s'applique par étapes depuis février 2025, l'article 50 sur la transparence est entré en application le 2 août 2026, et les obligations « haut risque » ont été repoussées à décembre 2027 par le Digital Omnibus adopté définitivement le 29 juin 2026. Autrement dit : le gros du fardeau technique a bougé, mais tout ce qui touche à l'usage quotidien, à la transparence et à la compétence des équipes est déjà dû.

Le Digital Omnibus sur l'IA — approuvé par le Parlement européen le 16 juin 2026 puis adopté définitivement par le Conseil de l'UE le 29 juin 2026, dans le paquet de simplification « Omnibus VII » — a également assoupli l'article 4 : l'obligation de littératie IA passe d'une obligation de résultat (« garantir un niveau suffisant ») à une obligation de moyens (« soutenir le développement de la littératie IA » de son personnel). Elle n'est pas supprimée, et sa supervision par les autorités nationales court depuis le 2 août 2026.

Deux points d'attention pour un décideur :

• Le report n'annule rien, il décale. Un système de tri de CV ou de scoring de crédit reste classé haut risque à l'annexe III : la date bouge, la qualification non. Les organisations qui utilisent ce délai pour cartographier leurs usages arriveront prêtes ; les autres découvriront le sujet en 2027.
• Les sanctions sont dimensionnées pour la direction générale. L'AI Act prévoit jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites de l'article 5, et jusqu'à 15 M€ ou 3 % pour la plupart des autres manquements. Ce n'est plus un sujet d'équipe technique.

Notre limite, clairement posée. Nous ne sommes pas un cabinet juridique et cet article n'est pas un conseil juridique : la qualification de vos systèmes et l'analyse de vos obligations relèvent de votre direction juridique et du texte lui-même. Ce que nous apportons, c'est l'opérationnel — traduire ces obligations en règles d'usage, en outillage et en traces, dans vos process.

Qui a le droit de faire quoi ? La matrice des droits par métier

Le cœur d'une gouvernance IA opérationnelle est une matrice à deux entrées : un niveau d'autonomie par type de tâche, et une classe de données autorisée par métier. Sans elle, chaque manager improvise — et l'entreprise n'a aucune règle opposable.

Les quatre niveaux d'autonomie

Un niveau d'autonomie décrit ce que l'IA a le droit de faire seule, et où l'humain reprend la main. C'est la variable la plus utile d'une politique d'usage, parce qu'elle est indépendante de l'outil et qu'elle survit au changement de fournisseur.

La règle d'or : N2 est le défaut, N3 se mérite. Un usage ne passe en N3 qu'après avoir tourné en N2 avec un taux d'erreur mesuré, un périmètre écrit et une journalisation en place. C'est aussi le sens de l'article 26 de l'AI Act, qui impose — pour les systèmes à haut risque — de confier la supervision humaine à des personnes disposant de « la compétence, la formation et l'autorité nécessaires ». Traduction opérationnelle : un valideur qui n'a pas le pouvoir de dire non n'est pas une supervision.

La matrice par métier

Ce qu'on autorise à un juriste, à un commercial et à un développeur n'a aucune raison d'être identique : le risque n'est pas dans l'outil, il est dans la donnée manipulée et dans l'irréversibilité de la sortie. Voici une matrice de départ, à adapter — c'est exactement le livrable que nous co-construisons avec les métiers concernés.

À retenir — Une matrice utile tient sur une page et se lit sans juriste. Si un manager doit interpréter votre politique pour savoir s'il a le droit, elle est déjà inapplicable. Le test : « puis-je répondre oui/non en dix secondes à la question d'un collaborateur ? »

Quelles données ont le droit d'entrer dans un modèle ?

Aucune gouvernance IA ne tient sans une classification des données en amont : la question n'est pas « quel outil est sûr », mais « quelle classe de donnée a le droit d'aller où ». Une classification à quatre niveaux suffit dans la grande majorité des ETI — et elle a l'avantage de se brancher sur celle qui existe déjà, si vous en avez une.

