IA en entreprise : sécurité, gouvernance et bonnes pratiques.

Par la rédaction Unexia Lab

La gouvernance de l’IA en entreprise organise les usages autorisés, les accès, les validations et le traitement des incidents. Commence par un inventaire des outils et des tâches, limite les données accessibles et désigne qui contrôle les sorties. Ces choix doivent être adaptés aux risques de chaque usage.

Ces expérimentations peuvent être utiles. Elles peuvent aussi créer des questions concrètes : quelles données sont transmises ? Qui vérifie les réponses ? Quels outils sont autorisés ? Que faire lorsqu’un résultat est faux ou qu’une information confidentielle a été partagée ?

La gouvernance de l’IA consiste à organiser ces usages pour que l’entreprise puisse en tirer des bénéfices tout en maîtrisant les risques. Elle repose sur des choix simples à comprendre : un besoin, un outil adapté, des données protégées, des responsabilités claires et des contrôles proportionnés.

Dans ce guide, tu vas découvrir comment poser ce cadre et accompagner les équipes dans leurs usages professionnels de l’IA.

Un registre d’usage et une décision d’accès

La FAQ de la CNIL sur l’IA générative traite notamment des risques et des choix de déploiement. Source consultée le 13 novembre 2026 ; la grille ci-dessous est une proposition d’organisation interne, pas un audit de conformité.

Décision d’accès fictive : autoriser la préparation d’une synthèse sur une procédure publique ; refuser l’accès à la boîte RH entière. Avant extension, le responsable vérifie la nécessité de chaque source et les réglages effectifs du service. Le refus relève ici du périmètre du pilote, pas d’une conclusion juridique universelle.

À retenir

• Une entreprise doit connaître les outils IA utilisés et les données qui y circulent.
• Les usages n’ont pas tous le même niveau de risque : une reformulation de texte public et une décision RH ne se traitent pas de la même façon.
• La sécurité repose sur des outils adaptés, des accès limités et des règles connues.
• Les collaborateurs doivent savoir vérifier les résultats et signaler les problèmes.
• Une charte et une formation sont utiles lorsqu’elles correspondent aux situations réelles de l’entreprise.

Sommaire

1. Un registre d’usage et une décision d’accès
2. Pourquoi la gouvernance de l’IA concerne-t-elle toutes les entreprises ?
3. Première étape : savoir quels outils sont utilisés
4. Deuxième étape : classer les usages selon leurs conséquences
5. Troisième étape : protéger les données
6. Quatrième étape : définir qui est responsable
7. Cinquième étape : rédiger une charte d’utilisation
8. Sixième étape : former les équipes
9. Comment lancer un premier projet IA en entreprise ?
10. Questions fréquentes
11. Ressources liées
12. Poursuivre avec les ressources du Lab

Pourquoi la gouvernance de l’IA concerne-t-elle toutes les entreprises ?

Les outils d’IA sont accessibles dans des services grand public et intégrés à de nombreux logiciels professionnels. Une entreprise peut donc être concernée même si elle n’a pas développé son propre système.

Un salarié peut utiliser un assistant pour préparer une réponse commerciale. Un manager peut demander une synthèse de réunion. Une équipe peut tester un outil capable de classer des demandes.

Sans cadre, plusieurs problèmes peuvent apparaître :

• des documents confidentiels sont transmis à un service non autorisé ;
• des réponses incorrectes sont réutilisées sans vérification ;
• des outils différents produisent des pratiques incohérentes ;
• une automatisation modifie des données sans procédure de correction ;
• personne ne sait qui contacter en cas d’incident.

La gouvernance sert à rendre les usages compréhensibles et maîtrisables. Elle ne demande pas nécessairement une organisation complexe dès le premier jour.

La CNIL recommande de partir de besoins concrets, d’identifier les risques et de définir les usages autorisés ou interdits. Lire les recommandations de la CNIL sur le déploiement d’une IA générative.

Première étape : savoir quels outils sont utilisés

Avant de rédiger des règles, observe les pratiques existantes.

