CODIR Data & IA à Lyon (12/11) : industrialiser sans “shadow AI”, mode d’emploi

Un CODIR, 40 places, et un vrai sujet: arrêter les POC et passer en production

Tu as sûrement déjà vu le film. Des équipes testent des outils IA. Ça marche sur un coin de table. Ça impressionne en démo. Puis… ça ne passe pas à l’échelle. Ou ça passe en douce. Et tu te retrouves avec du shadow AI partout: données copiées dans des services grand public, abonnements “carte bleue” non déclarés, prompts et documents sensibles qui partent hors radar.

C’est exactement le type de nœud que l’afterwork “CODIR Data & IA – Lyon” veut traiter: passer de l’expérimentation à l’industrialisation, entre décideurs, en format restreint. L’événement est annoncé jeudi 12 novembre 2026, chez ELLISPHERE à Lyon, avec une jauge de 40 places et un positionnement entre pairs (DG, finance, SI, commerce, marketing, RH). Source: ELLISPHERE.

Le bon réflexe: ne pas y aller “pour s’inspirer”. Y aller pour repartir avec 3 arbitrages à faire au CODIR, et un plan de décisions à boucler dans les 15 jours. Sinon tu perds ton temps, et l’IA reste un sujet “sympa” au lieu d’un sujet piloté.

Pourquoi l’industrialisation et le “shadow AI” sont devenus des sujets CODIR

1) L’adoption accélère. La dette aussi.

En 2025, 20,0 % des entreprises de l’UE (10 salariés ou plus) déclarent utiliser des technos d’IA, contre 13,5 % en 2024. Ça monte vite. Source: Eurostat (Commission européenne).

Plus l’adoption monte, plus tu as deux risques: des pilotes qui s’empilent sans devenir des produits internes, et des usages qui se développent hors contrôle.

2) Le shadow AI n’est pas une parano, c’est mesuré

D’après une analyse Vanta (février 2024 à avril 2026), 70 % des entreprises auraient des outils IA non gérés ou non approuvés dans leur environnement. Même source: croissance de 36 % en un an du shadow IT, et découverte moyenne d’environ 140 outils shadow IT dans les 90 jours après mise en place de leur détection.

Et ce n’est pas juste “un sujet IT”. Le Verizon DBIR 2026 cite le shadow AI comme 3e activité la plus fréquente de fuite de données non malveillante (des gens qui font n’importe quoi, pas des criminels). Source: Verizon DBIR 2026.

3) Le ROI est bimodal: soit tu industrialises, soit tu stagnes

Une étude SAP/Oxford Economics (“Value of AI Report 2026”) relayée par SAP France évoque un ROI moyen anticipé de 20 % “cette année” et 37 % “d’ici deux ans” en France, sur un échantillon incluant 200 décideurs. Autre signal: un benchmark “State of Enterprise AI 2026” (1 200 leaders) avance que 82 % des initiatives IA n’atteindraient pas la production, avec un ROI très différent entre organisations passées en prod depuis plus de 12 mois et celles coincées au stade pilote.

Traduction CODIR: ton enjeu n’est pas “trouver des idées”. Ton enjeu est de créer une capacité d’exécution (plateforme, MLOps, sécurité, gouvernance, conduite du changement) et de la financer.

À qui s’adresse cet afterwork “CODIR Data & IA – Lyon”

Ce format est utile si tu coches au moins 2 cases:

• Tu as déjà des tests IA dans 1 à 3 métiers (marketing, commerce, support, RH, finance, opérations) et tu sens que ça part dans tous les sens.
• Tu as un blocage transverse: sécurité, RGPD, achats, intégration SI, gestion des accès, budget, manque de compétences.
• Tu veux passer en production sur 1 ou 2 cas d’usage “vraiment utilisés”, pas une vitrine.
• Tu veux réduire le shadow AI sans faire la police et casser la dynamique.

Tu peux venir DG, DAF, DSI, responsable data, RSSI, DRH, direction commerciale. L’intérêt, c’est que les décisions sont forcément multi-directionnelles.

Ce que tu peux en attendre (si tu viens préparé)

• Comparer ton niveau de contrôle: qui utilise quoi, avec quelles données, et qui assume le risque.
• Identifier le “missing piece” qui empêche l’industrialisation: données, intégration, gouvernance, sécurité, change, budget.
• Repartir avec des options concrètes d’organisation: sponsor CODIR, modèle de validation, registre d’usages, circuit achats, cadre sécurité.
• Accélérer une décision que tu repousses depuis 3 mois, faute d’alignement interne.