Quatre règles rendent cette classification exécutable :

1. Le compte personnel est C0, point. Un collaborateur connecté sur son compte grand public ne dispose d'aucune garantie contractuelle applicable à l'entreprise, et l'organisation n'a aucun accès aux journaux. C'est la frontière la plus simple à faire respecter, et la plus structurante.
2. Exiger la non-utilisation des données pour l'entraînement, par écrit, dans le contrat — c'est le point à vérifier dans les offres entreprise, pas dans une page marketing.
3. Traiter le fournisseur d'IA comme un sous-traitant. Localisation d'hébergement, durées de conservation, sous-traitants ultérieurs, encadrement des transferts hors UE : ce sont des clauses, pas des options. La CNIL publie des recommandations et des fiches pratiques dédiées à l'IA qui balisent ce travail (voir Sources).
4. Analyse d'impact quand la donnée le justifie. Un usage RH ou un traitement de données sensibles à grande échelle appelle une AIPD/DPIA — à instruire avec votre DPO, en amont du déploiement, pas après.

Le point aveugle — Le risque documenté n'est pas que « l'IA fuite » : c'est que vos collaborateurs utilisent déjà des outils que vous n'avez pas choisis. Le Work Trend Index de Microsoft et LinkedIn (2024) mesurait que 75 % des employés de bureau utilisaient l'IA au travail et que 78 % des utilisateurs apportaient leur propre outil — un « BYOAI » qui expose les données de l'entreprise (voir Sources). Une politique qui ignore ce point ne gouverne rien : elle déplace l'usage dans l'ombre. La réponse n'est pas l'interdiction, c'est offrir un espace administré meilleur que l'outil sauvage.

Le choix du moteur — Claude (Anthropic) en fer de lance chez nous, Mistral quand l'exigence de souveraineté française pèse dans l'arbitrage — est une décision d'architecture, pas une décision de gouvernance. La matrice des droits et la classification des données valent quel que soit le modèle retenu, et c'est précisément ce qui les rend durables.

Comment prouver après coup qui a produit quoi ?

On prouve un usage d'IA en conservant, pour chaque production sensible, une trace qui relie une personne, un système, une finalité, une classe de données et un acte de validation humaine — et cette trace n'existe que si l'usage passe par un espace administré. C'est le « comment le prouver » : sans journal, une politique d'usage est une déclaration d'intention.

Les six champs d'une trace exploitable

Les quatre couches de la preuve

1. Le registre des usages — l'inventaire vivant : pour chaque usage, le métier, la finalité, les données, le niveau d'autonomie, le responsable nommé. C'est le document que l'on ouvre en premier dans un audit, et celui qui manque presque toujours.
2. Les journaux techniques — les logs générés par les systèmes et les intégrations. L'AI Act impose aux déployeurs de systèmes à haut risque de conserver les journaux au moins six mois (article 26(6)) : un repère de durée raisonnable à retenir même hors haut risque, aligné sur vos propres politiques de rétention.
3. Le marquage des contenus — depuis le 2 août 2026, l'article 50 impose d'informer qu'on interagit avec une IA et de marquer les contenus générés ou manipulés (avec un délai de grâce au 2 décembre 2026 sur le marquage des systèmes déjà sur le marché). Concrètement : une convention interne de marquage des livrables produits avec l'IA, et une information visible côté chatbot public.
4. La trace organisationnelle — la décision, pas la machine : le compte rendu du comité qui a autorisé l'usage, la version de la politique en vigueur à cette date, la preuve que les collaborateurs concernés ont été formés. C'est ce qui transforme un incident en « écart maîtrisé » plutôt qu'en « défaut de cadre ».

Le test de gouvernance en une question. Prenez un livrable produit il y a trois mois. Pouvez-vous dire qui l'a produit, avec quel outil, sur quelles données, et qui l'a validé ? Si la réponse suppose d'aller demander à quelqu'un s'il se souvient, vous n'avez pas de traçabilité — vous avez une culture orale. C'est le premier diagnostic que nous posons, et il prend une demi-journée.

Un rappel qui a des conséquences RH : avant de mettre en service un système d'IA à haut risque sur le lieu de travail, l'article 26(7) impose d'informer les travailleurs et leurs représentants. En France, cela s'articule avec les prérogatives du CSE — à instruire avec votre direction des relations sociales. Anticiper cette étape évite qu'un projet techniquement prêt reste bloqué six semaines.

Comment plafonner le coût de l'IA sans brider les usages ?

