Gouverner l'IA en PME : le dispositif minimum viable

Vous avez lu un article sur la gouvernance de l'IA en entreprise, avec son comité de pilotage, sa cartographie des risques par système et sa matrice RACI à quatre colonnes. Vous dirigez trente personnes, pas trois cents. Le résultat est prévisible : vous fermez l'onglet, et rien ne change dans l'entreprise avant le prochain article qui vous fera la même impression.

Pourquoi les cadres publiés ne vous servent à rien tels quels

La plupart des guides de gouvernance de l'IA qu'on trouve en ligne sont écrits pour une organisation qui a déjà un comité de direction élargi, un service conformité et un référent sécurité à temps plein. Appliqués tels quels à une PME de trente personnes, ils demandent soit d'inventer des postes qui n'existent pas, soit d'abandonner la démarche à mi-chemin. Le résultat le plus fréquent n'est pas une mauvaise gouvernance : c'est l'absence totale de gouvernance. Personne n'a le temps de monter un comité, alors personne ne monte rien.

Trois autres articles de ce blog couvrent des morceaux voisins du même sujet. Un premier explique comment recenser ce que vos équipes utilisent déjà, avant même de parler de gouvernance. Un second détaille les clauses d'une charte écrite, document qui fixe les règles. Un troisième traite de ce qui se passe quand ces règles arrivent mal expliquées sur le terrain, et des objections qu'elles soulèvent chez les salariés. Celui-ci part du principe que ces étapes existent ou sont en cours, et s'occupe de ce qui reste une fois le dispositif en place : qui décide, qui tranche, ce qui doit rester à l'intérieur de l'entreprise, et ce qu'on garde comme trace dans la durée.

Le dispositif minimum, en cinq pièces

Un référent nommé, pas un comité

La première décision, et la plus structurante, est de nommer une personne plutôt que de monter un comité. Un comité qui rassemble quatre ou cinq personnes à emplois du temps chargés se réunit rarement, et quand il se réunit, il tranche peu, parce que personne dans la salle n'a mandat pour décider seul. Une personne nommée, avec un mandat écrit de quelques lignes et deux ou trois heures dégagées chaque mois, règle en un jour ce qu'un comité aurait laissé en attente pendant six semaines.

Cette personne n'a pas besoin de venir de l'informatique ou du juridique. Le critère qui compte est la proximité avec les usages réels : c'est souvent quelqu'un des ressources humaines, de l'exploitation ou de la direction, qui a déjà vu passer les questions concrètes des équipes. La légitimité vient de là, pas d'un titre de poste.

Une poignée de décisions qui comptent vraiment

Une cartographie exhaustive des risques liste toutes les combinaisons possibles d'outils, de données et d'usages, et presque personne ne la relit après l'avoir produite. Le dispositif minimum se contente d'une poignée de décisions qui reviennent vraiment : quelles catégories de données ne partent jamais dans un outil grand public, quels outils sont déjà autorisés sans avoir à demander, à partir de quel budget une nouvelle licence remonte au référent, et ce qui se passe quand un résultat généré par l'IA finit devant un client. Quatre lignes suffisent à couvrir la plupart des situations qui se présentent réellement dans une entreprise de cette taille.

Qui tranche un cas non prévu, et sous quel délai

L'article sur la charte a déjà montré que l'absence d'une clause d'arbitrage est l'un des trous les plus fréquents d'un document de règles. Le principe qui la fait vivre une fois la charte signée est simple : le référent nommé plus haut tranche les cas non prévus, sous un délai annoncé de quelques jours ouvrés, et sa réponse par défaut en cas de doute penche vers la prudence plutôt que vers l'ouverture. Un salarié qui attend une réponse pendant trois semaines finit par décider seul, ce qui revient exactement à ne pas avoir de gouvernance du tout.

Le rythme de revue, court et régulier plutôt que continu

Un dispositif jamais revu vieillit aussi vite que les outils changent. Il n'a pas besoin d'un suivi permanent : un rythme court et réellement tenu suffit. Une demi-heure tous les trimestres pour reprendre la liste des décisions du point précédent, ajouter les outils apparus depuis, et vérifier qu'aucune fonction d'IA n'est arrivée par une mise à jour silencieuse d'un logiciel déjà en place. Le format compte moins que la régularité, une revue de trente minutes qui a réellement lieu vaut mieux qu'un audit annuel qu'on reporte deux fois de suite.

C'est aussi le bon moment pour croiser les indicateurs qui suivent l'adoption réelle plutôt que le nombre de licences activées : un dispositif de gouvernance qui ne regarde jamais l'usage réel finit par régler des problèmes qui ne se posent plus, et par en ignorer d'autres qui viennent d'apparaître.

