---
title: "Gouvernance de l'IA dans l'entreprise"
description: "Qui décide quoi, qui valide un nouvel outil, et où s'écrivent les règles."
url: https://meridal.fr/apprendre/gouvernance-de-l-ia/
language: fr
written: 2026-10-09
verified: 2026-10-09
license: CC BY 4.0
---

[Apprendre](https://meridal.fr/apprendre/) › [Conduite de projet](https://meridal.fr/apprendre/dossier/projet/)

Comprendre · Niveau 2, Pratiquer · 12 minutes

# Gouvernance de l'IA dans l'entreprise

Dans une PME, la gouvernance de l'IA tient en trois questions : qui décide des outils, qui valide un nouvel usage, où s'écrivent les règles. La loi n'impose aucune structure, mais elle fixe des points de passage : la formation, les données personnelles, le CSE, les usages à haut risque. Les rôles, le circuit d'un nouvel usage, le registre des outils, et ce qui arrive quand personne ne décide.

Écrit le 9 octobre 2026 · Vérifié le 9 octobre 2026

## Vous saurez

- Savoir qui décide quoi, et ce que la loi impose vraiment
- Faire passer un nouvel usage par un circuit court
- Tenir un registre des outils d'IA en une page

- [← Avant La charte d'usage de l'IA](https://meridal.fr/apprendre/charte-d-usage-de-l-ia/)
- [↑ Plus général Choix d'un premier projet](https://meridal.fr/apprendre/premier-projet/)
- [↓ Plus concret Atelier : votre premier assistant d'équipe](https://meridal.fr/apprendre/atelier-assistant-d-equipe/)
- [→ Ensuite Budget annuel d'un équipement en IA](https://meridal.fr/apprendre/budget-annuel/)

L'essentiel

1. Sans décision, l'IA entre quand même : 78 % de ceux qui s'en servent au travail y apportent leurs propres outils, 80 % dans les petites et moyennes entreprises, d'après Microsoft et LinkedIn en 2024.
2. La loi n'impose ni responsable de l'IA ni structure : la Commission européenne le dit pour l'obligation de former le personnel.
3. Elle fixe des points de passage : former le personnel ; une analyse d'impact quand un traitement de données personnelles présente un risque élevé ; le CSE consulté avant une nouvelle technologie, dès cinquante salariés.
4. En février 2025, un tribunal a suspendu le déploiement d'outils d'IA chez un employeur : la phase pilote, ouverte à tous, avait commencé avant l'avis du CSE.
5. Pour une PME, trois choses suffisent : un référent nommé, un registre des outils d'une page, un circuit court pour chaque nouvel usage.

## Problème

Dans la plupart des PME, personne n'a décidé quels outils d'IA l'équipe utilise : chacun a choisi le sien. La moitié des salariés du savoir se servent d'outils que l'entreprise n'a pas fournis, et 46 % les garderaient même interdits, selon une enquête de Software AG en 2024. Le MIT a trouvé des salariés qui se servent d'outils personnels dans plus de 90 % des entreprises interrogées, quand 40 % seulement avaient pris un abonnement officiel.

Le risque n'est pas l'outil, mais l'absence de décision : des données de clients dans des comptes personnels, des abonnements payés deux fois, un outil dont personne ne connaît les réglages, une obligation oubliée. L'usage caché se traite à part ([l'usage caché de l'IA](https://meridal.fr/apprendre/usage-cache-de-l-ia/)) ; la gouvernance, c'est ce qui l'empêche de revenir.

## Principe

Gouverner l'IA, dans une PME, c'est répondre par écrit à trois questions : qui décide des outils, qui valide un nouvel usage, où s'écrivent les règles. Le règlement européen n'impose aucune organisation pour cela ; il fixe des points de passage, selon ce que fait l'entreprise. Les manquements aux obligations du déployeur sont passibles d'amendes jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

| Situation | Ce que la loi demande | Depuis |
|---|---|---|
| Toute entreprise dont l'équipe se sert de l'IA au travail | Des mesures pour soutenir la maîtrise de l'IA du personnel, sans niveau imposé ; l'entreprise est « déployeur » au sens du règlement | Février 2025, modifié en juillet 2026 |
| Des données personnelles traitées avec un risque élevé | Une analyse d'impact avant le traitement ; l'IA n'est pas en soi une technique innovante, dit la CNIL, mais le profilage et les décisions automatisées en demandent une | 2018 |
| Dès cinquante salariés, une nouvelle technologie | Le CSE informé et consulté avant ; de même pour tout moyen de contrôler l'activité des salariés | Code du travail |
| Un contenu généré qui imite une personne, un dialogue avec une machine | Des obligations de transparence, article 50 du règlement | Août 2026 |
| Un usage à haut risque : recrutement, évaluation, crédit | Suivre la notice, confier la surveillance à des personnes formées et habilitées, garder les journaux six mois au moins, informer les salariés et les personnes concernées | Décembre 2027, après l'omnibus |

Pour aller plus loin, une norme existe : ISO/IEC 42001, publiée en décembre 2023, fixe les exigences d'un système de management de l'IA, sur le modèle des normes de sécurité de l'information ; elle sert de base aux normes européennes en préparation pour le haut risque. Elle se justifie pour un éditeur ou un grand compte, rarement pour une PME qui utilise des outils du marché.

