Les usages d’intelligence artificielle entrent dans l’entreprise par les usages individuels, puis finissent toujours sur la table de la direction générale. Le sujet y arrive sous quatre lectures concrètes. Le cadre d’usage, les données qui sortent vers des outils externes, les rôles et responsabilités, et la preuve de gouvernance. Aucune ne demande une expertise juridique, toutes demandent des documents courts, tenus à jour et relus par les personnes en charge de la conformité.
Le cadre d’usage
Première lecture, le cadre d’usage. Une page ou deux qui énoncent les règles en vigueur dans l’entreprise. Les outils validés, les données admises, les données exclues, le contrôle humain attendu sur chaque usage. Le support tient dans une page tenue à jour, connue des équipes et réellement appliquée. Une direction générale vérifie d’abord sa diffusion, qui peut la citer, à quel moment elle a été relue, comment les cas limites ont été tranchés. Le cadre répond aussi à une obligation datée, l’AI Act exige depuis février 2025 que les équipes qui utilisent ces systèmes aient un niveau suffisant de maîtrise, la formation et la documentation en sont les supports naturels.
L’écart à surveiller se joue entre la page écrite et le quotidien des équipes. La règle s’applique au bureau et voyage mal vers le terrain, où les habitudes prennent le relais. Un cadre d’usage vivant se reconnaît à des traces simples. La page datée, les questions posées au référent, les cas limites notés avec leur décision. Le point de comparaison utile arrive avec la cartographie des usages réels, celle que détaille le guide de l’audit IA en entreprise, y compris les usages qui échappent à la liste officielle.
Les données envoyées aux outils externes
Deuxième lecture, les données qui quittent l’entreprise à chaque usage. Un outil d’IA générative reçoit des informations et en renvoie d’autres, vers un service hébergé, à travers des comptes, dans des historiques. La question de la direction générale porte sur le trajet. Quelles données clients, salariés, techniques ou financières entrent dans un outil, où elles sont hébergées, combien de temps elles y restent, qui peut les retrouver. La réponse se construit à partir des flux réels, relevés outil par outil, comptes personnels compris.
Le RGPD s’applique dès qu’une donnée personnelle entre dans le circuit, quel que soit l’outil. Les repères publics connus tiennent en quelques principes. Réduire les données transmises, tenir les personnes informées, cadrer les sous-traitants, documenter les traitements. La recommandation utile pour une direction générale reste la même. Faire relire les flux de données par les personnes en charge de la conformité, puis documenter les décisions. L’AI Act ajoute une lecture par le risque, avec des obligations qui varient selon la catégorie de chaque usage et un calendrier d’application étalé sur plusieurs années. Le classement des usages réels se conduit avec les personnes en charge de la conformité, au regard des textes en vigueur au moment de la revue.
- La liste des outils en circulation, comptes personnels compris, avec la tâche que chacun dessert.
- Les données qui sortent à chaque usage, clients, salariés, techniques, financières.
- Le lieu d’hébergement, la durée de conservation et les conditions d’export de chaque outil.
- Les usages qui touchent des données personnelles au sens du RGPD, relus par les personnes en charge de la conformité.
- Les usages à classer selon les niveaux de risque décrits par l’AI Act.
Les rôles et responsabilités
Troisième lecture, les rôles. La conformité tient dans la durée quand chaque décision porte un nom. Un référent des outils et des accès, un point de contact pour les questions de données, une voie simple pour signaler un doute ou un incident. Le dirigeant tranche les cas limites et arbitre les usages sensibles. La direction juridique ou le conseil qui accompagne l’entreprise relit le cadre et les flux. Entre les deux, les équipes savent à qui poser une question avant d’agir.
- Un référent des outils et des accès, nommé, joignable, connu de tous.
- Un point de contact pour les questions de données et de conformité.
- Une voie simple pour signaler un doute, un incident ou un usage non prévu.
- Une revue courte et régulière où la carte des usages se met à jour.
La preuve de gouvernance
Quatrième lecture, la preuve. Un cadre écrit protège la relation client comme la position en transaction. La preuve de gouvernance tient dans des documents courts et tenus à jour. La page de politique d’usage. La cartographie des outils et des flux de données. La consigne écrite qui décrit chaque tâche, ses exceptions et le contrôle humain attendu. La trace des revues, avec les décisions prises et les cas limites tranchés. Les recommandations publiques vont dans le même sens, la CNIL consacre la traçabilité des traitements comme un principe de sécurité à part entière, et ses recommandations IA de juillet 2025 demandent la preuve que les sorties des systèmes restent sous contrôle humain. La même base documentaire sert la conformité, la cybersécurité et la préparation d’une transaction.
Cette base se construit au moment où vous maîtrisez encore chaque détail de vos usages. Une data room ouverte dans le cadre d’une cession met ensuite ces pièces à disposition des acquéreurs, et l’article sur la data room et la due diligence détaille ce qu’un lecteur attentif y cherche. Les mêmes documents répondent aussi aux questions d’un client ou d’un partenaire qui demande comment vos usages d’IA sont encadrés.
Ce qui se documente se gouverne, et ce qui se gouverne se prouve.
Relier la conformité à la méthode d’audit
Les quatre lectures s’alimentent à la même source, la cartographie des usages réels. Le guide de l’audit IA en entreprise détaille la méthode en trois temps, cartographier les usages, mesurer le gain, prioriser un premier chantier. Le volet sécurité se greffe sur la première étape, les flux de données identifiés pendant la cartographie nourrissent directement l’analyse de risque, et l’article sur l’audit IA et la cybersécurité en décrit le déroulé. La conformité se pilote ensuite comme le reste, avec une revue courte à chaque étape marquante, nouvel outil, nouveau process, changement de prestataire.
Un premier repère, gratuitement
L’autodiagnostic IA Diagnostic couvre les usages, les données, l’organisation et la gouvernance en vingt questions. Le résultat affiche un score de maturité et trois pistes, sans inscription. Le résultat forme une première trace écrite, réutilisable dans la construction de votre cadre d’usage comme dans la préparation d’une revue de conformité.