COSMOimpulse IA Event Lyon (17/11) : guide DSI pour cadrer un projet IA sans se perdre

Tu as déjà vu les démos. Maintenant, tu dois décider.

À Lyon comme ailleurs, le sujet a changé de nature. On est passé des démos GenAI “waouh” aux premiers déploiements. Et le vrai mur n’est plus le prompt. C’est la gouvernance, la sécurité, l’intégration SI et le run.

Les chiffres donnent le ton. En France, 60 % des grandes entreprises déclarent avoir mis en place un pilotage transverse pour franchir le cap de l’industrialisation, et 86 % avoir validé une charte d’usage responsable de l’IA (souvent portée par le COMEX) selon KPMG. Côté risques, IBM indique qu’en octobre 2026, plus de 8 dirigeants sur 10 en France déclarent qu’un incident lié à l’IA a été porté au conseil d’administration ou au COMEX sur l’année écoulée. Autrement dit, tu n’es pas en train de choisir un gadget. Tu engages la boîte.

Le COSMOimpulse IA Event Lyon vise précisément ce moment de bascule : cadrer, trancher, et repartir avec des décisions actionnables pour industrialiser l’IA en entreprise, y compris quand tout le monde te parle d’agents IA entreprise, de data et de sécurité dans la même phrase.

COSMOimpulse IA Event Lyon : les faits (sans blabla)

• Nom : COSMOimpulse IA Event Lyon
• Date : mardi 17 novembre 2026
• Durée : 5 heures (matinée)
• Prix : gratuit, sur inscription
• Lieu : Microsoft Experiences Lab, Tour Silex2, 21e étage, 9 rue des Cuirassiers, 69003 Lyon (Part-Dieu)
• Trame annoncée : stratégie IA, puis data/sécurité/souveraineté/gouvernance, puis IA “agentique” et cas d’usage, puis intégration et Q&R
• Intervenants cités : COSMO CONSULT (dont Erik Córdova, Xavier Garonnat) et mention de Stéphane Amarsy (à confirmer au moment de publier)

Source : la page Lyon IA dédiée à l’événement https://lyon-ia.com/blog/cosmoimpulse-ia-event-lyon-1711-venir-avec-des-questions-repartir-avec-un-plan

Pour qui c’est utile (et pour qui ça ne l’est pas)

Si tu cherches “les tendances IA 2027” ou une rafale de démos, passe ton tour. Ce format est surtout pertinent si tu dois prendre des décisions DSI qui engagent le SI et le risque.

Tu es la cible si tu es…

• DSI/CIO et tu dois choisir une trajectoire réaliste, pas une pile de POC.
• RSSI / sécu et tu veux mettre des garde-fous avant que les agents deviennent des “agents fantômes”.
• Responsable data et tu en as marre qu’on te vende des agents alors que les données ne sont pas prêtes.
• Direction métier avec un processus sous tension (support, finance, achats, supply…) et tu veux un “premier chantier” cadré avec IT.

Tu vas perdre ton temps si…

• Tu veux juste comparer des modèles à la virgule près sans parler intégration, logs, accès, exploitation.
• Tu n’as aucun sponsor métier, aucun processus prioritaire, aucun owner. Donc tu vas ressortir avec des idées, pas un plan.

Quelles décisions un DSI peut accélérer sur place

L’intérêt d’un événement IA Lyon DSI comme celui-ci, c’est d’accélérer des arbitrages que tu repousses parce qu’ils sont transverses. Voici la check-list de décisions à viser.

1) Décider “assistants” vs “processus” (et arrêter l’ambiguïté)

Premier piège : mélanger productivité individuelle et automatisation de processus. Ce n’est pas le même risque, pas le même ROI, pas le même run.

• Assistants : gains rapides, périmètre souvent M365 et poste de travail, risques surtout data (fuite, réutilisation, conformité) et shadow AI.
• Processus (agents + automatisation) : gains plus structurants, mais tu ouvres le SI, tu touches aux droits, aux actions, aux erreurs, aux logs.

Décision à obtenir : un seul processus prioritaire pour démarrer. Pas dix. Un. Et tu le mesures.

2) Poser une gouvernance IA minimale (pas une usine à gaz)

Le passage à l’échelle demande un pilotage. KPMG note que 60 % des grandes entreprises mettent en place un pilotage transverse et 86 % une charte. Ce n’est pas une mode. C’est une condition de passage en prod.

Ce que tu veux trancher : le minimum viable de gouvernance IA pour produire des décisions répétables.

• Owner métier : porte la valeur, les irritants, les critères de réussite.
• Owner data : qualité, accès, cycle de vie, “ce qui est utilisable”.
• Owner sécurité : classification, contrôles, exigences, validation.
• Owner run : supervision, incidents, coût, SLA, escalade.