## Fonctionnement

![Qui fait quoi, proposition de Meridal. Au centre, deux documents : la charte d'usage et le registre des outils. Le dirigeant décide, signe les contrats, tient le budget. Le référent tient le registre, valide les nouveaux usages, suit les versions et les réglages. Le responsable des données tient le registre des traitements et fait l'analyse d'impact quand il en faut une. Chaque équipe propose les usages et applique la charte. Le CSE, à partir de cinquante salariés, est consulté avant une nouvelle technologie.](https://meridal.fr/assets/apprendre/medias/apprendre-gv-roles.svg)

**Les rôles.** Dans une entreprise de vingt personnes, le dirigeant et le référent sont souvent la même personne, et le responsable des données, le dirigeant aussi ; ce qui compte est que chaque rôle ait un nom. Le référent n'est pas un poste : quelques heures par mois, pour tenir le registre et répondre aux demandes.

![Le circuit d'un nouvel usage, proposition de Meridal. Une équipe demande, en une ligne. Le référent vérifie les données, le contrat et les réglages. Un essai de deux semaines sur des cas réels. Le dirigeant et le référent décident. L'outil entre au registre et dans la charte. Une revue tous les six mois. Pour un usage sensible, données de santé, décisions sur des personnes, contrôle de l'activité des salariés : le responsable des données, l'analyse d'impact et le CSE, avant l'essai.](https://meridal.fr/assets/apprendre/medias/apprendre-gv-circuit.svg)

**Le circuit.** Il doit être plus court que le contournement : une demande d'une ligne, une réponse en une semaine. Un circuit lent renvoie l'équipe vers ses comptes personnels. Pour un usage sensible, l'avis du CSE vient avant l'essai : à Nanterre, la phase pilote ouverte à tous a été jugée comme une première mise en œuvre.

## Exemple détaillé

![Le registre des outils d'IA, exemple fabriqué d'une PME de quarante personnes. Assistant d'équipe : rédaction et synthèse ; niveau outil d'équipe ; entraînement désactivé ; le référent ; revue en mars. Copilot dans Outlook : comptes rendus ; niveau outil d'équipe ; compte de l'entreprise ; le référent ; mars. Relance des devis : devis sans réponse ; noms des clients ; validation avant envoi ; la responsable commerciale ; janvier. Transcription : réunions internes ; voix et propos ; consentement recueilli ; la responsable RH ; février.](https://meridal.fr/assets/apprendre/medias/apprendre-gv-registre.svg)

Une PME de quarante personnes, fabriquée pour l'exemple, tient son registre en une page : quatre outils, une ligne chacun. La colonne « réglage vérifié » dit ce que le référent a contrôlé lui-même, pas ce que l'éditeur promet ([les réglages de confidentialité](https://meridal.fr/apprendre/reglages-de-confidentialite/)). La transcription des réunions a demandé plus : le consentement des participants ; au-delà de cinquante salariés, il aurait fallu aussi l'avis du CSE, comme pour tout système d'écoute ou d'enregistrement ([les réunions](https://meridal.fr/apprendre/reunions-transcriptions-et-comptes-rendus/)).

Ce registre ne remplace pas le registre des traitements du RGPD : il le nourrit. Chaque outil qui traite des données personnelles y renvoie ([le RGPD et l'IA](https://meridal.fr/apprendre/rgpd-et-ia/)).

## Risques

| Le signal | Ce qu'il annonce | Ce qu'on fait |
|---|---|---|
| Personne ne sait quels outils l'équipe utilise | Des données dans des comptes personnels | Le registre, en commençant par demander à chaque équipe |
| Une demande attend trois semaines | L'équipe passera par ses comptes personnels | Une réponse en une semaine, même provisoire |
| Un essai ouvert à tous avant l'avis du CSE | Une suspension possible du projet | L'avis d'abord, l'essai ensuite |
| Un outil trie des candidatures ou note des salariés | Un usage à haut risque | Un juriste, l'analyse d'impact, le CSE, avant tout essai |
| Le registre n'a pas bougé depuis un an | Des outils ajoutés sans passer par le circuit | La revue de six mois, inscrite au calendrier |

## Mise en place

1. **Nommer le référent**, et écrire en une phrase ce qu'il décide seul et ce qu'il porte au dirigeant.
2. **Faire le registre** : demander à chaque équipe ce qu'elle utilise, y compris en compte personnel ; une ligne par outil.
3. **Adopter la charte** ( [la charte d'usage](https://meridal.fr/apprendre/charte-d-usage-de-l-ia/) ), qui renvoie au registre pour la liste des outils permis.
4. **Écrire le circuit** d'un nouvel usage, avec son délai de réponse.
5. **Dès cinquante salariés**, présenter au CSE la charte et les outils avant de les ouvrir à tous.
6. **Former** l'équipe et garder la trace ( [former une équipe](https://meridal.fr/apprendre/former-une-equipe/) ).
7. **Revoir tous les six mois** : le registre, la charte, les réglages des outils.

