Événement CODIR Data & IA à Lyon (12 novembre) : 7 décisions avant d’industrialiser

Tu as des POC IA qui tournent. Maintenant, il faut décider.

Le sujet n’est plus “est-ce que l’IA marche ?”. Tu as déjà des démos, des notebooks, peut-être un assistant interne qui fait gagner du temps. Le sujet, c’est “est-ce qu’on met ça en production, à quel coût, avec quels risques, et qui en porte la responsabilité ?”.

C’est exactement l’objet de l’afterwork CODIR Data & IA à Lyon, annoncé comme un format d’échanges entre décideurs pour passer de l’expérimentation à l’industrialisation.

Infos pratiques (factuelles) sur l’événement à Lyon

• Date et heure : jeudi 12 novembre 2026 à 17h30 (format afterwork)
• Lieu : 74, rue Gorge de Loup, 69255 Lyon
• Format : afterwork, jauge annoncée 40 participants, inscription obligatoire
• Cible : directeurs et membres de CODIR
• Organisateurs / hôtes : ELLISPHERE et DATASULTING (événement annoncé “chez ELLISPHERE”)

Source : annonce en ligne côté ELLISPHERE.

Pourquoi ce format “CODIR” tombe bien en 2026

Parce que l’adoption avance, mais la bascule en prod reste une marche haute. En France, 18 % des entreprises (10 salariés ou plus, champ Insee) déclaraient utiliser au moins une technologie d’IA en 2025, contre 10 % en 2024. Source Insee. Ça ne dit pas si c’est industrialisé, ni si c’est gouverné.

Et parce qu’en 2026, “industrialiser” veut aussi dire documenter, tracer, sécuriser, cadrer la conformité. L’AI Act est entré en vigueur le 1er août 2024 et est devenu applicable au 2 août 2026 (déploiement progressif). Source Commission européenne. Côté sécurité, l’ANSSI a publié des recommandations pour les systèmes d’IA générative (29/04/2024). Côté données personnelles, la CNIL a publié des recommandations RGPD liées au développement de systèmes d’IA (janvier 2024).

Donc oui, industrialiser IA Lyon, en 2026, c’est un sujet CODIR. Pas un sujet “équipe data”.

Les 7 décisions à prendre avant de passer du POC à l’industrialisation

L’objectif n’est pas d’empiler des actions. C’est de trancher. Voilà les 7 arbitrages que tu veux avoir sur la table avant de dire “go prod”.

1) Build vs buy vs assemblage : où est ta différenciation ?

La question CODIR derrière le débat technique est simple : qu’est-ce qui te rend différent ?

• Build quand la valeur vient de tes données, de ton process, de ton métier, et que tu veux contrôler la roadmap.
• Buy quand tu as besoin d’un résultat vite, standardisable, avec un contrat clair et du support.
• Assemblage (souvent la réalité) quand tu mixes un modèle, une couche d’orchestration, des connecteurs SI et des garde-fous.

Décision à trancher : quelle partie est stratégique (à internaliser) et quelle partie est commodité (à acheter). Si tu ne réponds pas, tu vas “build par accident” ou “buy par panique”.

2) Gouvernance des données : qui est propriétaire, qui est responsable, qui arbitre ?

Tu peux avoir le meilleur modèle, si les données sont bancales tu vas industrialiser du bruit. La gouvernance, ce n’est pas un comité. C’est une chaîne de responsabilités.

• Ownership : chaque domaine de données a un propriétaire métier, pas “la DSI”.
• Qualité : seuils minimaux mesurés (fraîcheur, complétude, doublons, cohérence).
• Accès : qui peut exposer quoi à une IA, et dans quelles conditions.
• Traçabilité : quelles décisions ou contenus ont été assistés par l’IA, et comment tu le prouves.

Mot-clé clair ici : gouvernance IA entreprise = décisions + responsabilités + preuves. Sans ça, la prod se transforme en conflit permanent entre métiers, data, DSI, juridique, sécurité.