Le plafond de coût est une décision de gouvernance, pas un réglage technique : il consiste à attribuer un budget par équipe et par cas d'usage, à poser des seuils d'alerte avant la facture, et à réviser régulièrement ce que chaque usage rapporte. C'est la brique que les directions financières réclament, et celle qui manque le plus souvent aux politiques d'usage rédigées par la seule DSI.

La mécanique tient en quatre temps :

1. Rendre visible — savoir qui consomme quoi, par équipe et par cas d'usage, abonnements et intégrations confondus. On ne pilote pas une facture qu'on ne voit pas.
2. Cadrer — un budget par équipe ou par projet, avec des alertes à 70 % du seuil et non à 110 %. L'objectif n'est pas de fliquer, c'est de rendre l'expérimentation sûre.
3. Optimiser — le bon modèle pour la bonne tâche, la mise en cache des contextes répétés, le traitement par lots des volumes non urgents. Les leviers sont documentés et chiffrables.
4. Arbitrer — relier chaque usage à la valeur produite, pour couper ou investir en connaissance de cause.

Le détail chiffré de ces leviers — et pourquoi la facture dérape à l'échelle — fait l'objet d'un article dédié : maîtriser le coût des tokens de l'IA en entreprise. C'est un sujet que nous outillons réellement, parce que nous concevons et opérons nous-mêmes des systèmes IA en production.

L'argument direction — Une dépense IA qu'on sait attribuer et justifier passe les arbitrages budgétaires ; une facture opaque se fait couper au premier resserrement. Le plafond de coût n'est pas un frein à l'adoption : c'est ce qui la rend défendable dans la durée. Un agent mal cadré, lui, consomme la nuit sans que personne ne regarde.

Par où commencer ? Une trajectoire en 6 étapes

On installe une gouvernance IA en partant de l'existant, pas de la page blanche : inventorier les usages réels, classifier les données, poser la matrice des droits, brancher la traçabilité, cadrer le budget, puis former et réviser. Sur un périmètre d'ETI, les quatre premières étapes se mènent en quelques semaines — la difficulté n'est pas la durée, c'est l'ordre.

1. Inventorier les usages réels — y compris ceux qui existent hors cadre. Un entretien par direction suffit à révéler l'essentiel. Sans cet état des lieux, on écrit une politique pour une entreprise imaginaire.
2. Classifier les données — quatre classes (C0 à C3), branchées sur la classification existante si elle existe. C'est le préalable de toutes les règles qui suivent.
3. Poser la matrice des droits — métier × niveau d'autonomie × classe de données, sur une page, co-construite avec les experts métier : ce sont eux qui savent où sont les vrais points durs.
4. Brancher la traçabilité — espace de travail administré, SSO, journaux, registre des usages, convention de marquage des contenus. C'est l'étape qui rend la politique prouvable.
5. Cadrer le budget — attribution par équipe et par usage, seuils d'alerte, revue valeur/coût.
6. Former et réviser — la matrice se périme : nouveaux usages, nouveaux modèles, nouvelles échéances réglementaires. Une revue trimestrielle, avec un comité identifié et un responsable nommé par usage.

Le piège classique — Commencer par l'étape 6 (former) ou par la charte, sans les étapes 1 à 3. On obtient des collaborateurs sensibilisés à des règles qui ne correspondent pas à leur travail réel — et l'usage repart dans l'ombre. On cadre d'abord ce qui existe, on forme ensuite ce qui est cadré.

Pourquoi se faire accompagner sur la gouvernance de vos usages IA ?

Parce que la difficulté n'est pas de connaître le cadre — il est public — mais de le traduire dans vos process, vos outils et vos métiers, sans transformer la gouvernance en couche administrative que personne n'applique. C'est un travail d'architecture et d'intégration, à la croisée du conseil et de la technique.

Notre légitimité est concrète et vérifiable. Nous concevons et opérons des systèmes IA au quotidien — développement applicatif, agents, automatisations, production d'assets 3D, d'images et de vidéos. Nous savons donc où se cachent les problèmes réels : ce qu'un journal capture vraiment, ce qu'un espace administré change à la preuve, ce qu'un agent consomme quand personne ne le regarde. Et nous outillons réellement la maîtrise du coût, la brique la plus souvent absente des politiques d'usage.

