Gouvernance de l'IA dans l'entreprise

Dans la plupart des PME, personne n'a décidé quels outils d'IA l'équipe utilise : chacun a choisi le sien. La moitié des salariés du savoir se servent d'outils que l'entreprise n'a pas fournis, et 46 % les garderaient même interdits, selon une enquête de Software AG en 2024. Le MIT a trouvé des salariés qui se servent d'outils personnels dans plus de 90 % des entreprises interrogées, quand 40 % seulement avaient pris un abonnement officiel.

Le risque n'est pas l'outil, mais l'absence de décision : des données de clients dans des comptes personnels, des abonnements payés deux fois, un outil dont personne ne connaît les réglages, une obligation oubliée. L'usage caché se traite à part (l'usage caché de l'IA) ; la gouvernance, c'est ce qui l'empêche de revenir.

Gouverner l'IA, dans une PME, c'est répondre par écrit à trois questions : qui décide des outils, qui valide un nouvel usage, où s'écrivent les règles. Le règlement européen n'impose aucune organisation pour cela ; il fixe des points de passage, selon ce que fait l'entreprise. Les manquements aux obligations du déployeur sont passibles d'amendes jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Pour aller plus loin, une norme existe : ISO/IEC 42001, publiée en décembre 2023, fixe les exigences d'un système de management de l'IA, sur le modèle des normes de sécurité de l'information ; elle sert de base aux normes européennes en préparation pour le haut risque. Elle se justifie pour un éditeur ou un grand compte, rarement pour une PME qui utilise des outils du marché.

Les rôles. Dans une entreprise de vingt personnes, le dirigeant et le référent sont souvent la même personne, et le responsable des données, le dirigeant aussi ; ce qui compte est que chaque rôle ait un nom. Le référent n'est pas un poste : quelques heures par mois, pour tenir le registre et répondre aux demandes.

Le circuit. Il doit être plus court que le contournement : une demande d'une ligne, une réponse en une semaine. Un circuit lent renvoie l'équipe vers ses comptes personnels. Pour un usage sensible, l'avis du CSE vient avant l'essai : à Nanterre, la phase pilote ouverte à tous a été jugée comme une première mise en œuvre.

Une PME de quarante personnes, fabriquée pour l'exemple, tient son registre en une page : quatre outils, une ligne chacun. La colonne « réglage vérifié » dit ce que le référent a contrôlé lui-même, pas ce que l'éditeur promet (les réglages de confidentialité). La transcription des réunions a demandé plus : le consentement des participants ; au-delà de cinquante salariés, il aurait fallu aussi l'avis du CSE, comme pour tout système d'écoute ou d'enregistrement (les réunions).

Ce registre ne remplace pas le registre des traitements du RGPD : il le nourrit. Chaque outil qui traite des données personnelles y renvoie (le RGPD et l'IA).

1. Nommer le référent, et écrire en une phrase ce qu'il décide seul et ce qu'il porte au dirigeant.
2. Faire le registre : demander à chaque équipe ce qu'elle utilise, y compris en compte personnel ; une ligne par outil.
3. Adopter la charte (la charte d'usage), qui renvoie au registre pour la liste des outils permis.
4. Écrire le circuit d'un nouvel usage, avec son délai de réponse.
5. Dès cinquante salariés, présenter au CSE la charte et les outils avant de les ouvrir à tous.
6. Former l'équipe et garder la trace (former une équipe).
7. Revoir tous les six mois : le registre, la charte, les réglages des outils.

Faites passer cette demande par le circuit. Que répondez-vous ?