Gouvernance de l'IA en entreprise : politique, risques et conformité (EU AI Act, RGPD)

L'IA générative s'est invitée dans les usages professionnels plus vite qu'aucune technologie récente : rédaction, code, analyse de données, service client. Beaucoup d'organisations en tirent déjà de la valeur, mais peu ont formalisé une politique interne précisant ce qui est autorisé, ce qui ne l'est pas, et qui décide. Cette absence de cadre n'est pas neutre : elle expose l'entreprise à des fuites de données confidentielles collées dans un outil externe, à des décisions automatisées sans base légale claire, et à un flou total sur la responsabilité en cas d'erreur. Avec l'EU AI Act désormais en vigueur et le RGPD qui s'applique à tout traitement de données personnelles, se doter d'une politique IA écrite n'est plus optionnel, même pour une PME sans juriste dédié.

Pourquoi une politique IA écrite est nécessaire, même dans une petite structure

Sans règle écrite, chaque collaborateur improvise. L'un colle un contrat client dans un assistant conversationnel public pour le résumer, l'autre connecte un outil IA à sa boîte mail sans vérifier où sont hébergées les données, un troisième laisse un système générer des réponses à des candidats sans supervision. Aucune de ces décisions n'est prise avec malveillance, mais leur absence de cadrage commun crée une exposition cumulée.

Une politique écrite ne doit pas être un document juridique de plusieurs dizaines de pages. Pour une PME, deux ou trois pages qui répondent clairement à des questions concrètes — quels outils, quelles données, qui valide, qui est responsable — suffisent largement à réduire l'essentiel du risque et à donner à chacun un point de référence commun.

Le bénéfice ne se limite pas à la conformité. Une équipe qui sait précisément ce qu'elle a le droit de faire avec l'IA expérimente davantage, pas moins : l'incertitude sur les règles freine l'adoption autant qu'elle expose aux abus.

Ce cadrage protège aussi les collaborateurs eux-mêmes. Sans règle claire, un salarié qui utilise un outil IA de bonne foi peut se retrouver seul responsable d'une conséquence qu'il n'avait pas les moyens d'anticiper, faute d'avoir su que cette catégorie de données ou cet usage était sensible.

Ce que la politique doit couvrir concrètement

Une politique IA utile répond à un nombre restreint de questions, mais elle doit y répondre sans ambiguïté, faute de quoi chacun continuera d'interpréter les règles à sa façon. Voici les points qu'elle ne peut raisonnablement pas éviter de traiter, quelle que soit la taille de l'organisation.

• Quels outils IA sont autorisés, et lesquels sont explicitement interdits
• Quelles catégories de données ne doivent jamais être saisies dans un outil externe : données personnelles sensibles, secrets contractuels, code source propriétaire
• Qui valide l'adoption d'un nouvel outil ou d'un nouvel usage avant qu'il se généralise
• Qui est responsable si un système IA produit une erreur ayant un impact sur un client ou un tiers
• Comment un collaborateur signale un usage IA problématique ou un doute
• Quelle formation minimale est attendue avant d'utiliser un outil IA dans le cadre professionnel

Les données qui ne doivent jamais atterrir dans un outil IA externe

Ces six points n'exigent pas une expertise juridique poussée : ils demandent surtout une décision claire, prise une fois, puis communiquée à toute l'équipe. La règle la plus simple à retenir ensuite : toute donnée qu'on ne diffuserait pas publiquement ne devrait pas être collée dans un outil IA grand public sans vérifier ses conditions d'utilisation des données. Beaucoup d'outils gratuits réutilisent les entrées pour l'entraînement, sauf configuration explicite contraire.

Concrètement, cela inclut les données personnelles de clients ou de salariés (identité, santé, situation financière), les secrets commerciaux, les contrats en cours de négociation, et le code source sous licence propriétaire. Pour ces catégories, seuls des outils sous contrat avec des garanties explicites de confidentialité et de non-réutilisation devraient être autorisés.

Il est également utile de distinguer les outils selon leur mode de facturation : un abonnement professionnel payant offre en général des garanties contractuelles sur la non-réutilisation des données, alors qu'un outil gratuit grand public finance souvent son fonctionnement par la réutilisation des contenus qui lui sont soumis.

Une politique efficace ne se contente pas d'interdire : elle indique aussi l'alternative. Si un outil grand public est interdit pour des données sensibles, quel outil sous contrat le remplace ? Sans alternative désignée, l'interdiction reste théorique et les collaborateurs reviennent à l'usage non autorisé par nécessité opérationnelle.

RGPD : ce qui change quand un outil IA traite des données personnelles

Dès qu'un outil IA traite des données identifiant une personne — un nom, un e-mail, une évaluation RH, un historique d'achat — le RGPD s'applique, que l'outil soit interne ou fourni par un tiers. L'entreprise reste responsable du traitement même lorsqu'elle sous-traite le calcul à un fournisseur d'IA externe.

Cela implique de vérifier, avant d'adopter un outil, où les données sont hébergées et si elles transitent hors de l'Union européenne, quelle est la base légale du traitement, et si un accord de sous-traitance encadre bien la relation avec le fournisseur. Ces vérifications se font une fois, à l'adoption, pas après un incident.

