Gouvernance de l’IA en entreprise : cadrer les usages et se préparer à l’AI Act

Dans la plupart des entreprises, l’IA générative est déjà utilisée, souvent sans cadre : des collaborateurs collent des extraits de contrats dans un outil grand public, un service déploie un chatbot, un autre teste un agent. La gouvernance de l’IA en entreprise consiste à rendre ces usages visibles, à fixer des règles claires et à attribuer des responsabilités, sans freiner ce qui fonctionne.

Le règlement européen sur l’intelligence artificielle, dit AI Act (règlement (UE) 2024/1689), ajoute une dimension réglementaire. Pour comprendre en détail le texte, son calendrier et les obligations par catégorie d’acteur, consultez notre article AI Act : obligations des entreprises et calendrier. Cette page décrit comment nous vous aidons à traduire ces exigences en organisation concrète.

Pourquoi structurer la gouvernance de l’IA maintenant

• Confidentialité : sans règle, des données clients, RH ou stratégiques finissent dans des outils dont personne n’a vérifié les conditions.
• Qualité : un contenu généré non relu peut engager l’entreprise.
• Réglementation : certaines obligations de l’AI Act s’appliquent déjà, d’autres arrivent, et le RGPD s’applique depuis toujours aux données personnelles traitées par l’IA.
• Passage à l’échelle : une gouvernance claire permet d’autoriser plus d’usages, plus vite, parce que l’on sait les évaluer.

L’AI Act en quelques repères

À la date de publication de cette page (octobre 2026), voici les éléments que nous avons vérifiés sur les sources officielles. Ils sont susceptibles d’évoluer : référez-vous toujours aux textes cités.

Une approche par niveaux de risque

Le règlement classe les systèmes d’IA en quatre niveaux, comme le résume la CNIL :

Niveau	Principe	Exemples d’effets pour une entreprise
Risque inacceptable	Pratiques interdites	Vérifier qu’aucun usage n’entre dans la liste des pratiques interdites
Haut risque	Exigences renforcées (annexes I et III)	Usages sensibles, par exemple dans le recrutement : supervision humaine, respect des instructions du fournisseur, traçabilité
Risque de transparence	Obligations d’information	Informer les personnes qu’elles échangent avec un chatbot, signaler certains contenus générés
Risque minimal	Pas d’obligation spécifique	La majorité des usages courants

Les modèles d’IA à usage général relèvent d’un régime distinct, qui concerne surtout leurs fournisseurs.

Fournisseur ou déployeur

Une entreprise qui utilise un système d’IA dans le cadre de son activité est, en règle générale, un déployeur. Si elle développe un système et le met sur le marché sous son nom, elle peut devenir fournisseur, avec des obligations plus étendues. Qualifier correctement son rôle pour chaque usage est la première étape.

Un calendrier modifié en 2026

Selon la Commission européenne, les interdictions et les dispositions sur la maîtrise de l’IA s’appliquent depuis le 2 février 2025, et les obligations relatives aux modèles d’IA à usage général depuis le 2 août 2025. Un texte de simplification, l’« omnibus » sur l’IA proposé par la Commission en novembre 2025, est entré en vigueur le 27 juillet 2026 selon la Commission. Il fixe l’application des règles sur les systèmes à haut risque au 2 décembre 2027 pour les domaines de l’annexe III et au 2 août 2028 pour l’IA intégrée à des produits réglementés (annexe I). La Commission indique que les règles de transparence s’appliquent à partir d’août 2026, certaines modalités ayant été ajustées par l’omnibus.

Ces dates ont changé au cours de 2026 et peuvent encore être précisées. Avant toute décision, vérifiez le texte consolidé du règlement sur EUR-Lex et les publications de la Commission.

Le RGPD reste pleinement applicable

La CNIL rappelle que le règlement sur l’IA ne remplace pas les exigences du RGPD : dès qu’un usage d’IA traite des données personnelles, base légale, information des personnes, minimisation, durée de conservation et analyse d’impact le cas échéant restent à traiter. Les deux démarches gagnent à être menées ensemble.

Ce que nous mettons en place

Inventaire et registre des usages

Nous recensons les usages existants, y compris ceux qui n’ont jamais été déclarés : outils grand public, fonctionnalités IA intégrées à vos logiciels, développements internes. Chaque usage est décrit dans un registre : finalité, outil et fournisseur, données traitées, utilisateurs, responsable, rôle au sens de l’AI Act, niveau de risque, mesures en place. Ce registre complète votre registre des traitements RGPD sans le dupliquer.

Classification des risques

Pour chaque usage, nous qualifions le niveau de risque au sens du règlement et les risques propres à l’entreprise : confidentialité, erreur, dépendance à un fournisseur, coût. Les usages susceptibles de relever du haut risque sont signalés pour une analyse juridique approfondie, que nous menons avec votre conseil ou votre DPO.

