Gouvernance de l'IA : qui décide quoi dans une entreprise de cinquante personnes

Dans une entreprise de cinquante personnes, la gouvernance de l'IA en entreprise commence en général par une réunion où quelqu'un demande combien d'outils d'IA sont utilisés dans la maison. Personne ne sait répondre. On fait le tour des équipes, on découvre onze abonnements, dont quatre payés sur des cartes bancaires personnelles, et deux qui traitent des données clients. La gouvernance IA entreprise démarre presque toujours par ce constat.

La réaction naturelle est de tout interdire le temps de faire le point, puis de monter un comité. Six mois plus tard, le comité s'est réuni deux fois, les onze outils sont devenus quinze, et rien n'est décidé.

La gouvernance IA entreprise à cette échelle ne ressemble pas à celle d'un grand groupe. Il n'y a ni direction des systèmes d'information, ni comité d'éthique, ni responsable de la conformité à temps plein. Ce qu'il faut, c'est un dispositif tenant sur trois pages, avec des décisions attribuées nominativement et un rythme de revue que l'on peut réellement respecter. Voici à quoi il ressemble.

Gouvernance IA entreprise : les quatre décisions à trancher

Toute la gouvernance se ramène à quatre questions. Si vous savez qui répond à chacune, vous avez l'essentiel.

1. Qui autorise un nouvel outil ? Un collaborateur veut utiliser un service d'IA pour son travail. À qui demande-t-il, sur la base de quoi, et en combien de temps a-t-il une réponse ?
2. Qui arbitre un usage sensible ? Un cas d'usage touche des données personnelles, une décision affectant une personne, ou un contenu diffusé à l'extérieur. Qui décide qu'on y va, et sous quelles conditions ?
3. Qui porte la responsabilité d'un usage en production ? Une fois l'outil en service, qui répond quand il produit un résultat faux ?
4. Qui revoit l'ensemble, et quand ? Les outils changent, les usages dérivent, les contrats évoluent. Sans date dans l'agenda, la revue n'a jamais lieu.

Remarquez ce qui n'y figure pas : la stratégie IA de l'entreprise, la feuille de route, le choix des technologies. Ce sont des sujets de direction, pas de gouvernance. Les confondre est la première cause d'enlisement.

Trois rôles suffisent, et un seul est nouveau

Inutile de créer un comité IA de huit personnes. À cinquante salariés, trois rôles couvrent le besoin, et ils sont tenus par des gens qui existent déjà.

• Le référent IA. Une personne, nommément désignée, qui tient la liste des outils et des usages, instruit les demandes et donne la réponse de premier niveau. Ce n'est pas nécessairement un profil technique : c'est quelqu'un de rigoureux, disponible une demi-journée par semaine, et légitime pour dire non. C'est le seul rôle vraiment nouveau.
• Le décideur. Un membre de la direction, qui tranche les cas que le référent ne peut pas trancher seul (budget significatif, usage sensible, désaccord). Il ne doit pas être saisi plus d'une fois par mois, sinon le premier niveau est mal calibré.
• Le propriétaire d'usage. Pour chaque usage en production, une personne métier responsable du résultat. Pas de l'outil, du résultat. C'est elle qui répond si les devis générés contiennent une erreur de tarif.

Un quatrième interlocuteur intervient ponctuellement : la personne en charge de la protection des données, interne ou externe, sollicitée pour les usages qui touchent des données personnelles.

Le registre des usages, pièce centrale du dispositif

Toute la validation des usages IA repose sur un document unique : un tableau, tenu par le référent, avec une ligne par usage. Pas par outil, par usage. Le même service peut porter deux usages de sensibilité très différente.

Les colonnes utiles, et rien de plus :

Ce registre a une vertu inattendue : il rend visible le shadow AI, ces usages qui existent sans que personne ne les ait autorisés. L'expérience montre qu'on en découvre davantage en demandant « qu'utilisez-vous pour aller plus vite ? » qu'en auditant les dépenses.

Trois niveaux d'usage, pour ne pas tout arbitrer

Le principal risque d'une gouvernance naissante est de traiter toutes les demandes de la même façon. Résultat : le référent croule sous les validations et devient un goulot d'étranglement. La solution consiste à classer les usages en trois niveaux, avec une règle de décision différente pour chacun.

Niveau 1, usage libre. Aucune donnée d'entreprise sensible, résultat toujours relu par la personne qui l'a produit, pas de diffusion automatique. Reformuler un courriel, résumer un compte rendu de réunion interne, chercher une idée de titre. Aucune validation nécessaire, la charte suffit.

Niveau 2, usage encadré. Données d'entreprise non publiques, ou production diffusée à l'extérieur, mais sans effet direct sur une personne. Génération de contenus commerciaux, analyse de documents internes, assistance au code. Validation par le référent, inscription au registre, propriétaire désigné.