Nous avons aussi une activité de transfert de compétences éprouvée auprès d'acteurs publics et privés — Grand Angoulême (conférence et atelier IA agentique), Bertrandt (idéation d'un assistant IA d'analyse de CV), Strate et Gocad Lab (modules de formation et de Design Thinking). Une précision d'honnêteté : cette activité de formation n'est pas certifiée — nous ne la présentons jamais comme telle.

Ce que nous ne sommes pas, et le dire clairement fait partie du service :

• Pas un cabinet juridique. La qualification de vos systèmes au regard de l'AI Act et du RGPD revient à votre direction juridique et à votre DPO. Nous cadrons l'opérationnel et nous renvoyons au texte pour le droit.
• Pas un revendeur de licences. Le choix du moteur est une décision d'architecture que nous instruisons avec vous ; nous n'avons pas de licence à placer.
• Pas un fournisseur de modèle de charte. Une charte téléchargée ne gouverne rien. Ce qui gouverne, c'est la matrice construite avec vos métiers — et les traces qu'elle produit.

Honnêteté de méthode — La gouvernance IA se construit avec vos équipes conformité, IT, RH et métier : ce sont elles qui connaissent vos contraintes. Nous apportons la méthode, l'architecture et l'outillage ; les arbitrages restent les vôtres. Et ce que nous transmettons, c'est une méthode reproductible — pas notre organisation interne, qui reste la nôtre.

Cadrons la gouvernance de vos usages IA

Vous devez produire une politique d'usage crédible, et vous ne voulez ni un document que personne n'applique, ni un frein à l'adoption. Metasense (Vélizy-Villacoublay) installe le cadre concret : inventaire des usages, matrice des droits par métier, classification des données, traçabilité prouvable et plafonds de coût — co-construits avec vos équipes, en architecte-intégrateur.

Découvrir l'accompagnement IA en entreprise →

Pour aller plus loin sur les briques voisines : intégrer Claude dans les process de votre entreprise, pourquoi les licences IA restent sous-utilisées, construire un workflow IA par métier, partager des Skills Claude à toute l'organisation et orchestrer des agents multi-étapes.

FAQ

Qu'est-ce que la gouvernance de l'IA en entreprise ?

La gouvernance de l'IA en entreprise est le dispositif qui décide qui peut utiliser l'IA, pour quoi, avec quelles données, sous quel niveau de contrôle humain, et avec quelles preuves conservées. Elle se matérialise par une matrice des droits par métier, une classification des données, un registre des usages et des journaux exploitables.

Quelle différence entre une charte IA et une politique de gouvernance IA ?

La charte est le document diffusé à tous : elle énonce ce qui est autorisé, encadré ou interdit, en langage simple. La politique de gouvernance est le document de pilotage : rôles, matrice des droits par métier, classification des données, seuils, processus de validation d'un nouvel usage. La charte diffuse une décision ; la politique la prend.

Qui a le droit d'utiliser l'IA dans l'entreprise, et pour quoi ?

Cela se décide par une matrice croisant le métier, un niveau d'autonomie (interdit, assisté, supervisé, délégué) et une classe de données autorisée. Le niveau « supervisé » — l'IA produit, une personne nommée valide avant toute sortie externe — constitue le bon régime par défaut. Le niveau « délégué » se mérite après mesure du taux d'erreur.

Quelles données ne doivent jamais être envoyées à une IA ?

Les données de classe « secret » : secrets industriels et d'affaires, code cœur, données personnelles sensibles (santé, biométrie). Elles sont interdites par défaut, et ne peuvent circuler que dans un environnement dédié validé au cas par cas. Règle absolue et non négociable : jamais de secrets, clés ou jetons d'accès dans un prompt.

Comment prouver qui a produit quoi avec l'IA ?

En conservant, pour chaque production sensible, six éléments : horodatage, identité de l'auteur, système et version, finalité déclarée, classe de données en entrée, et acte de validation humaine. Cette trace n'existe que si l'usage passe par un espace de travail administré : un compte personnel ne laisse aucune trace opposable à l'entreprise.

Que change l'AI Act au 2 août 2026 pour une ETI ?

Depuis le 2 août 2026, l'article 50 du Règlement (UE) 2024/1689 impose d'informer les personnes qu'elles interagissent avec une IA, de marquer les contenus générés ou manipulés et de signaler les deepfakes. L'application générale du règlement et la supervision par les autorités nationales sont également effectives à cette date.