Si tu viens “les mains dans les poches”, tu repartiras avec des idées. Et les idées ne résolvent pas le shadow AI.

Préparer 3 sujets à mettre sur la table (et pas 12)

Objectif: arriver avec 3 sujets que tu veux trancher. Pas plus. Chaque sujet doit tenir sur une page et se terminer par une décision attendue.

Sujet 1: ROI et priorisation (industrialisation IA)

Le piège classique: “on va faire un backlog de cas d’usage”. Non. Tu as besoin d’un choix: quels 2 cas d’usage passent en “produit” sur 90 jours, et lesquels restent en test ou sont stoppés.

Prépare ça:

• 2 cas d’usage max candidats à la prod (ex: assistant support sur base de connaissances, aide à la rédaction commerciale avec garde-fous, extraction de données de documents, copilote interne sur procédures).
• La baseline: combien de temps ça prend aujourd’hui, combien ça coûte, et où sont les irritants.
• Le gain mesurable (temps, qualité, délai, cash, risque) et comment tu le mesures.
• Le coût total: licences, intégration, sécurité, exploitation, formation, change. Pas juste “l’outil”.
• Un seuil d’arrêt: si au bout de 6 semaines tu n’as pas X, tu coupes.

Si tu veux une méthode simple pour éviter le flou, tu peux t’appuyer sur la logique “avant/après” détaillée ici: Mesurer le gain réel d’un usage IA : la méthode avant / après.

Décision attendue côté CODIR: 2 cas d’usage financés, un sponsor par cas, un budget, et une date de revue go/no-go.

Sujet 2: gouvernance IA entreprise (qui décide quoi, et à quelle vitesse)

Le shadow AI se développe quand la gouvernance est soit inexistante, soit trop lente. Tu dois choisir un modèle qui autorise vite ce qui est acceptable, et bloque net ce qui est dangereux.

Prépare ça:

• Une cartographie rapide des usages actuels: outils, équipes, types de données manipulées.
• 3 niveaux d’usage (simple et actionnable):
  • Niveau 1: données publiques ou non sensibles, usage individuel.
  • Niveau 2: données internes, usage métier, besoin de contrôle (journalisation, accès, contrat).
  • Niveau 3: données sensibles, décisions impactantes, obligation de validation renforcée.
• Le circuit de validation et son délai cible (ex: 5 jours ouvrés).
• Un registre d’usages: ce qui est autorisé, par qui, avec quelles conditions.
• Un propriétaire de la gouvernance (pas “tout le monde”).

Pour cadrer “qui décide quoi” sans usine à gaz, base-toi sur cette trame: Gouvernance de l'IA : qui décide quoi dans une entreprise de cinquante personnes.

Décision attendue côté CODIR: un modèle de gouvernance, un comité léger (ou une instance existante) et une règle de délai. Sans délai, tu fabriques du shadow AI.

Sujet 3: sécurité, conformité, et “shadow AI” (arrêter la fuite sans tuer l’usage)

Tu dois être clair: l’IA grand public branchée sur des données internes, c’est un risque. La CNIL rappelle notamment qu’il faut analyse de risques, gouvernance claire et éviter de partager des infos confidentielles dans des services grand public. Source: CNIL (Q/R IA générative) et recommandations CNIL sur le développement des systèmes d’IA.

Prépare ça:

• Ta ligne rouge: quelles données ne doivent jamais sortir (clients, RH, finance, contrats, IP).
• Les contrôles minimum avant d’ouvrir des données à un assistant: accès, journalisation, rétention, cloisonnement, fournisseurs.
• Le plan de réduction du shadow AI: détecter, offrir une alternative approuvée, accompagner, puis bloquer si besoin.
• Le rôle DPO/RSSI: validation des catégories d’usage, pas review au cas par cas de chaque prompt.

Pour un angle très concret “shadow AI”, tu peux t’appuyer sur: Shadow AI : quand vos équipes utilisent des IA sans vous le dire et, côté sécurité terrain, la checklist RSSI: Shadow AI en entreprise : détecter et cadrer les usages IA non autorisés.

Décision attendue côté CODIR: une politique d’usage (simple), une offre d’outils approuvés, et un calendrier de mise en conformité.

Guide de préparation en amont (J-15 à J-1)

Étape 1: faire l’inventaire express des usages (2 heures)

• Demande aux managers: “Qui utilise quoi, pour quoi, avec quelles données ?”
• Liste les outils IA (chat, transcription, génération d’images, plugins, extensions navigateur).
• Marque les usages “avec données internes” et “avec données sensibles”.