Le journal des décisions, la seule trace qui compte

La pièce la plus souvent oubliée n'est pas une règle, c'est la trace qu'on garde d'avoir décidé. Un tableau simple, une date, la décision prise, qui l'a prise, une phrase de motif, suffit largement pour une PME. Il ne remplace pas une attestation individuelle (notre article sur ce qui en fait une preuve détaille ce point précis), mais il montre, en cas de contrôle ou de simple question interne, qu'une décision a été prise consciemment et pas improvisée sur le moment.

Le règlement européen sur l'IA pousse vers une obligation de maîtrise de l'IA du personnel, mais reste, en l'état, assez peu prescriptif sur la façon de documenter la gouvernance elle-même. Notre page sur l'AI Act et l'article sur qui est concerné détaillent ce qui est réellement exigé, sans qu'il soit utile de le reprendre ici.

Trois angles morts que les cadres publiés laissent de côté

Le dispositif en cinq pièces répond à la question de qui décide. Il reste trois questions concrètes, vérifiables, que la plupart des guides de gouvernance ne traitent pas : quand le CSE doit-il être consulté et pas seulement informé, quelles données ne doivent jamais quitter l'entreprise, et ce qui est vraiment vrai sur l'entraînement des modèles avec vos données.

Consultation ou simple information : ce que tranche l'article L2312-38

Le référent doit aussi savoir, outil par outil, si le CSE doit être seulement informé ou réellement consulté avant qu'un projet d'IA n'entre en service. Dans une entreprise d'au moins cinquante salariés, l'introduction d'une nouvelle technologie déclenche en principe une consultation, au titre du 4° de l'article L2312-8 du Code du travail. Une lecture rapide s'arrête souvent là, et fait de la consultation la règle unique pour tout projet d'IA. Ce n'est pas ce que dit le texte suivant, l'article L2312-38, qui distingue trois régimes selon la fonction réelle de l'outil, pas selon son étiquette commerciale.

Un outil de tri ou de présélection de candidatures relève de l'aide au recrutement : le CSE en est informé avant sa mise en service, sans consultation formelle. Un outil de planning ou de paie assisté par IA relève du traitement automatisé de gestion du personnel, même régime, information préalable seulement. Un outil qui mesure l'activité des salariés, détection d'inactivité ou scoring de productivité, bascule dans une troisième catégorie, celle du contrôle de l'activité, et là seulement le CSE doit être informé et consulté avant toute décision de mise en œuvre.

Un outil de recrutement par IA n'entre donc pas automatiquement dans la case consultation, contrairement à ce qu'on lit souvent : c'est sa fonction qui commande le régime, pas la présence d'un algorithme derrière. Un même logiciel peut d'ailleurs glisser d'une catégorie à l'autre si son usage réel dérive de la gestion administrative vers la mesure de la performance individuelle, ce qui vaut la peine d'être vérifié à chaque revue trimestrielle du référent.

Deux points opérationnels comptent une fois la consultation déclenchée. « Informé et consulté » ne se limite pas à annoncer le projet en réunion : l'employeur doit ensuite recueillir l'avis du CSE avant de le mettre en œuvre, en lui laissant un délai d'examen suffisant pour se prononcer en connaissance de cause, au titre de l'article L2312-15. En cas de désaccord sur les informations transmises, l'employeur ou le CSE peut saisir le président du tribunal judiciaire, dans un délai de deux mois, au titre de l'article R2312-6. Une consultation déclenchée par l'introduction de nouvelles technologies ouvre aussi au comité le droit de recourir à un expert habilité, financé à 80 % par l'employeur et à 20 % par le budget de fonctionnement du CSE, au titre de l'article L2315-94. Un référent qui anticipe cette possibilité gagne du temps : mieux vaut arriver avec un dossier clair sur l'usage réel de l'outil que découvrir la demande d'expertise en cours de route.

Ce qui ne doit jamais atterrir dans un outil non maîtrisé

La liste des quatre décisions vues plus haut inclut celle des données qui ne partent jamais vers un outil grand public. La CNIL a pris position sur ce point précis dans ses questions-réponses sur l'IA générative, publiées le 18 juillet 2024 : pour des données de clients, de collaborateurs, ou de la documentation sensible, elle recommande de privilégier une solution hébergée sur site plutôt qu'un service en ligne tiers. Si l'entreprise retient malgré tout un service en ligne, la CNIL demande un contrat de sous-traitance conforme avec l'hébergeur. Côté utilisateur final, la même page pose une règle simple : ne soumettre dans un prompt que ce qu'on est déjà autorisé à partager, ce qui revient à traiter chaque invite comme un message adressé à un tiers.