Les obligations « haut risque » de l'AI Act sont-elles reportées ?

Oui. Le Digital Omnibus sur l'IA, approuvé par le Parlement européen le 16 juin 2026 et adopté par le Conseil de l'UE le 29 juin 2026, reporte les systèmes à haut risque autonomes de l'annexe III au 2 décembre 2027, et l'IA embarquée dans des produits réglementés (annexe I) au 2 août 2028. La qualification, elle, ne change pas.

L'obligation de formation à l'IA a-t-elle disparu ?

Non. L'article 4 de l'AI Act, applicable depuis le 2 février 2025, a été assoupli par le Digital Omnibus : il passe d'une obligation de garantir un niveau suffisant de littératie IA à une obligation de soutenir son développement chez son personnel. L'obligation demeure, et sa supervision par les autorités nationales court depuis le 2 août 2026.

Faut-il informer le CSE avant de déployer une IA au travail ?

L'article 26(7) de l'AI Act impose au déployeur employeur d'informer les travailleurs et leurs représentants avant de mettre en service un système d'IA à haut risque sur le lieu de travail. En France, cela s'articule avec les prérogatives du CSE : à instruire avec votre direction des relations sociales et votre juriste, en amont du projet.

Comment plafonner le coût de l'IA sans brider les usages ?

En quatre temps : rendre visible la consommation par équipe et par cas d'usage, cadrer avec des budgets et des alertes déclenchées avant la facture, optimiser (bon modèle par tâche, mise en cache des contextes répétés, traitement par lots), puis arbitrer la valeur produite usage par usage. Le plafond rend l'expérimentation sûre plutôt qu'il ne la freine.

La gouvernance de l'IA freine-t-elle l'adoption ?

Non : c'est l'absence de cadre qui la freine. Sans règle claire, les collaborateurs utilisent des outils non administrés — un usage invisible, non traçable et non défendable, qui finit par être interdit en bloc. Une matrice lisible et un espace administré confortable produisent l'inverse : un usage plus large, et pilotable.

Combien de temps faut-il pour installer une gouvernance IA ?

Sur un périmètre d'ETI, l'inventaire des usages, la classification des données, la matrice des droits et le branchement de la traçabilité se mènent en quelques semaines. La difficulté n'est pas la durée mais l'ordre : cadrer avant de former, et co-construire la matrice avec les métiers plutôt que de la leur imposer.

Sources

1. EUR-Lex — Règlement (UE) 2024/1689 (AI Act), texte consolidé : https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=fr — entrée en vigueur, application en cascade, articles 4, 5, 26, 50, 99.
2. Conseil de l'Union européenne — communiqué du 29 juin 2026, Artificial intelligence: Council gives final green light to simplify and streamline rules (paquet « Omnibus VII » ; report au 2 décembre 2027 pour les systèmes à haut risque autonomes et au 2 août 2028 pour l'IA embarquée dans des produits) : https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/
3. Commission européenne — AI Act Service Desk, article 26 (obligations des déployeurs : supervision humaine compétente, conservation des journaux au moins six mois, information des travailleurs et de leurs représentants) : https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26
4. K&L Gates / Cyber Law Watch — EU Digital Omnibus on AI Enters Into Force (31 juillet 2026) : publication au JOUE le 24 juillet 2026, entrée en vigueur le 27 juillet 2026, Règlement (UE) 2026/1744 ; article 50 applicable au 2 août 2026 ; nouvelles pratiques interdites au 2 décembre 2026 : https://www.cyberlawwatch.com/2026/07/31/eu-digital-omnibus-on-ai-enters-into-force/
5. Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes : article 4 requalifié en obligation de moyens ; délai de grâce au 2 décembre 2026 sur le marquage de l'article 50(2) : https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
6. CNIL — recommandations et fiches pratiques sur l'IA (application du RGPD au développement et au déploiement des systèmes d'IA) : https://www.cnil.fr/fr/les-fiches-pratiques-ia
7. Microsoft & LinkedIn — Work Trend Index 2024, AI at Work Is Here. Now Comes the Hard Part (75 % des employés de bureau utilisent l'IA au travail ; 78 % des utilisateurs apportent leur propre outil — « BYOAI ») : https://www.microsoft.com/en-us/worklab/work-trend-index/ai-at-work-is-here-now-comes-the-hard-part