Repères utiles pour parler un langage compréhensible par le COMEX et l’audit :

• NIST AI RMF 1.0 : cadrage “gestion des risques IA” (référentiel publié en 2023).
• ISO/IEC 42001:2023 : cadrage “système de management IA” (politiques, rôles, processus).

3) Clarifier l’architecture cible : où vit l’IA et comment elle touche le SI

“On met un agent” ne veut rien dire tant que tu n’as pas répondu à :

• Où tourne le modèle ? Cloud, hybride, on-prem, service managé ?
• Où vit l’orchestration ? Dans un outil d’automatisation, dans l’app, dans un middleware ?
• Quels connecteurs sont autorisés ? Qui les maintient ?
• Comment on trace ? Journalisation des actions, des accès, des versions de prompt et de données.

Si tu veux préparer le terrain “agents”, garde un lien simple sous le coude sur les garde-fous : https://lyon-ia.com/blog/agents-ia-10-garde-fous-avant-dautomatiser-en-entreprise-acces-donnees-actions

4) Trancher sécurité et conformité dès le cadrage (sinon ça casse au pire moment)

IBM indique que la majorité des dirigeants voient déjà des incidents IA remonter au COMEX. Ce signal est clair : ton projet IA est un sujet de risque opérationnel, pas un sujet “innovation”.

Ce que tu veux obtenir comme décisions pratiques :

• Règles d’accès : qui peut faire quoi, sur quelles données, avec quel niveau d’audit.
• Séparation des environnements : dev, test, prod, données masquées ou non.
• Traçabilité : logs d’accès, logs d’actions, conservation.
• Traitement des données sensibles : ce qui est interdit, ce qui est anonymisé, ce qui est encadré.

Repères publics utiles : recommandations ANSSI sur les systèmes d’IA générative, et mesures CNIL sur sécurité et gouvernance RGPD (à utiliser comme base de discussion interne).

5) Mettre un pilotage “POC vers run” noir sur blanc

Le POC vitrine, c’est simple : une démo qui marche une fois, sans dette, sans métriques, sans run. Tu ressors avec des slides et une bombe à retardement.

Décisions à verrouiller :

• Métriques de succès : temps gagné mesuré, taux d’erreur, adoption, coût par action.
• Conditions de passage : sécurité validée, logs en place, owner run identifié, plan de rollback.
• Budget et charge : coût tokens, coûts infra, temps d’intégration, coûts de supervision.

Sur la logique “industrialiser l’IA en entreprise” côté DSI, tu peux aussi t’appuyer sur cette checklist Lyon IA : https://lyon-ia.com/blog/industrialiser-lia-en-dsi-a-lyon-1310-la-checklist-poc-vers-run-mlops-couts-risques

Les livrables à viser en sortant (objectif : 90 jours)

Tu veux sortir de la matinée avec autre chose qu’une photo et des cartes de visite. Vise 3 livrables. Courts. Décisionnels. Utilisables dès le lendemain.

Livrable 1 : une roadmap 90 jours en 3 vagues

• Vague 1 (S1 à S3) : cadrage. Processus cible, risques, architecture, données, sponsor, métriques.
• Vague 2 (S4 à S8) : pilote. Sur un périmètre restreint, avec vrais utilisateurs, logs, contrôle des accès.
• Vague 3 (S9 à S12) : prod restreinte. Run, supervision, gestion incidents, critères d’extension.

Si tu veux une approche “venir avec des questions, repartir avec un plan”, cette page est une bonne base : https://lyon-ia.com/blog/cosmoimpulse-ia-event-lyon-17-novembre-12-questions-pour-trancher-agents-automatisation-data

Livrable 2 : une page de règles data (prête à diffuser)

Une page. Pas un roman. L’objectif : éviter que l’IA se nourrisse n’importe comment, et que les équipes improvisent.

• Données autorisées dans les prompts (catégories, exemples).
• Données interdites (PII, secrets, clients sensibles, contrats non validés, etc.).
• Règles de conservation des logs et des traces.
• Règles de partage des outputs (interne, externe, validation).

Pour t’aider à cadrer la gouvernance de manière pragmatique : https://lyon-ia.com/blog/gouvernance-ia-entreprise

Livrable 3 : une grille Make vs Buy (et des critères non négociables)

Tu n’as pas besoin d’un débat idéologique “on code tout” vs “on achète tout”. Tu as besoin de critères.

• Sécurité : contrôle des accès, gestion des secrets, audit, journalisation.
• Intégration : connecteurs SI, capacité à écrire dans les systèmes, limitations API.
• Réversibilité : export prompts, workflows, logs, données, modèles, paramétrage.
• Coûts : tokens, licences, infra, run, support, montée en charge.
• Conformité : RGPD, traçabilité des décisions, documentation.

