Gouvernance IA en PME : cartographier d'abord, se conformer ensuite

Dans beaucoup d'organisations de 80 à 150 personnes, l'intelligence artificielle s'est déployée avant d'avoir été gouvernée. Shadow AI, agents sans usage réel, budgets fragmentés : avant de se demander si l'AI Act s'applique, la vraie question est de savoir précisément ce que votre organisation fait avec l'IA.

L'IA s'est déployée avant la gouvernance

C'est un constat quasi-universel dans les PME et ETI que nous accompagnons : l'intelligence artificielle ne s'est pas déployée depuis un plan stratégique structuré. Elle s'est infiltrée par les usages individuels, les initiatives d'équipes, les essais sans lendemain et les abonnements à des outils SaaS dont personne ne connaît exactement le périmètre de traitement des données.

Dans une organisation de 80 à 150 personnes, la réalité ressemble souvent à ceci : un assistant IA de rédaction utilisé par le service marketing, parfois avec des données clients en entrée ; un outil d'automatisation de relances commerciales connecté au CRM via API ; un assistant de transcription de réunions activé par plusieurs collaborateurs sur leur poste personnel, sans que la DSI le sache ; une IA de screening de CV testée par les RH il y a six mois, jugée peu convaincante, mais dont l'abonnement court toujours. Et deux ou trois agents IA "de productivité" dont l'adoption réelle est inégale, voire quasi-nulle.

Cette coexistence d'usages connus, d'usages tolérés et d'usages ignorés, c'est la définition du shadow AI. Ce n'est pas une question de mauvaise foi : c'est le résultat naturel d'une technologie qui s'est démocratisée plus vite que les organisations n'ont pu l'encadrer.

Le shadow AI, un risque que l'on sous-estime

Le shadow AI n'est pas une simple question d'hygiène informatique. Il cristallise plusieurs risques concrets.

Risque sur les données. Les collaborateurs qui utilisent des IA non validées envoient souvent, sans le savoir, des données personnelles ou confidentielles à des serveurs tiers. Des informations clients, des données de salariés, des briefs commerciaux peuvent être transmis à des modèles dont les conditions générales prévoient leur réutilisation pour l'entraînement. Dans ce cas, le RGPD s'applique dès le premier octet envoyé.

Risque opérationnel. Une dépendance créée sur une IA non encadrée, non documentée, sans alternative identifiée, constitue un risque de continuité si elle change de conditions, augmente ses tarifs ou disparaît.

Risque stratégique. Les budgets SaaS sont souvent fragmentés entre les directions. Personne n'a de vision consolidée de ce que l'organisation dépense en IA, ni de ce qu'elle en tire réellement. Des IA sans ROI continuent à être financées parce que personne n'a eu la charge de les évaluer.

Risque de conformité. Si l'organisation doit un jour répondre à un appel d'offres incluant des critères de gouvernance IA, ou simplement justifier ses pratiques en cas d'audit, elle doit pouvoir documenter ses usages. Sans cartographie préalable, c'est impossible.

Vers un rôle dédié : l'AI Officer

C'est dans ce contexte que le rôle d'AI Officer (ou Chief AI Officer dans les organisations plus structurées) commence à s'imposer comme une nécessité, et non plus comme un luxe réservé aux grandes entreprises technologiques.

L'AI Officer n'est pas un data scientist, ni un DSI. Son rôle est de gouverner les usages de l'IA au sein de l'organisation : centraliser les demandes de déploiement, évaluer les risques, s'assurer de la cohérence avec la stratégie et les obligations réglementaires, animer une politique d'usage responsable et sensibiliser les équipes.

Dans une PME de 80 à 150 personnes, cette fonction n'est pas nécessairement un poste à temps plein. Elle peut être portée par un profil existant, comme un responsable IT, un directeur administratif ou un DPO, à condition de lui donner les outils, le mandat clair et la formation nécessaires. Elle peut aussi être externalisée, comme c'est de plus en plus le cas pour le DPO, avec un consultant assurant un rôle d'AI Officer externalisé.

Ce qui est certain : sans interlocuteur identifié en charge de la gouvernance IA, les décisions se prennent à la marge, sans cohérence, sans traçabilité. Et quand vient le moment de répondre à une exigence réglementaire, de gérer un incident ou de répondre à un audit, personne n'est en mesure de fournir une réponse documentée.

La cartographie des usages : le premier vrai chantier

Avant toute politique, toute charte, tout référentiel normatif, la première étape d'une gouvernance IA concrète est la cartographie des usages existants.