3) Modèle économique : quel ROI, sur quel horizon, avec quel mode de financement ?

Le POC se finance en innovation. La prod se finance en run. Si tu ne changes pas de logique, tu vas couper le budget au pire moment.

• Unité de valeur : temps gagné, coût évité, qualité améliorée, risque réduit, revenu additionnel.
• Unité de coût : tokens, infra, licences, intégration, MLOps/LLMOps, sécurité, support, conduite du changement.
• Règle de pilotage : qui paie quoi ? budget central, refacturation aux BU, modèle “plateforme”.

Décision à trancher : comment tu finances l’industrialisation sans la condamner à rester un POC permanent.

4) Critères de sélection des cas d’usage : tu industrialises quoi, et tu t’interdis quoi ?

Industrialiser, c’est choisir. Et renoncer.

• Impact mesurable : un KPI que le métier accepte, pas un “ça a l’air mieux”.
• Données disponibles : accessibles, licites, exploitables, maintenables.
• Intégration SI : entrée et sortie dans les outils réels (CRM, ERP, GED, ITSM…).
• Risque acceptable : erreur tolérable, possibilité de contrôle humain, auditabilité.
• Scalabilité organisationnelle : formation, support, adoption, process mis à jour.

Décision à trancher : ta short-list de 3 cas à mettre en prod, et ta black-list des cas trop risqués ou trop chers à fiabiliser en 2026.

5) Shadow AI : tu l’acceptes, tu la détectes, ou tu la remplaces ?

Le “shadow AI” n’est pas un phénomène moral. C’est un symptôme : des équipes veulent aller vite, et l’entreprise n’a pas fourni un chemin sûr.

• Position CODIR : tolérance zéro sur certains usages (données sensibles), tolérance encadrée sur d’autres.
• Alternative officielle : un outil approuvé, une charte, un support, sinon le shadow AI gagne.
• Détection : visibilité sur les usages (au moins sur les postes et les flux pro).

Décision à trancher : ta doctrine “shadow AI” et le plan de bascule vers des usages autorisés. Pour creuser le sujet côté Lyon IA, tu peux relire : https://lyon-ia.com/blog/shadow-ai-en-entreprise

6) Sécurité : quel niveau de contrôle, quels secrets, quels accès, quelle journalisation ?

Mettre une IA en prod, c’est ouvrir une nouvelle surface d’attaque. Et avec les agents, tu ajoutes la capacité d’agir.

• Données : éviter l’exfiltration, gérer la rétention, limiter l’exposition.
• Identités et accès : qui peut appeler quoi, avec quel scope, et pour combien de temps.
• Secrets : clés API, tokens, connecteurs, rotation, coffre-fort.
• Logs : traces exploitables, audit, alerting, gestion des incidents.

Décision à trancher : ton socle sécurité minimal pour toute IA en prod, et les cas où tu exiges un niveau renforcé (données sensibles, action sur des systèmes critiques).

7) RGPD et AI Act : tu documentes quoi, tu prouves quoi, tu contractualises quoi ?

Le piège classique : “on verra avec le juridique quand ça marche”. En prod, c’est trop tard. Tu dois pouvoir justifier.

• RGPD : base légale, minimisation, information, droits, durées de conservation, sous-traitance, transferts.
• AI Act : selon le cas d’usage, exigences de transparence, gestion du risque, documentation, supervision humaine, qualité des données, traçabilité.
• Contrats fournisseurs : responsabilité, sécurité, usage des données, garanties, réversibilité.

Décision à trancher : ton pack conformité avant prod (registre des usages, DPIA si nécessaire, clauses contractuelles, règles de transparence). Sur la partie conformité à Lyon IA : https://lyon-ia.com/blog/ai-act-documenter-vos-usages-dia-en-entreprise-registre-pret-a-copier-exemple-pme-lyon

Mini-canevas de préparation (1 page) pour arriver avec une décision, repartir avec des actions

Imprime ça. Une page. Pas plus. Si tu viens au format CODIR data IA Lyon avec “on veut industrialiser”, tu repars avec des idées. Si tu viens avec une décision à trancher, tu repars avec un plan.