Deux ressources Lyon IA utiles pour alimenter ce cadrage :

• https://lyon-ia.com/blog/contrat-fournisseur-ia-clauses
• https://lyon-ia.com/blog/modeles-ouverts-ou-api-proprietaires

Questions à poser sur place pour éviter les POC vitrines

Tu veux des réponses testables. Pas des promesses. Voici une liste de questions “DSI mode terrain” à sortir pendant les échanges.

Valeur et périmètre

• Quel processus unique vous recommandez de traiter en premier, et pourquoi celui-là ?
• Quels indicateurs vous utilisez pour prouver un gain (avant/après) ?
• Quel est le périmètre utilisateur réaliste pour un pilote (10, 50, 200) ?

Agents IA entreprise : actions, contrôle, responsabilité

• Quelles actions l’agent a le droit de déclencher (lecture seule, écriture, paiement, suppression) ?
• Comment vous gérez le human-in-the-loop et à quel moment il devient obligatoire ?
• Comment vous empêchez un agent de faire “presque pareil” mais faux (erreur silencieuse) ?

Data : qualité, droits, traçabilité

• Quelles données doivent être propres dès le début, et lesquelles peuvent attendre ?
• Comment vous gérez les droits documentaires (un agent ne doit pas voir ce qu’un humain ne peut pas voir) ?
• Où sont stockés les logs et qui y accède ? Combien de temps ?

Sécurité : attaques et garde-fous

• Quelle est votre position sur le zero trust pour les agents et connecteurs ?
• Comment vous protégez contre l’injection de prompt et les entrées malveillantes via documents ?
• Comment vous gérez les secrets et les tokens d’API utilisés par les agents ?

Pour préparer ces points sécurité, deux lectures utiles avant ou après l’événement :

• https://lyon-ia.com/blog/injection-de-prompt-securite
• https://lyon-ia.com/blog/securiser-un-agent-ia

Architecture et intégration SI

• Où s’intègre l’IA : poste, M365, applicatif, middleware, orchestrateur ?
• Comment vous gérez la réversibilité si on change de modèle ou de fournisseur ?
• Quelle est la stratégie de résilience si l’API tombe, si le modèle change, si les coûts explosent ?

Run et exploitation

• Qui est propriétaire du run et quel est le modèle d’escalade incident ?
• Comment vous faites le monitoring qualité (dérive, erreurs, hallucinations, taux d’échec) ?
• Quelles sont vos conditions de rollback ? Et en combien de temps ?

Comment venir préparé (et rentabiliser les 5 heures)

Tu n’as pas besoin d’arriver avec une architecture complète. Tu as besoin d’arriver avec 5 éléments concrets.

• 1 processus en souffrance, avec 2 ou 3 irritants clairs.
• 1 contrainte non négociable (données sensibles, régulation, on-prem, etc.).
• 1 sponsor métier identifié (même s’il n’est pas dans la salle).
• 1 cible 90 jours (pilote, prod restreinte, ou cadrage complet validé).
• 1 question “Make vs Buy” que tu repousses depuis trop longtemps.

Si ton point de blocage est précisément “agents vs automatisation vs data”, la page dédiée aux 12 questions est ta feuille de route : https://lyon-ia.com/blog/cosmoimpulse-ia-event-lyon-17-novembre-12-questions-pour-trancher-agents-automatisation-data

Ce que tu dois pouvoir décider le lendemain matin

Si tu as bien joué le coup, tu repars avec des décisions, pas des intentions :

• Le processus prioritaire et les métriques de réussite.
• Le schéma de gouvernance IA minimal (qui décide quoi, qui signe quoi).
• Les règles data opérationnelles (autorisations, interdits, traces).
• Une architecture cible suffisamment claire pour démarrer un pilote sans dette cachée.
• Une grille Make vs Buy et 3 critères non négociables (sécurité, réversibilité, run).
• Une roadmap 90 jours avec étapes, livrables, responsables.

Le move simple : transforme l’événement en “atelier de décision”

Tu veux industrialiser l’IA en entreprise. Très bien. Alors viens à COSMOimpulse avec un objectif sec : obtenir 3 arbitrages pendant la matinée (périmètre, gouvernance, architecture). Et tu prends des notes en format livrable, pas en format compte-rendu.

Si tu ne devais garder qu’une règle anti bullshit : pas de pilote sans owner run + logs + critères de passage. Tout le reste est négociable. Ça, non.

Pour les infos pratiques et la trame, point de départ ici : https://lyon-ia.com/blog/cosmoimpulse-ia-event-lyon-1711-venir-avec-des-questions-repartir-avec-un-plan