Gouvernance de l’IA en entreprise : inventaire, charte d’utilisation et validation humaine

Prenons une équipe qui prépare une proposition commerciale. Une personne traduit les caractéristiques du produit, une autre vérifie le tableau de prix, une troisième crée un visuel. Chacune peut avoir utilisé un compte d’IA différent. Avant d’envoyer la proposition, il faut savoir quelles informations ont été transmises et qui a vérifié le résultat.

La gouvernance de l’IA en entreprise commence par ces décisions. Un inventaire des outils, une charte courte et une validation avant envoi permettent d’organiser le travail. Les obligations de l’AI Act dépendent ensuite de l’usage du système et du rôle de l’entreprise.

Cinq difficultés à repérer dans votre équipe

Vérifiez que chaque usage de l’IA a un responsable, des données autorisées et une étape de validation. Une autorisation doit être réexaminée lorsque l’outil change de fonction ou commence à traiter d’autres informations.

Dans son analyse des difficultés de gouvernance de l’IA, Cohere distingue cinq problèmes d’organisation. Vous pouvez les aborder avec ces questions :

Incluez les fonctions d’IA ajoutées à la messagerie, aux visioconférences ou au logiciel de gestion. L’examen réalisé lors de l’achat ne couvre pas nécessairement une fonction apparue depuis.

Ce que l’AI Act exige pour les usages courants

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, avec des devoirs différents pour les fournisseurs et les entreprises utilisatrices. Les dispositions relatives à la maîtrise de l’IA s’appliquaient déjà depuis le 2 février 2025.

Le règlement européen sur l’IA appelle déployeur l’organisme qui utilise un système sous sa propre autorité dans un cadre professionnel. Une entreprise qui développe ou fait développer un système et le met en service sous son nom peut avoir le rôle de fournisseur. Le nombre de salariés ne détermine pas ce rôle.

Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a modifié l’article 4. Les fournisseurs et déployeurs doivent prendre des mesures pour soutenir le développement des compétences en IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte, selon leur expérience et le contexte. Ils n’ont pas à garantir un niveau précis pour chaque individu. Prévoyez des consignes sur les données autorisées, les erreurs fréquentes et la vérification des résultats ; conservez les supports et la trace de participation.

Transparence : distinguer les rôles et les usages

L’article 50 distingue les situations suivantes. Ce tableau reprend celles qu’une équipe de bureau peut rencontrer ; les usages spécialisés demandent un examen propre.

Un hypertrucage peut donner une fausse apparence d’authenticité à une personne, un objet, un lieu ou un événement existant. L’obligation du déployeur concernant ces contenus n’impose pas une mention visible sur toute illustration générée. Les œuvres manifestement artistiques ou fictives bénéficient d’une modalité de divulgation adaptée. Une entreprise peut adopter une règle interne plus large pour éviter de tromper son public.

Pour les fournisseurs de systèmes génératifs commercialisés avant le 2 août 2026, la réforme accorde un délai jusqu’au 2 décembre 2026 pour le marquage technique de l’article 50, paragraphe 2. Ce délai ne reporte pas l’ensemble des obligations de transparence.

Deux guides officiels permettent d’approfondir ces points : les lignes directrices de transparence de la Commission européenne et les questions-réponses de la CNIL sur l’utilisation de l’IA générative. La CNIL traite notamment des données personnelles au regard du RGPD, des contrats et des transferts internationaux. L’accord nécessaire dépend du rôle de chaque partie dans le traitement ; un compte payant ne suffit pas à régler ces questions.

L’inventaire : qui utilise quoi, et où vont les données ?

Prévoyez une ligne par combinaison pertinente d’outil, de compte et d’usage. L’inventaire doit indiquer ce qui est autorisé et les informations manquantes avant une éventuelle approbation.

Commencez par un tableur partagé et demandez à chacun d’inclure les outils essayés de sa propre initiative. La première réunion permet de repérer les usages et les questions ouvertes. La vérification des conditions des fournisseurs demande ensuite un travail distinct.

Distinguez le stockage, le traitement et les accès du support lorsque le fournisseur les décrit séparément. Un stockage européen ne répond pas, à lui seul, à toutes ces questions. Le guide de l’IA souveraine pour les entreprises détaille ces différences.

Voici un exemple fictif d’usage autorisé : « Traduction de fiches produit publiques pour l’équipe commerciale ; caractéristiques publiées uniquement ; exclusion des tarifs négociés et des noms de clients ; contrôle des dimensions et conditions par la responsable commerciale. » L’autorisation porte sur cette tâche précise, pas sur tous les usages possibles du service.

