Gouvernance de l'IA

En quatre temps : cartographier les usages réels (outils, données, services), analyser les risques (confidentialité, propriété intellectuelle, conformité, dépendance aux fournisseurs), fixer une politique d'usage avec des outils validés, puis former les équipes et revoir régulièrement les nouveaux usages. Les trois premières étapes demandent six à huit semaines ; le DiagFlashIA permet de commencer en une semaine.

La direction générale, qui arbitre les usages autorisés et en répond. Elle s'appuie sur un référent désigné, par exemple le RSSI, le DPO ou le DSI, et sur les métiers qui utilisent l'IA au quotidien. La politique d'usage fixe ces responsabilités par écrit.

Partez des usages réels relevés dans l'entreprise, puis écrivez les cas d'usage autorisés, les données qui ne doivent jamais sortir, les outils validés et les responsabilités de chacun. Vérifiez vos obligations au titre du règlement européen sur l'IA et du RGPD, faites valider la politique par la direction et accompagnez sa diffusion d'une sensibilisation des équipes.

Les outils autorisés, les données qui ne doivent jamais être confiées à une IA (données personnelles, secrets d'affaires, informations de clients), les usages permis selon les services, la vérification humaine des contenus produits et la personne à contacter en cas de doute. Rédigée en français courant, elle peut être annexée au règlement intérieur après l'avis du comité social et économique (CSE).

Oui. Le règlement vous qualifie alors de « déployeur » : vous devez favoriser la maîtrise de l'IA par votre personnel (article 4), renoncer aux pratiques interdites (article 5) et respecter les obligations de transparence (article 50). Les obligations les plus lourdes visent les fournisseurs et les systèmes à haut risque.

Une interdiction générale pousse souvent vers des usages cachés. Définir les usages autorisés, les données qui ne doivent jamais sortir et proposer des outils validés donne de meilleurs résultats.

L'utilisation d'outils d'IA par les collaborateurs en dehors de tout cadre validé par l'entreprise, souvent avec des comptes personnels et des données internes. Il reste le plus souvent invisible pour la direction.

Nous en évaluons les risques et définissons les règles de sécurité, y compris face aux attaques propres à l'IA comme l'injection de requêtes. La conception technique peut être confiée aux équipes d'intelligence artificielle du groupe NowBrains.