Prenons un exemple concret. Une structure de conseil de 95 personnes, deux bureaux en France, secteur services aux entreprises. Elle n'a pas de DSI à proprement parler, un responsable IT et un prestataire externe assurent cette fonction. Les IA se sont déployées progressivement, à l'initiative des collaborateurs ou de quelques managers. Lors du lancement de la démarche de gouvernance, l'inventaire initial fait remonter onze IA ou usages distincts :

ChatGPT utilisé par environ 40 % des collaborateurs, avec des usages variés incluant parfois des briefs contenant des informations clients. Microsoft Copilot inclus dans la licence Microsoft 365, activé mais peu utilisé faute de formation. Un agent IA de rédaction commerciale utilisé seulement par deux personnes, aux résultats jugés décevants. Une IA de transcription de réunions activée sans validation IT, enregistrant des conversations avec des clients. Un assistant de qualification de leads connecté au CRM via API, sans aucune documentation contractuelle. Une IA de génération de visuels payée par la direction marketing, avec trois utilisateurs actifs. Notion AI intégré dans l'outil de gestion de projets, utilisé sporadiquement. Un chatbot de support interne en pilote depuis huit mois, peu adopté mais pas officiellement abandonné. Un système d'IA d'analyse de sentiment sur les enquêtes de satisfaction clients, utilisé ponctuellement. Un système d'IA de scoring de CV dont le contrat est suspendu mais non résilié. Et une solution d'IA générative intégrée à l'ERP par l'éditeur, dont les caractéristiques exactes sont inconnues de l'organisation.

De ces onze usages, quatre ont une utilisation réelle et un impact mesurable ; trois sont en phase d'expérimentation incertaine ; deux sont inactifs ou quasi-inactifs ; un est intégré à un système d'IA tiers sans que l'organisation en ait pleinement conscience ; et un présente un risque potentiel significatif, le scoring de CV, potentiellement classé à haut risque par l'AI Act.

Cette photographie, obtenue en quelques semaines d'entretiens et d'analyse documentaire, est la base de tout. Sans elle, il est impossible de prioriser, de décider, de rationaliser.

Ce que la cartographie révèle au-delà de l'inventaire

La cartographie ne se limite pas à recenser les IA. Elle structure les usages selon plusieurs dimensions qui permettent ensuite de prendre des décisions éclairées.

Les données impliquées. L'usage traite-t-il des données personnelles de clients, de salariés, ou uniquement des données internes non nominatives ? Tout traitement de données personnelles via un système d'IA tiers déclenche des obligations RGPD immédiates : documentation dans le registre des traitements, vérification de la base légale, mise en place d'un accord de traitement des données (DPA) avec le fournisseur.

Le niveau de criticité opérationnelle. L'IA est-elle intégrée dans un processus critique ? Est-elle en production ou en simple expérimentation ? Quelle serait l'incidence de son arrêt sur l'activité ? Une IA de productivité individuelle et un agent connecté au CRM de production ne représentent pas le même niveau de risque opérationnel.

La valeur réelle démontrée. L'IA produit-elle des gains mesurables, documentés ? Est-ce que les équipes l'utilisent réellement, ou a-t-elle été mise en place pour satisfaire un objectif de modernisation sans qu'on ait vérifié l'adoption ? Cette question, inconfortable, est pourtant centrale, plusieurs des onze IA identifiées dans notre exemple ne survivraient pas à une analyse sérieuse de leur valeur ajoutée.

Le statut contractuel et de sécurité. Existe-t-il un contrat signé, des conditions générales lues et acceptées, un DPA en place ? Les données sont-elles hébergées en Europe ? Le fournisseur est-il soumis au Cloud Act américain ? Ces questions, souvent ignorées lors des déploiements rapides, deviennent critiques dès lors qu'on traite des données sensibles.

À l'issue de cet inventaire structuré, la gouvernance IA cesse d'être un concept flou. Elle devient un plan de travail, quelles IA maintenir et encadrer, lesquelles rationaliser, lesquelles soumettre à une analyse de risques formelle, lesquelles résilier.

Et l'AI Act dans tout ça ?

C'est ici qu'il faut être précis, parce que beaucoup d'organisations font l'erreur d'inverser les priorités.

L'AI Act est souvent présenté comme le texte qui redéfinit tout pour toutes les organisations. Et il est vrai qu'il introduit un cadre réglementaire structurant pour les systèmes d'IA en Europe. Mais pour une PME ou une ETI de 80 à 150 personnes qui utilise des IA grand public ou des applications SaaS intégrant de l'IA, la réalité est plus nuancée.

La classification des risques selon l'AI Act distingue quatre niveaux : risque inacceptable (pratiques interdites), haut risque (obligations lourdes), risque limité et risque minimal. La très grande majorité des usages IA dans une PME standard (assistants rédactionnels, IA de productivité, générateurs de visuels, chatbots conversationnels) se situe dans les catégories "risque limité" ou "risque minimal". Pour ces usages, l'AI Act impose des obligations légères : principalement des exigences de transparence vis-à-vis des utilisateurs lorsque du contenu artificiel est généré.