Si une condition importante reste inconnue, laissez l’usage en attente ou limitez-le aux informations déjà évaluées. Les mots « gratuit » ou « entreprise » dans le nom d’un abonnement ne permettent pas de déduire la politique d’entraînement du fournisseur.

Une charte d’utilisation de l’IA sur une page

La charte doit préciser les outils utilisables, les données autorisées et la personne qui valide les résultats. Ce modèle ajoute la formation, la transparence et les incidents pour que chacun sache réagir lorsqu’une demande sort du cadre prévu.

Adaptez-le à votre inventaire et renseignez les noms avant validation. Les restrictions proposées sont des règles internes ; elles ne correspondent pas toutes à des obligations générales de l’AI Act.

En France, si les règles adoptées créent des obligations générales et permanentes en matière de discipline, de santé ou de sécurité au travail, les formalités du règlement intérieur s’appliquent, dont l’avis préalable du CSE lorsqu’il existe.

Télécharger le modèle de charte d’utilisation de l’IA (DOCX).

Charte interne d’utilisation de l’IA

Modèle d’organisation à adapter et à valider avant utilisation.

Entreprise : [Entreprise] · Référent et contact : [Nom et canal] Entrée en application : [Date] · Prochaine révision : [Date] Inventaire autorisé : [Lien] · Validation : [Nom et fonction]

1. Outils et usages

Nous utilisons les outils et comptes de l’inventaire pour les seules tâches autorisées. Tout nouvel outil, nouvelle fonction ou changement de données ou de destinataires fait l’objet d’un examen préalable. Nous n’utilisons pas de compte personnel pour les informations internes ou celles des clients.

2. Informations à transmettre

Nous transmettons uniquement les données nécessaires et autorisées pour la tâche. Les mots de passe, clés d’accès et autres secrets d’authentification sont exclus. L’utilisation de données personnelles ou confidentielles nécessite une évaluation et une autorisation propres à l’usage, au compte et aux conditions du fournisseur. Une information publique peut rester soumise à des restrictions.

3. Validation humaine

Avant toute diffusion externe ou utilisation pour une décision importante, la personne désignée vérifie les faits, sources, calculs, informations confidentielles et engagements pris. Si un point important reste invérifiable, elle suspend la transmission et consulte le référent. Les décisions touchant à l’emploi, au crédit, à la santé ou aux droits nécessitent une évaluation spécialisée préalable.

4. Transparence

À titre de règle interne, nous informons les clients lorsqu’ils échangent directement avec une IA et signalons les contenus synthétiques susceptibles d’être pris pour une personne, un produit ou un événement réel. Nous conservons les marquages du fournisseur. La personne qui autorise la publication vérifie aussi les mentions légalement requises pour l’usage concerné.

5. Formation

Nous suivons les consignes et formations adaptées à nos tâches : données autorisées, erreurs courantes, vérification des résultats et signalement des difficultés. Le référent conserve les supports et la trace de participation. Il actualise les consignes quand les usages évoluent.

6. Incidents et changements

En cas de transmission non autorisée ou d’erreur susceptible d’avoir des conséquences, nous suspendons l’usage ou la diffusion concernés et prévenons immédiatement le référent par le canal indiqué. Nous décrivons les faits et les références utiles sans recopier d’informations confidentielles. Le référent coordonne la réponse et révise cette charte après un incident ou un changement important.

Ce modèle organise le travail ; il ne certifie pas la conformité juridique et n’agrée aucun fournisseur.

Testez la charte sur trois tâches habituelles : un courriel à un client, un fichier de données internes et une publication commerciale. Si une personne ne sait pas quel compte utiliser ou qui consulter, précisez la consigne avant de diffuser le document.

Vérifier le résultat et les mentions avant diffusion

La personne chargée de la validation doit pouvoir consulter les sources et suspendre l’envoi. Une correction de style laisse de côté les chiffres, les conditions commerciales et les affirmations qui peuvent engager l’entreprise.

Pour une proposition ou un rapport, vérifiez :

• Les faits et les sources : ouvrez les liens, examinez leur date et vérifiez qu’ils étayent bien l’affirmation. Une référence présentée avec assurance peut être erronée.
• Les calculs : rapprochez montants, unités, taxes et totaux des documents d’origine. Si le travail porte sur un échantillon, conservez cette précision dans le résultat.
• Les engagements et les données : contrôlez les délais, garanties, informations confidentielles et destinataires avant l’envoi.
• La transparence : choisissez les mentions adaptées au contenu et à l’usage. Conservez l’accord de publication avec la version finale.

