Les usages d’intelligence artificielle entrent dans l’entreprise par les usages individuels, puis finissent toujours sur la table de la direction générale. Le sujet y arrive sous quatre lectures concrètes. Le cadre d’usage, les données qui sortent vers des outils externes, les rôles et responsabilités, et la preuve de gouvernance. Aucune ne demande une expertise juridique, toutes demandent des documents courts, tenus à jour et relus par les personnes en charge de la conformité.
Le cadre d’usage
Première lecture, le cadre d’usage. Une page ou deux qui énoncent les règles en vigueur dans l’entreprise. Les outils validés, les données admises, les données exclues, le contrôle humain attendu sur chaque usage. Le support tient dans une page tenue à jour, connue des équipes et réellement appliquée. Une direction générale vérifie d’abord sa diffusion, qui peut la citer, à quel moment elle a été relue, comment les cas limites ont été tranchés.
L’écart à surveiller se joue entre la page écrite et le quotidien des équipes. La règle s’applique au bureau et voyage mal vers le terrain, où les habitudes prennent le relais. Un cadre d’usage vivant se reconnaît à des traces simples. La page datée, les questions posées au référent, les cas limites notés avec leur décision. Le point de comparaison utile arrive avec la cartographie des usages réels, celle que détaille le guide de l’audit IA en entreprise, y compris les usages qui échappent à la liste officielle.
Les données envoyées aux outils externes
Deuxième lecture, les données qui quittent l’entreprise à chaque usage. Un outil d’IA générative reçoit des informations et en renvoie d’autres, vers un service hébergé, à travers des comptes, dans des historiques. La question de la direction générale porte sur le trajet. Quelles données clients, salariées, techniques ou financières entrent dans un outil, où elles sont hébergées, combien de temps elles y restent, qui peut les retrouver. La réponse se construit à partir des flux réels, relevés outil par outil, comptes personnels compris.
Le RGPD s’applique dès qu’une donnée personnelle entre dans le circuit, quel que soit l’outil. Les repères publics connus tiennent en quelques principes. Minimiser les données transmises, informer les personnes concernées, encadrer les sous-traitants, garder une trace des traitements. La recommandation utile pour une direction générale reste la même. Faire relire les flux de données par les personnes en charge de la conformité, puis documenter les décisions. L’AI Act ajoute une lecture par le risque, avec des obligations qui varient selon la catégorie de chaque usage et un calendrier d’application étalé sur plusieurs années. Le classement des usages réels se conduit avec les personnes en charge de la conformité, au regard des textes en vigueur au moment de la revue.
- La liste des outils en circulation, comptes personnels compris, avec la tâche que chacun dessert.
- Les données qui sortent à chaque usage, clients, salariés, techniques, financières.
- Le lieu d’hébergement, la durée de conservation et les conditions d’export de chaque outil.
- Les usages qui touchent des données personnelles au sens du RGPD, relus par les personnes en charge de la conformité.
- Les usages à classer selon les niveaux de risque décrits par l’AI Act.
Les rôles et responsabilités
Troisième lecture, les rôles. La conformité tient dans la durée quand chaque décision porte un nom. Un référent des outils et des accès, un point de contact pour les questions de données, une voie simple pour signaler un doute ou un incident. Le dirigeant tranche les cas limites et arbitre les usages sensibles. La direction juridique ou le conseil qui accompagne l’entreprise relit le cadre et les flux. Entre les deux, les équipes savent à qui poser une question avant d’agir.
- Un référent des outils et des accès, nommé, joignable, connu de tous.
- Un point de contact pour les questions de données et de conformité.
- Une voie simple pour signaler un doute, un incident ou un usage non prévu.
- Une revue courte et régulière où la carte des usages se met à jour.
La preuve de gouvernance
Quatrième lecture, la preuve. Un cadre qui se documente se défend, dans une relation client comme dans une transaction. La preuve de gouvernance tient dans des documents courts et tenus à jour. La page de politique d’usage. La cartographie des outils et des flux de données. La consigne écrite qui décrit chaque tâche, ses exceptions et le contrôle humain attendu. La trace des revues, avec les décisions prises et les cas limites tranchés. La même base documentaire sert la conformité, la cybersécurité et la préparation d’une transaction.
Cette base se construit au moment où vous maîtrisez encore chaque détail de vos usages. Une data room ouverte dans le cadre d’une cession met ensuite ces pièces à disposition des acquéreurs, et l’article sur la data room et la due diligence détaille ce qu’un lecteur attentif y cherche. Les mêmes documents répondent aussi aux questions d’un client ou d’un partenaire qui demande comment vos usages d’IA sont encadrés.
Ce qui se documente se gouverne, et ce qui se gouverne se prouve.
Relier la conformité à la méthode d’audit
Les quatre lectures s’alimentent à la même source, la cartographie des usages réels. Le guide de l’audit IA en entreprise détaille la méthode en trois temps, cartographier les usages, mesurer le gain, prioriser un premier chantier. Le volet sécurité se greffe sur la première étape, les flux de données identifiés pendant la cartographie nourrissent directement l’analyse de risque, et l’article sur l’audit IA et la cybersécurité en décrit le déroulé. La conformité se pilote ensuite comme le reste, avec une revue courte à chaque étape marquante, nouvel outil, nouveau process, changement de prestataire.
Commencer par un repère gratuit
L’autodiagnostic IA Diagnostic couvre les cinq dimensions de la méthode, dont les données et les outils, puis l’ambition et la gouvernance. Vingt questions, un score de maturité, trois pistes de travail adaptées à vos réponses, sans inscription. Le résultat forme une première trace écrite, réutilisable dans la construction de votre cadre d’usage comme dans la préparation d’une revue de conformité.