Les obligations lourdes s'appliquent essentiellement aux fournisseurs et déployeurs de systèmes IA à haut risque. Or, les systèmes à haut risque dans le contexte PME sont spécifiques : recrutement et sélection du personnel, accès à des services essentiels comme le scoring de crédit, gestion des infrastructures critiques, systèmes d'identification biométrique. Dans notre exemple, un seul système d'IA, le scoring de CV, pourrait potentiellement relever de cette catégorie. Et encore : son contrat étant suspendu, la question de la qualification de l'organisation comme "déployeur" au sens du texte mérite analyse.

Ce que cela signifie concrètement, pour la grande majorité des organisations de cette taille, l'AI Act est une couche de conformité qui ne constitue pas la priorité immédiate. Elle le deviendra progressivement, au rythme des calendriers d'application du texte qui s'étalent jusqu'en 2027, et au fur et à mesure que les usages IA se sophistiqueront. Mais commencer par l'AI Act avant d'avoir cartographié ses usages, formalisé une politique interne et encadré ses traitements RGPD, c'est construire une façade sans fondations.

La vraie priorité, celle qui génère de la valeur immédiate et réduit les risques concrets, c'est la gouvernance interne : qui décide des déploiements IA, selon quels critères, avec quelles documentations, avec quelle sensibilisation des équipes.

Le cheminement concret d'une démarche de gouvernance IA

Pour une organisation qui part de zéro ou de peu, voici les étapes qui produisent des résultats tangibles dans un délai raisonnable.

Cartographie des usages (4 à 8 semaines). Entretiens avec les directions et les équipes opérationnelles, inventaire des IA, croisement avec les données SI et les contrats fournisseurs. L'objectif est d'obtenir une vision consolidée et fiable de ce qui existe réellement, et non ce que la direction imagine qu'il existe.

Analyse des risques par usage (2 à 4 semaines). Pour chaque usage identifié : niveau de risque RGPD, niveau de risque opérationnel, pertinence au regard de l'AI Act. Cette analyse produit une priorisation claire, ce qui nécessite une action immédiate, ce qui peut être encadré progressivement, ce qui doit être arrêté.

Politique d'usage IA (2 à 4 semaines). Rédaction d'une charte interne définissant les usages autorisés, les usages encadrés sous conditions et les usages interdits. Mise en place d'une procédure de demande de déploiement d'une nouvelle IA, pour éviter que la situation actuelle ne se reproduise. Cette politique est un document vivant, elle évolue avec les usages et la réglementation.

Mise à jour du registre RGPD (continue). Intégration de tous les traitements impliquant des données personnelles dans le registre. Si des données de salariés ou de clients entrent dans une IA tierce, un DPA doit être en place et le traitement documenté. Cette étape se fait en coordination avec le DPO, interne ou externalisé.

Sensibilisation et formation (continue). Les équipes qui utilisent l'IA quotidiennement doivent comprendre les risques. Pas une formation de deux heures conçue pour cocher une case, mais une sensibilisation pratique, ancrée dans leurs usages réels, leurs pratiques concrètes, avec des exemples tirés de leur contexte métier.

Analyse AI Act ciblée (selon les usages identifiés). Si la cartographie révèle des usages potentiellement à haut risque, une analyse spécifique AI Act est conduite. Sinon, une veille est mise en place pour anticiper les évolutions réglementaires. La conformité AI Act est proportionnée aux enjeux réels, pas à une lecture maximaliste du texte.

La gouvernance IA, un travail de terrain avant d'être un texte réglementaire

L'intelligence artificielle ne se gouverne pas par décret et ne s'encadre pas par la seule lecture de textes réglementaires. Elle se gouverne par la connaissance précise de ce que l'organisation en fait.

Pour une organisation de 80 à 150 personnes, le point de départ n'est pas l'AI Act. C'est le recensement honnête et structuré de toutes les IA en place, de tous les usages, officiels ou non, de toutes les données impliquées. C'est la désignation d'un responsable, qu'il s'appelle AI Officer, référent IA ou que cette casquette soit portée par un consultant externe, pour piloter cette démarche et en assurer la continuité.

La conformité réglementaire viendra. L'AI Act s'appliquera progressivement, avec ses obligations propres, ses calendriers, ses procédures d'évaluation. Mais une organisation qui arrive à cette étape avec une gouvernance interne solide (politique claire, usages cartographiés, équipes sensibilisées) sera en mesure d'y répondre de façon structurée. Celle qui commence directement par la conformité sans avoir fait ce travail préalable se retrouvera à répondre à une exigence formelle sans maîtriser ce qu'elle est censée encadrer.

La gouvernance IA concrète, c'est d'abord un travail de terrain.