Bloc A : contexte en 10 lignes (factuel)

• Cas d’usage : …
• Public cible : clients / commerciaux / support / production / fonctions support…
• Statut actuel : POC / pilote / pré-prod, nombre d’utilisateurs, fréquence
• Gains observés : temps, qualité, délai, risque (avec un chiffre, même approximatif)
• Incidents / irritants : fuites potentielles, erreurs, coûts, blocages SI

Bloc B : la décision que tu veux trancher (une seule phrase)

Décision : “Nous décidons de … (industrialiser / arrêter / acheter / internaliser / limiter le périmètre) … d’ici …, avec … comme sponsor.”

Bloc C : options et arbitrage (3 colonnes)

• Option 1 : acheter un outil (SaaS) + intégrations minimales
• Option 2 : assembler (modèle + orchestration + connecteurs) avec socle sécurité
• Option 3 : construire (produit interne) avec équipe dédiée

Pour chaque option, note :

• Time-to-prod (semaines)
• Coût année 1 (ordre de grandeur)
• Risque principal (sécurité, conformité, dépendance fournisseur, adoption)
• Pré-requis bloquants (données, IAM, contrats, infra, compétences)

Bloc D : garde-fous non négociables (check-list rapide)

• Données : classification faite, sources autorisées listées, règles de conservation posées
• Sécurité : IAM, secrets, logs, contrôle des accès, gestion incident
• Conformité : registre d’usage, information des personnes si nécessaire, clauses fournisseur
• Qualité : jeu de tests, critères d’acceptation, plan de monitoring
• Humain : qui valide, qui escalade, qui supporte

Bloc E : plan 30 jours (5 livrables)

• L1 : décision d’option + sponsor + budget (même provisoire)
• L2 : architecture cible et intégrations (schéma simple)
• L3 : politique d’accès et de logs (qui voit quoi, qui fait quoi)
• L4 : protocole d’évaluation (tests, métriques, monitoring)
• L5 : contrat ou cahier des charges prêt (si achat/presta)

Ce que tu veux obtenir à la sortie (et comment le formuler)

Si ton objectif est l’industrialisation, vise une sortie nette :

• Un choix d’option (build, buy, assemblage) et ce que tu assumes comme dépendances.
• Une règle de gouvernance : qui décide des données, des accès, des cas d’usage.
• Un cadrage conformité minimal prêt à auditer.
• Un budget et un owner côté métier, pas seulement côté IT.
• Une shortlist de cas d’usage industrialisables et une blacklist.

Pour préparer ton CODIR, deux lectures internes utiles (sans doublonner)

• Gouvernance : https://lyon-ia.com/blog/gouvernance-ia-entreprise
• Documentation AI Act (registre) : https://lyon-ia.com/blog/ai-act-documenter-vos-usages-dia-en-entreprise-registre-pret-a-copier-exemple-pme-lyon

Ce que tu peux faire dès maintenant (avant le 12 novembre)

• Choisis 1 cas qui a déjà prouvé un gain en POC, même petit.
• Écris ta décision à trancher en une phrase (bloc B du canevas).
• Prépare 3 options avec un ordre de grandeur coût/délai/risque.
• Liste tes non négociables sécurité et conformité (ça évite les débats sans fin).
• Arrive avec une contrainte : budget plafonné, calendrier, dépendance SI, exigence client. Les décisions naissent des contraintes, pas des slides.

Si tu es dans cette phase “POC validé, prod incertaine”, cet afterwork est clairement positionné pour toi. Le bon état d’esprit : venir avec une décision CODIR, pas avec un projet “IA” vague. C’est là que tu passes vraiment de l’expérimentation à l’industrialisation.