Niveau 3, usage soumis à arbitrage. Données personnelles en volume, données de santé, décision affectant une personne (tri de candidatures, évaluation, accès à un service), ou automatisation sans relecture humaine. Arbitrage du décideur, avis de la personne chargée des données, conditions écrites.

Cette échelle a un effet mécanique : elle fait passer 70 à 80 % des demandes en niveau 1, sans discussion. Le référent se concentre sur le reste.

La procédure d'entrée d'un nouvel outil

Une page, sept questions, une réponse sous cinq jours ouvrés. C'est le format qui fonctionne, parce qu'il est plus rapide que de contourner la règle.

1. Quel travail cet outil doit-il accélérer, et combien de temps y consacre-t-on aujourd'hui ?
2. Quelles données lui seront transmises ?
3. Le fournisseur utilise-t-il ces données pour entraîner ses modèles, et où sont-elles hébergées ?
4. Qui relit le résultat, avant quel usage ?
5. Que se passe-t-il si le résultat est faux ?
6. Combien cela coûte-t-il par mois, et sur quel budget ?
7. Existe-t-il déjà un outil dans la maison qui fait la même chose ?

La question sept économise plus d'argent que toutes les autres. Dans la plupart des entreprises qui font ce travail, deux à quatre abonnements font doublon.

Les questions deux et trois renvoient au contrat du fournisseur, dont nous avons détaillé la lecture dans notre article sur les clauses à relire dans un contrat d'IA. La question cinq est celle qui distingue un usage anodin d'un usage à encadrer.

Le rythme : trimestriel, pas mensuel

Un comité mensuel dans une entreprise de cinquante personnes ne tient pas six mois. Le rythme réaliste :

• En continu : le référent instruit les demandes au fil de l'eau, sous cinq jours.
• Une fois par trimestre : une réunion d'une heure, avec un ordre du jour fixe. Revue du registre, usages abandonnés à retirer, incidents survenus, dépenses cumulées, décisions de niveau 3 à prendre.
• Une fois par an : revue des contrats et de la charte, à l'occasion des renouvellements d'abonnement.

Une heure par trimestre paraît dérisoire. C'est suffisant si le registre est tenu entre deux réunions, et c'est le seul rythme qui survit à une année chargée.

Ce que le cadre réglementaire ajoute

Le règlement européen sur l'intelligence artificielle raisonne par niveau de risque et impose des obligations proportionnées. Pour une entreprise qui utilise des systèmes d'IA sans les développer, deux points structurent le travail de gouvernance.

D'abord la compétence des personnes qui utilisent ces systèmes : savoir ce qu'un outil sait faire, ce qu'il ne sait pas faire, et comment interpréter ses résultats. Cela relève de la formation, pas du juridique.

Ensuite l'identification des usages qui relèvent de catégories particulières, notamment ceux qui touchent au recrutement, à la gestion des personnes ou à l'accès à des services. Ce sont précisément les usages de niveau 3 de l'échelle ci-dessus : la classification par sensibilité rend le travail de conformité beaucoup plus simple, parce qu'elle a déjà isolé les cas concernés.

Deux briques complètent utilement le dispositif : une charte d'usage de l'IA, qui dit aux collaborateurs ce qu'ils peuvent faire sans demander, et un principe de traçabilité des décisions assistées par IA, qui permet d'expliquer après coup pourquoi un résultat a été retenu. La charte s'adresse aux salariés, la gouvernance à la direction : ce sont deux documents distincts, et confondre les deux les rend illisibles.

Un calendrier de mise en place sur trois mois

Le pilotage projets intelligence artificielle ne se met pas en place en une réunion. Un séquencement qui fonctionne :

• Semaines 1 et 2. Inventaire. Le référent fait le tour des équipes et remplit le registre avec l'existant, sans jugement. L'amnistie annoncée est ce qui rend l'inventaire honnête.
• Semaines 3 et 4. Classification. Chaque usage recensé reçoit un niveau et un propriétaire. Les cas de niveau 3 sont listés pour arbitrage.
• Semaines 5 à 8. Écriture. La charte, la procédure d'entrée en une page, et la désignation formelle des rôles. Communication à toute l'entreprise.
• Semaines 9 à 12. Mise en route. Les nouvelles demandes passent par la procédure, les doublons sont résiliés, la première revue trimestrielle est calée dans l'agenda.

Une gouvernance IA entreprise réussie se reconnaît à deux signes : les collaborateurs demandent avant d'utiliser, parce que la réponse arrive vite, et la direction sait à tout moment quels usages tournent sur quelles données. Rien de plus, et surtout rien de plus lourd. À cette échelle, un dispositif qu'on applique vaut infiniment mieux qu'un dispositif complet qu'on abandonne au deuxième trimestre.