Le coaching d'utilisation de l'IA (également appelé coaching IA en temps réel ou guidage instantané) est un paradigme de contrôle pour réguler la manière dont les employés utilisent les outils d'IA au travail. Plutôt que de refuser immédiatement une requête risquée, un contrôle de coaching intervient au moment de l'utilisation, généralement dans le navigateur où les requêtes sont saisies, lorsqu'une action déclenche une politique : saisir une classe de données restreinte dans un chatbot, télécharger un fichier sensible, ou utiliser un outil non approuvé ou un compte personnel. L'employé voit pourquoi l'action est risquée, quelle politique s'applique, et quelle est la voie plus sûre, comme un outil approuvé ou une requête sans les données sensibles, avant que les données ne quittent l'organisation.
Le coaching est apparu parce que le simple blocage n'a pas réussi à contenir le risque lié à l'IA en milieu professionnel. 55 % des employés utilisent des outils d'IA non approuvés au travail, selon le Salesforce State of IT Report (2024), et 78 % des employés qui utilisent l'IA au travail ont apporté leurs propres outils plutôt que d'utiliser ceux fournis par l'employeur, selon le Microsoft WorkLab AI at Work Report (2025). Les listes de blocage ne peuvent pas suivre le rythme des plus de 158 outils d'IA fantômes en usage actif dans l'entreprise moyenne (Gartner AI Governance Survey, 2025), et les interdictions générales poussent l'utilisation vers des appareils et comptes personnels, où 52 % des employés déclarent qu'ils ne diraient pas à leur manager qu'ils ont utilisé l'IA pour accomplir une tâche professionnelle (Microsoft WorkLab, 2025). Un blocage supprime une voie sans changer le comportement ; le coaching cible le comportement lui-même.
En pratique, le coaching d'utilisation de l'IA complète plutôt qu'il ne remplace les autres contrôles. Les programmes matures de gouvernance de l'IA combinent trois réponses : bloquer ce qui est véritablement interdit (outils ayant échoué à la revue de sécurité, classes de données qui ne doivent jamais entrer dans des systèmes d'IA externes), rediriger les utilisateurs vers une alternative sanctionnée lorsqu'elle existe, et coacher la zone grise entre les deux, où un outil d'IA est acceptable mais le risque dépend des données et du contexte. Chaque interaction de coaching est enregistrée, ce qui fournit aux équipes de sécurité des preuves de l'application des politiques et une mesure du changement de comportement dans le temps, ce qu'une page de blocage ne peut pas offrir.
Le coaching a ses limites, et les programmes honnêtes en tiennent compte. Il suppose une bonne intention, donc il ne stoppe pas un initié malveillant déterminé, et pour des données tellement sensibles qu'une seule exposition est inacceptable, un blocage strict reste le contrôle approprié. Il nécessite aussi une présence au point d'utilisation, c'est pourquoi le coaching est généralement délivré via une extension de navigateur ou un agent endpoint plutôt qu'un appareil réseau qui ne voit que le trafic chiffré. Dans ces limites, le coaching répond au problème que le blocage ne peut résoudre : la plupart des employés ne savent pas qu'une action est risquée avant de la réaliser, et le coaching est le seul contrôle qui leur enseigne cela précisément à ce moment-là.