Pour les décisions automatisées ayant un effet significatif sur une personne — refus de crédit, tri de candidatures, tarification individualisée — le RGPD impose des garanties spécifiques, dont le droit pour la personne concernée de demander une intervention humaine. Un système IA qui prend seul ce type de décision, sans ce recours, est en délicate posture juridique.

EU AI Act : une régulation qui classe les systèmes par niveau de risque

Entré en vigueur en 2024 avec une application progressive jusqu'en 2027, l'EU AI Act adopte une approche par niveau de risque plutôt qu'une règle unique pour toute l'IA. Les pratiques jugées inacceptables, comme la notation sociale généralisée, sont interdites. Les systèmes à haut risque, utilisés par exemple dans le recrutement, le crédit ou l'évaluation scolaire, sont soumis à des obligations strictes de documentation, de supervision humaine et de gestion des risques.

Les systèmes à risque limité, comme un agent conversationnel qui interagit avec le public, sont soumis à une obligation de transparence : l'utilisateur doit savoir qu'il échange avec une IA. Les systèmes à risque minimal, la majorité des usages courants en entreprise, restent largement non réglementés au-delà des principes généraux.

Pour une PME, l'enjeu immédiat n'est pas de maîtriser l'intégralité du texte, mais de savoir dans quelle catégorie se situe chaque outil IA utilisé, en particulier ceux qui influencent une décision concernant une personne — candidat, client, salarié. C'est ce classement qui détermine le niveau d'obligation réel.

Au-delà de la classification, l'esprit du texte reste utile même hors de son champ d'application strict : plus un système IA influence une décision qui affecte une personne, plus le niveau de rigueur, de documentation et de supervision humaine attendu doit être élevé. C'est un principe transposable à toute organisation, quelle que soit sa taille.

Comment démarrer concrètement, sans équipe juridique dédiée

1. Recenser les outils IA réellement utilisés

Avant d'écrire une seule règle, interrogez les équipes sur les outils IA qu'elles utilisent déjà, y compris ceux non validés officiellement. Ce recensement révèle presque toujours des usages informels dont la direction n'avait pas connaissance.

2. Classer les données et les usages par sensibilité

Distinguez les usages sans risque (brainstorming, reformulation de texte générique) des usages impliquant des données personnelles ou confidentielles. Cette distinction, même approximative au départ, suffit à prioriser où poser des règles strictes en premier.

3. Rédiger une politique courte et la diffuser activement

Formalisez les réponses aux questions essentielles — outils autorisés, données interdites, validateur, responsable — dans un document court. Présentez-le en réunion plutôt que de le déposer sur un intranet que personne ne consultera.

4. Désigner un point de contact pour les nouveaux usages

Une seule personne, même sans titre juridique, doit être identifiable pour valider l'adoption d'un nouvel outil IA. Sans ce point de contact unique, chaque équipe continue de décider seule, et la politique reste lettre morte.

Qui est responsable quand un système IA se trompe ?

La réponse par défaut est simple : l'entreprise qui déploie l'outil reste responsable de son usage, y compris quand l'erreur provient d'un modèle fourni par un tiers. Se retrancher derrière « c'est l'IA qui a décidé » n'a pas de valeur juridique protectrice.

C'est pourquoi la politique interne doit désigner, pour chaque usage IA à impact réel, un responsable humain clairement identifié, pas seulement un service, une personne. Cette personne est celle qui explique la décision, corrige l'erreur, et rend des comptes si nécessaire.

Documenter cette chaîne de responsabilité avant qu'un incident survienne change radicalement la gestion de crise : l'entreprise sait immédiatement qui contacter et quelles données consulter, plutôt que de découvrir en urgence que personne ne supervisait vraiment le système en cause.

Cette responsabilité s'étend aux fournisseurs choisis : sélectionner un outil IA sans vérifier ses conditions contractuelles de confidentialité, ni la localisation de ses serveurs, constitue déjà un manquement de diligence, indépendamment de toute erreur ultérieure du système lui-même.

Faire vivre la politique dans le temps, pas seulement la rédiger une fois

Une politique IA rédigée puis oubliée perd sa valeur en quelques mois, à mesure que de nouveaux outils apparaissent et que les usages évoluent. Elle doit être révisée à intervalle régulier, et surtout chaque fois qu'un nouvel outil ou un nouveau cas d'usage à impact significatif est envisagé.

Un bon test pour vérifier qu'une politique est réellement vivante : demander à trois collaborateurs pris au hasard s'ils savent où la trouver et ce qu'elle dit sur leur usage quotidien. Si la réponse est non, la politique existe sur le papier, pas dans les pratiques.

Le signe qu'une politique IA fonctionne n'est pas son absence d'incidents, mais la rapidité avec laquelle l'entreprise identifie et corrige un usage problématique quand il survient, sans avoir à réinventer une réponse à chaque fois.

• Revoir la liste des outils autorisés au moins une fois par an
• Réévaluer le classement de risque de chaque système IA à impact décisionnel
• Former les nouveaux collaborateurs à la politique dès leur arrivée
• Conserver une trace des validations accordées pour les nouveaux usages

Questions fréquentes