## Exercice

Faites passer cette demande par le circuit. Que répondez-vous ?

La demande · fabriquée pour l'exercice

Une entreprise de soixante salariés. La responsable du recrutement a trouvé un outil qui lit les CV et propose un classement des candidats ; elle voudrait l'essayer dès lundi sur les vingt candidatures du poste de comptable.

**Ouvrir la correction**

**Ce que c'est**Un usage à haut risque au sens du règlement européen : le tri de candidatures ; et un traitement de données personnelles avec un profilage, qui demande une analyse d'impact.

**Ce qu'on répond**Pas d'essai lundi. D'abord le responsable des données et l'analyse d'impact ; le CSE informé et consulté, l'entreprise ayant plus de cinquante salariés ; un avis juridique sur le contrat de l'éditeur.

**Ce qu'on écrit**La demande et la réponse au registre, avec la date de la décision ; et à la responsable, ce qu'elle peut utiliser en attendant, par exemple l'assistant d'équipe pour rédiger l'annonce.

## Vérification

**1 Comprendre La loi oblige-t-elle une PME à nommer un responsable de l'IA ?**

Non : la Commission européenne dit qu'aucune structure n'est imposée pour former le personnel. Mais il faut des mesures de formation, et les points de passage du RGPD et du Code du travail s'appliquent.

**2 Comprendre Pourquoi le circuit d'un nouvel usage doit-il être court ?**

Parce qu'un circuit lent renvoie l'équipe vers ses comptes personnels : la règle n'a de force que si la demander coûte moins que la contourner.

**3 Appliquer Votre entreprise compte soixante-dix salariés et veut ouvrir un assistant d'équipe à tous. Dans quel ordre faites-vous les choses ?**

Le registre et la charte ; les réglages de l'outil vérifiés ; la présentation au CSE et son avis ; puis l'essai et l'ouverture, avec la formation.

## Lectures suivantes

↑ Plus général [Choix d'un premier projet Faire · Niveau 1 · 10 minutes](https://meridal.fr/apprendre/premier-projet/)

← Avant [La charte d'usage de l'IA Partir d'un modèle · Niveau 1 · 12 minutes](https://meridal.fr/apprendre/charte-d-usage-de-l-ia/)

Vous êtes ici

Gouvernance de l'IA dans l'entreprise

→ Ensuite [Budget annuel d'un équipement en IA Choisir · Niveau 2 · 11 minutes](https://meridal.fr/apprendre/budget-annuel/)

↓ Plus concret [Atelier : votre premier assistant d'équipe S'exercer · Niveau 2 · 45 minutes](https://meridal.fr/apprendre/atelier-assistant-d-equipe/)

[Tout le dossier « Conduite de projet »](https://meridal.fr/apprendre/dossier/projet/)

Les pages qui renvoient ici

- [Mesure de l'usage et de l'effet d'un outil](https://meridal.fr/apprendre/mesurer-l-usage-d-un-outil/)

**Limites et sources**

Les rôles, le circuit et le registre sont des propositions de Meridal, pas des obligations.

Les textes cités sont ceux lus le 8 octobre 2026 ; le règlement européen a été modifié par l'omnibus numérique de juillet 2026. Pour un usage à haut risque, un avis juridique s'impose.

1. [Commission européenne, la maîtrise de l'IA](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) ; [CNIL, l'analyse d'impact](https://www.cnil.fr/fr/realiser-une-analyse-dimpact-si-necessaire) ; [Code du travail, article L2312-8](https://code.travail.gouv.fr/code-du-travail/l2312-8) ; [TJ Nanterre, 14 février 2025](https://www.capstan.fr/articles/2643-consultation-du-cse-et-ia-un-juge-des-referes-ordonne-la-suspension-du-projet/) ; [Microsoft et LinkedIn, Work Trend Index 2024](https://www.microsoft.com/en-us/worklab/work-trend-index/ai-at-work-is-here-now-comes-the-hard-part).
2. Les relevés : `apprendre/recherches/2026-10-08-regles.json`, `2026-10-08-charte.json` et `2026-10-08-premiers-projets.json`.

Écrit par Meridal, avec l'aide de l'IA ; chaque fait vérifié à sa source et relu avant publication. Texte et schémas sous licence [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr) : reprenez-les en citant Meridal. Le code sous licence MIT.

Service correspondant

L'IA pour toute l'équipe

1 650 € à 4 250 €, puis sur devis

[Voir le service](https://meridal.fr/offre/#ia-equipe)

## Un premier échange de 30 minutes

En visio et sans frais : vous décrivez votre situation, nous vous indiquons ce qui est réalisable, avec quels outils et pour quel ordre de prix. Vous pouvez aussi nous écrire ; chaque message reçoit une réponse écrite.

[Réserver 30 minutes](https://meridal.fr/contact/#reserver) [Écrire un message](https://meridal.fr/contact/)