Charte IA

Une charte courte et opérationnelle : outils autorisés et interdits, données qui ne doivent jamais être saisies, relecture humaine attendue, transparence vis-à-vis des clients, signalement des incidents. Elle est rédigée avec les métiers pour être appliquée, pas seulement signée.

Rôles et responsabilités

Qui valide un nouvel usage ? Qui tient le registre ? Qui décide en cas d’incident ? Nous définissons une organisation proportionnée à votre taille : dans une PME, quelques rôles clairs suffisent souvent (un référent IA, le DPO, la direction des systèmes d’information, un sponsor de direction).

Maîtrise de l’IA et sensibilisation

Nous concevons des sessions adaptées aux profils (dirigeants, utilisateurs, équipes techniques) sur les usages autorisés, les limites des modèles, la confidentialité et la vérification des résultats. Elles contribuent à la maîtrise de l’IA visée par l’article 4 du règlement.

Traçabilité technique

La gouvernance doit pouvoir s’appuyer sur des preuves : journalisation des usages, versionnage des modèles et des prompts, évaluations, contrôles d’accès. C’est le lien avec notre démarche de mise en production LLMOps et avec la sécurité et gouvernance cloud de vos environnements.

Livrables

• Registre des usages de l’IA, avec classification des risques et rôles AI Act.
• Charte IA et procédure de validation des nouveaux usages.
• Matrice des rôles et responsabilités.
• Plan d’action priorisé, daté au regard du calendrier en vigueur.
• Supports de sensibilisation par profil.
• Exigences techniques de traçabilité pour les projets IA.

Pour les organisations qui souhaitent aller plus loin, la norme ISO/IEC 42001 propose un cadre de système de management de l’IA ; nos livrables peuvent en constituer une base, sans préjuger d’une certification.

Pièges à éviter

• Interdire sans alternative : les usages se déplacent vers des outils encore moins maîtrisés.
• Une charte de trente pages : personne ne la lit.
• Traiter l’AI Act sans le RGPD, ou l’inverse.
• Se fier à des calendriers non sourcés : beaucoup de contenus en ligne n’ont pas intégré les modifications de 2026.
• Une gouvernance purement documentaire : sans traces techniques, impossible de démontrer ce qui est fait.

Comment nous travaillons avec vos équipes

Nous travaillons avec votre direction, votre DPO, votre DSI et les métiers concernés, depuis Villeneuve-d’Ascq dans la métropole lilloise ou à distance. Nous n’apportons pas de conseil juridique : nous structurons l’organisation, les outils et les preuves, et nous travaillons avec votre conseil pour les qualifications juridiques. L’objectif est que votre gouvernance de l’IA vive sans nous : registre tenu, charte appliquée, nouveaux usages évalués selon une procédure connue.

[ VOS QUESTIONS ]

Questions fréquentes

Qu’est-ce que la gouvernance de l’IA en entreprise ?

C’est l’ensemble des règles, rôles et outils qui encadrent l’usage de l’IA : quels outils sont autorisés, pour quels usages, avec quelles données, sous quelle responsabilité et avec quels contrôles. Elle permet d’utiliser l’IA plus largement, parce que les risques sont identifiés et suivis.

L’AI Act concerne-t-il une PME qui utilise seulement ChatGPT ou Copilot ?

Oui, dans une certaine mesure. Une entreprise qui utilise un système d’IA dans son activité est en principe un déployeur au sens du règlement, et certaines obligations, comme la maîtrise de l’IA par le personnel, s’appliquent quelle que soit la taille. Les obligations les plus lourdes concernent les systèmes à haut risque, par exemple dans le recrutement.

La formation à l’IA est-elle obligatoire avec l’AI Act ?

L’article 4 du règlement porte sur la maîtrise de l’IA par les personnes qui utilisent ou exploitent des systèmes d’IA pour le compte de l’entreprise. Selon la Commission européenne, ces dispositions s’appliquent depuis le 2 février 2025. Le texte ayant été modifié en 2026, vérifiez sa version consolidée sur EUR-Lex et consultez notre article dédié.

Faut-il une charte IA en entreprise ?

Le règlement n’impose pas de charte en tant que telle, mais c’est l’outil le plus simple pour fixer les règles d’usage, sensibiliser les équipes et documenter vos choix. Elle doit rester courte, concrète et accompagnée d’un registre des usages.

Quel lien entre l’AI Act et le RGPD ?

Les deux textes s’additionnent. La CNIL rappelle que le règlement sur l’IA ne remplace pas les exigences du RGPD, qui continue de s’appliquer dès qu’un système d’IA traite des données personnelles, lors de son développement comme de son utilisation.