Pour un visuel produit, vérifiez aussi que les matériaux, accessoires et dimensions représentés correspondent à l’article vendu. Une mention d’IA ne corrige pas une présentation trompeuse du produit.

La règle interne de la charte peut se traduire par « Illustration générée par IA » ou « Vous échangez avec un assistant d’IA ». Placez l’information là où le destinataire la verra au début de l’échange ou lors de l’exposition au contenu. Le marquage technique du fichier et une mention lisible par le public remplissent des fonctions différentes.

Ce qu’un espace de travail commun apporte

L’équipe peut choisir un même service et des critères de validation communs pour appliquer les mêmes consignes de travail. L’entreprise conserve son inventaire et désigne la personne qui autorise les outils, les données et les publications.

Ilisai réunit la recherche avec sources et la création de documents téléchargeables, avec les modèles disponibles dans son catalogue. Chaque personne utilise un compte individuel avec son propre solde de crédits ; consultez les offres et conditions d’utilisation. Évaluez son approche EU-first avec les lieux de traitement effectifs et les conditions du modèle et du fournisseur retenus. Avant d’autoriser des informations confidentielles, vérifiez que l’usage précis respecte votre charte. Commencez par un document sans données sensibles et appliquez la validation que vous venez de définir.

Dans la grande entreprise : répartir les responsabilités et adapter les contrôles

Attribuez chaque usage à un responsable métier et désignez clairement qui peut approuver une évolution importante. Les spécialistes de la sécurité, des données personnelles et du secteur interviennent selon la nature des informations et des décisions.

Trois niveaux internes peuvent faciliter l’organisation. Il s’agit d’une proposition de travail, pas de la classification juridique de l’AI Act :

La direction du service approuve l’objectif et les moyens. Le responsable du processus tient l’inventaire et suit les vérifications ; les équipes informatiques et de sécurité examinent les accès et les conditions techniques ; le référent vie privée ou le DPO, lorsqu’il y a lieu, participe aux décisions sur les données personnelles. Chacun doit savoir qui peut suspendre un usage pendant l’analyse d’un incident.

La réforme de 2026 fixe l’application des sections 1 à 3 du chapitre III, à l’exception de l’article 6, paragraphe 5, au 2 décembre 2027 pour les systèmes à haut risque de l’annexe III et au 2 août 2028 pour ceux de l’article 6, paragraphe 1, et de l’annexe I. Ces dates ne reportent pas les obligations déjà applicables concernant les données, les contrats ou la transparence.

Réexaminez les accès lors d’un changement de poste ou d’un départ. Planifiez aussi une revue régulière de l’inventaire, à avancer si le fournisseur, la fonction, les données ou les destinataires changent. Les cinq phases de maturité en IA permettent de situer ce travail dans l’adoption de l’IA par l’entreprise.

Questions fréquentes

Ces réponses concernent l’utilisation courante d’assistants et l’organisation du travail.

Faut-il prévenir un client qu’un courriel a été rédigé avec l’IA ?

L’article 50 n’impose pas une mention générale sur tout courriel ou devis préparé avec l’aide d’une IA. Il faut examiner la situation précise : interaction directe avec un système, hypertrucage ou publication d’intérêt public, notamment. Le contrat, les règles professionnelles ou d’autres obligations d’information peuvent aussi intervenir ; une signature humaine ne les supprime pas.

La signature d’une charte suffit-elle à établir la conformité ?

Non. Le modèle consigne des décisions internes ; il ne prouve pas que chaque usage respecte ses obligations. Expliquez les règles, adaptez les consignes aux tâches de chacun et vérifiez que l’équipe peut les appliquer avec les outils disponibles.

Un compte personnel sert-il toujours à entraîner les modèles ?

Cela dépend du service, de l’abonnement, des réglages et des conditions. Le problème d’organisation tient à l’emploi d’un compte que l’entreprise n’a pas évalué. Recensez cet usage et examinez les conditions avant d’autoriser des informations professionnelles.

Cet article apporte des repères d’organisation, pas un conseil juridique. Les usages ayant des effets sur les personnes ou soumis à une réglementation sectorielle demandent une évaluation spécifique.