Gouvernance IA : qui décide quoi, et comment on l'écrit

En une phrase. La gouvernance de l'IA, c'est le fait de décider qui a le droit de faire quoi avec quels outils, sur quelles données, avec quelle vérification, et de l'écrire quelque part. Pas un comité de plus. Quatre décisions et trois documents.

Le point de départ, mesuré

L'Observatoire de l'IA responsable 2026, réalisé par ViaVoice pour Impact AI avec KPMG France et Bouygues auprès de mille salariés du privé représentatifs du 17 au 26 février 2026, donne deux chiffres qui se répondent.

• 42 % des salariés jugent la mise en place de l'IA responsable dans leur entreprise inexistante ou très faible.
• 10 % signalent l'existence d'une charte ou d'un comité éthique IA.

Dans le même relevé, 47 % des salariés utilisent l'IA générative au travail. Une organisation sur deux a l'usage, une sur dix a les règles.

Les quatre décisions, et elles sont toutes politiques

Aucune des quatre ne se tranche avec un outil. Elles se tranchent en comité de direction, en dix minutes chacune, à condition d'avoir la liste des usages réels sous les yeux.

Un, quelles données peuvent sortir. La question n'est pas « quel outil autorise-t-on » mais « quelles catégories d'information ont le droit de passer dans un système que nous n'hébergeons pas ». Les contrats clients, les données de salariés, les éléments financiers non publiés, les secrets de fabrication. Une fois cette liste posée, le choix des outils en découle au lieu de le précéder.

Deux, qui vérifie la sortie. Un texte produit par une machine et envoyé sans relecture engage l'entreprise exactement comme un texte écrit à la main. La décision consiste à dire, par type de document, qui relit et signe. Un devis, une réponse client, une note juridique n'appellent pas la même exigence.

Trois, ce qu'on dit aux personnes. Vos clients, vos candidats, vos salariés ont le droit de savoir quand un système d'IA intervient dans ce qui les concerne. Cette obligation vient du RGPD et, pour les systèmes visés, de l'article 50 du règlement européen sur l'IA, dont l'application générale est fixée au 2 août 2026. Le détail figure dans notre article sur ce que l'IA Act impose vraiment à une PME.

Quatre, qui tranche en cas de doute. Une seule personne nommée, joignable, qui dit oui ou non quand un cas nouveau se présente. Sans ce nom, chacun tranche dans son coin et les règles écrites deviennent décoratives.

Le comité IA, et quand il ne sert à rien

Dans une entreprise de moins de cent personnes, un comité IA formel produit surtout des réunions. Les quatre décisions se prennent en codir, et le quatrième point désigne une personne, pas une instance.

Le comité devient utile au-delà, quand plusieurs directions ont des usages qui s'ignorent et que les arbitrages deviennent des arbitrages entre services. Trois personnes suffisent alors : quelqu'un qui connaît les métiers, quelqu'un qui connaît le système d'information, quelqu'un qui porte le juridique ou la conformité. Une heure par trimestre, avec un ordre du jour qui part des cas réels remontés depuis la dernière séance.

Un comité qui se réunit sans cas remontés est un comité qui n'a pas d'inventaire.

Les trois documents qui suffisent

Le registre des usages. Une ligne par usage : quel outil, quel service, quelles données, quelle finalité, qui vérifie la sortie. Il tient dans un tableur. Il répond à l'essentiel des questions en cas de contrôle, et il sert surtout à voir ce qui se passe réellement. Sa constitution passe par l'inventaire décrit dans notre article sur le shadow IA.

La charte d'usage. Ce qui est autorisé, sur quelles catégories de données, avec quelle relecture. Deux pages suffisent. Au-delà, personne ne la lit. Le générateur de charte IA produit ce document à partir de tes outils et de ton cadre social, et il se corrige ensuite avec le registre.

La trace de la montée en compétence. Les sessions tenues, leur contenu, les participants, les dates. Elle sert au titre du règlement européen, et elle sert surtout à ce que la charte soit appliquée par des gens qui en comprennent la raison. Une charte diffusée sans formation obtient le résultat qu'on imagine.

Ce qui fait échouer une gouvernance IA

Écrire les règles avant d'avoir regardé. Une charte rédigée depuis la direction interdit des usages qui n'existent pas et autorise ceux que personne n'a vus. L'ordre qui fonctionne tient en trois temps : inventorier, trancher, écrire.

Confondre gouvernance et interdiction. Une politique qui ne dit que des non pousse les usages hors du champ de vision. L'entreprise troque un risque observable contre un risque invisible.

Ne nommer personne. C'est la cause d'échec la plus fréquente et la moins coûteuse à corriger. Un document sans responsable désigné cesse d'être appliqué au premier cas qu'il n'avait pas prévu.

Oublier le volet données personnelles. La gouvernance IA et la conformité au RGPD se recouvrent largement, et les obligations du RGPD, elles, s'appliquent depuis 2018 sans échéance à venir. Le périmètre exact est détaillé dans notre article sur ce que les recommandations de la CNIL couvrent.

Par où commencer cette semaine

L'ordre dans lequel ces chantiers s'enchaînent relève de la feuille de route IA, et la matière à y mettre vient de la liste des cas d'usage.

Si tu n'as rien aujourd'hui, l'ordre utile tient en quatre gestes : lister les usages réels, poser les quatre décisions en codir, nommer la personne qui tranche, rédiger les deux pages de charte. Compte une semaine, pas un trimestre.

Si ces quatre gestes demandent un regard extérieur, parce que les équipes parleront plus librement à quelqu'un qui ne note pas leur entretien annuel, ou parce que la hiérarchisation des usages suppose de connaître ce qui marche ailleurs, c'est le périmètre de l'audit IA.

Le document lui-même. Ce qu'il faut mettre dans une charte IA d'entreprise, et le cadre de confiance qui la rend tenable auprès des équipes.