Cette recommandation n'interdit rien par principe, elle demande une analyse de risque. Une analyse d'impact relative à la protection des données devient utile, sans être systématique, dès que l'usage touche du recrutement, de l'évaluation individuelle ou des données sensibles, elle l'est beaucoup moins pour de la rédaction courante sans donnée personnelle. C'est une distinction que le référent peut appliquer sans l'aide d'un juriste externe, du moment que la liste des quatre décisions la reprend noir sur blanc.

Le mythe de l'entraînement du modèle ne tient pas pour les offres professionnelles

Une objection revient souvent au moment d'écrire la charte : nos données vont nourrir le modèle d'un concurrent. Vérifiée directement sur les pages officielles des trois principaux éditeurs, cette affirmation est fausse par défaut pour les offres entreprise et API. OpenAI l'écrit noir sur blanc pour ChatGPT Business, Enterprise et l'API : les données du client ne servent pas à l'entraînement, sauf accord explicite. Anthropic applique le même principe par défaut à Claude for Work et à son API. Mistral AI distingue nettement ses offres gratuites, où les données servent par défaut à l'entraînement sauf refus explicite, de ses offres Team et Enterprise, où ce n'est jamais le cas.

L'écart se joue entre gratuit et payant, pas entre IA et pas d'IA. C'est la raison structurelle pour laquelle une charte interne doit interdire les comptes personnels gratuits pour un usage professionnel, plutôt que de bannir les outils d'IA eux-mêmes : le problème n'est pas l'outil, c'est le compte utilisé pour y accéder. Une nuance à garder : par défaut n'est pas jamais. Un mécanisme d'évaluation activé sans y penser, un avis laissé sur une réponse chez certains éditeurs, peut réactiver l'utilisation des données même sur une offre entreprise. Une des quatre décisions du référent gagne donc à préciser non seulement quel outil est autorisé, mais avec quel type de compte.

Expliquer ces trois points aux équipes désamorce une bonne partie des objections qu'un dispositif mal justifié rencontre sur le terrain, celles évoquées plus haut.

Ce qu'on peut sauter sans conséquence

Trois éléments reviennent dans presque tous les guides de gouvernance, et une PME de trente personnes peut les ranger de côté sans qu'il ne se passe rien de grave.

Le comité dédié, d'abord. S'il ne se réunit pas ou s'il rassemble des gens sans mandat réel, il coûte du temps sans produire de décision. Autant nommer un référent, comme vu plus haut.

La matrice RACI ensuite, pensée pour des organisations où une même décision traverse plusieurs services et plusieurs strates hiérarchiques. Dans une structure de trente personnes, la chaîne de décision tient en général sur deux niveaux, et formaliser un tableau à quatre colonnes pour ça ajoute de la paperasse sans rien clarifier de plus.

Une démarche de certification formelle enfin, du type ISO/IEC 42001, pensée pour des organisations qui doivent prouver leur conformité à des clients ou à des régulateurs à grande échelle. Elle a un vrai sens pour une entreprise qui vend elle-même des systèmes d'IA, ou qui répond à des appels d'offres qui l'exigent. Pour la majorité des PME qui utilisent l'IA sans en fournir, ce n'est pas une priorité tant que les cinq pièces précédentes ne sont pas en place.

Lundi matin

Questions fréquentes

Faut-il un comité IA dans une PME ?

Rarement au démarrage. Un référent nommé avec un mandat clair décide plus vite qu'un comité qui se réunit peu et qui tranche moins encore. Un comité restreint devient pertinent quand la taille ou la diversité des usages dépasse ce qu'une seule personne peut suivre.

Qui doit être le référent IA ?

Quelqu'un déjà proche des usages réels des équipes, pas nécessairement de l'informatique ou du juridique. La légitimité vient de la connaissance du terrain, pas du titre du poste.

Que faut-il garder comme trace, au minimum ?

Un journal simple des décisions prises : la date, ce qui a été décidé, qui l'a décidé, et une phrase de motif. Ce n'est pas un audit complet, c'est la preuve qu'une décision a été prise consciemment.

Ce dispositif remplace-t-il la charte IA ?

Non. La charte fixe les règles écrites que suivent les salariés. Ce dispositif fixe qui décide, qui tranche et ce qu'on garde en mémoire une fois la charte en place. Les deux se complètent.

Ce dispositif tient sur une page, pas sur un classeur. C'est précisément ce qui le rend applicable dans une structure qui n'a ni service conformité ni comité dédié : il demande de nommer quelqu'un, d'écrire une liste courte, et de tenir un rythme, rien de plus. Le reste peut attendre que l'entreprise ait grandi au point d'en avoir vraiment besoin.

Nos programmes de formation par métier donnent au référent nommé des repères concrets par métier, plutôt qu'une liste de principes généraux à interpréter seul.