Tu n’as pas besoin de 100 % de couverture. Tu as besoin d’un signal pour discuter sérieusement.

Étape 2: choisir 2 cas d’usage candidats à la prod (1 heure)

• Un cas orienté efficacité (temps gagné, qualité).
• Un cas orienté risque (réduction d’erreurs, conformité, sécurité).

Et tu mets tout le reste en “parking”.

Étape 3: écrire tes 3 fiches “sujets CODIR” (3 fois 45 minutes)

Structure unique, sinon tu perds tout le monde:

• Problème (1 paragraphe)
• Impact business (chiffrage simple)
• Options (2 ou 3)
• Risques
• Décision demandée

Étape 4: arriver avec une question “shadow AI” qui pique

• “Qu’est-ce qu’on autorise officiellement, cette année, et qu’est-ce qu’on interdit?”
• “Qui porte le risque si un document client part dans un outil non approuvé?”
• “Quel délai de validation on s’engage à tenir pour éviter les contournements?”

La trame de décisions à prendre dans les 15 jours après l’événement

Si tu ne prends pas ces décisions vite, l’énergie retombe. Et le shadow AI continue. Voilà une trame simple, CODIR-compatible.

J+2: compte rendu utile (1 page)

• Les 3 décisions à prendre
• Les 2 cas d’usage candidats prod
• Les 3 principaux risques identifiés
• Les personnes à embarquer (DG, DSI, RSSI, DPO, RH, métiers)

J+5: arbitrage ROI et financement (réunion courte)

• Valider les 2 cas d’usage “produit”
• Valider un budget et une date de revue (6 semaines + 12 semaines)
• Nommer un sponsor et un owner par cas

J+7: gouvernance IA (règles simples, vitesse imposée)

• Valider les 3 niveaux d’usage (1, 2, 3)
• Valider un délai de validation cible (sinon contournement)
• Créer ou acter un registre d’usages

Si tu veux un support concret “registre”, tu peux aussi démarrer avec la logique de documentation d’usages: AI Act : documenter vos usages d’IA en entreprise.

J+10: sécurité et shadow AI (plan en 3 mouvements)

• Détecter: cartographie + mesures techniques possibles (SSO, proxy, DLP selon contexte).
• Remplacer: offrir une alternative approuvée (outil, tenant, règles de données).
• Réduire: communication claire + accompagnement + blocage ciblé si nécessaire.

Pour éviter d’ouvrir trop vite vos données, garde une checklist de contrôles: Fuite de données : 7 contrôles rapides avant d’ouvrir vos données à un assistant IA.

J+15: conduite du changement (sans théâtre)

• Former un noyau de “référents” (métier + IT + sécurité) par direction.
• Publier une charte d’usage IA courte: ce qui est ok, ce qui est interdit, où demander une validation.
• Mettre en place un canal de support interne (questions, remontées, demandes d’outils).

Tu peux t’appuyer sur cette base: Rédiger une charte d'usage de l'IA pour ses équipes.

Ce que tu dois éviter le soir même (les erreurs classiques)

• Sortir avec 15 idées et zéro décision.
• Lancer un “grand programme IA” sans priorisation, ni capacité d’exécution.
• Traiter le shadow AI comme un problème disciplinaire. C’est d’abord un problème d’offre interne et de délai de validation.
• Confondre conformité et gouvernance: la réglementation aide à cadrer, mais la gouvernance est d’abord un choix de pilotage (qui décide, à quel rythme, avec quelles preuves).

Checklist express: viens avec ça, sinon tu subis la discussion

• Une liste (même incomplète) des outils IA utilisés en interne.
• Deux cas d’usage prêts à passer en production, avec baseline et métrique.
• Trois décisions que tu veux faire trancher au CODIR (ROI, gouvernance, sécurité).
• Une proposition de règle sur les données sensibles et les outils grand public.

Un plan simple: ce que tu fais dès demain

Si tu veux que cet afterwork “CODIR data IA Lyon” serve vraiment à l’industrialisation IA, fais juste ça:

• Ce soir: choisis 2 cas d’usage candidats prod. Stop au reste.
• Cette semaine: inventaire express des usages et des outils. Même brouillon.
• Avant l’événement: écris 3 fiches décision (ROI, gouvernance IA entreprise, shadow AI et sécurité).
• Après l’événement: prends les décisions en 15 jours, avec des dates. Pas “on va y réfléchir”.

Si tu fais ça, tu ne repars pas avec des slides. Tu repars avec une trajectoire. Et surtout: tu transformes l’IA en actif industriel, pas en shadow AI incontrôlable.