Une cartographie simple peut comporter :

Question: Quel outil est utilisé ? — Exemple de réponse à documenter: Assistant de rédaction intégré à une suite professionnelle

Question: Pour quelle tâche ? — Exemple de réponse à documenter: Préparer des brouillons d’emails

Question: Quelles données sont transmises ? — Exemple de réponse à documenter: Informations publiques et modèles internes autorisés

Question: Qui utilise l’outil ? — Exemple de réponse à documenter: Équipe communication

Question: Qui vérifie le résultat ? — Exemple de réponse à documenter: Responsable du contenu

Question: Quelle action suit ? — Exemple de réponse à documenter: Création d’un brouillon pour relecture

Cette cartographie peut révéler des usages utiles qui méritent d’être accompagnés, mais aussi des outils personnels employés sans cadre clair.

Exemple concret — illustration fictive

Une PME découvre que trois équipes utilisent trois assistants différents pour préparer des documents. L’une d’elles copie parfois des notes de réunion contenant des noms de clients dans un compte personnel.

L’entreprise peut alors examiner les outils, les types de données et les besoins de chaque équipe. Elle peut proposer des solutions approuvées et expliquer comment travailler avec des exemples fictifs ou des documents autorisés.

Deuxième étape : classer les usages selon leurs conséquences

Tous les usages ne nécessitent pas le même niveau d’examen.

Une proposition de catégories peut aider :

Usage courant à faible impact

Exemples : reformuler un texte public, préparer une liste d’idées ou organiser un plan.

Même ici, le résultat doit être relu avant diffusion.

Usage nécessitant un cadre spécifique

Exemples : synthétiser une documentation interne, analyser des données commerciales ou préparer des réponses aux clients.

Il faut examiner les données utilisées, l’outil, les accès et la validation.

Usage sensible

Exemples : un système qui influence la sélection de candidats, l’évaluation de personnes ou une décision ayant des conséquences importantes.

Ces usages peuvent nécessiter une analyse juridique, technique et organisationnelle approfondie. Certains systèmes utilisés dans le recrutement peuvent relever des systèmes à haut risque au sens de l’AI Act selon leur finalité. Voir les exemples de la Commission européenne concernant l’emploi.

Cette classification est un outil de travail. Elle ne remplace pas l’analyse des obligations applicables à chaque cas.

Troisième étape : protéger les données

Avant d’utiliser une IA avec des informations professionnelles, détermine :

• leur nature ;
• leur sensibilité ;
• les personnes qui peuvent y accéder ;
• leur durée de conservation ;
• les services qui les reçoivent ;
• les droits des personnes concernées ;
• les règles contractuelles applicables.

Un CV, un dossier client, un compte rendu stratégique et un texte public ne se traitent pas de la même manière.

Exemple : résumer une réunion

Une équipe souhaite résumer des notes de réunion. Si les notes contiennent des noms de clients, des prix non publics ou des informations RH, elle doit vérifier le cadre d’utilisation avant de les transmettre à un outil.

Pour un premier test, elle peut utiliser un exemple fictif. Si un usage avec des données réelles est envisagé, il faut examiner l’outil, les paramètres et les protections nécessaires.

La CNIL rappelle que les traitements de données personnelles liés à l’IA restent soumis au RGPD. Consulter les repères de la CNIL pour les professionnels.

Quatrième étape : définir qui est responsable

Un outil peut produire une recommandation, mais une organisation doit savoir qui décide de son utilisation et qui valide le résultat.

Selon le projet, plusieurs rôles peuvent intervenir :

• L’équipe métier définit le besoin et vérifie que le résultat est utile.
• La direction fixe les priorités et les responsabilités.
• L’informatique et la sécurité examinent les accès et les risques techniques.
• La personne chargée de la protection des données intervient lorsque des données personnelles sont traitées.
• Les responsables de contenu ou de processus valident les résultats avant leur utilisation.

Dans une petite structure, une personne peut remplir plusieurs rôles. L’essentiel est que les responsabilités soient connues.

Une validation humaine doit être réelle

Demander à une personne de cliquer sur « valider » ne suffit pas si elle ne dispose ni du temps ni des informations nécessaires pour examiner le résultat.

Une supervision utile suppose que la personne puisse :

• comprendre ce qui a été produit ;
• consulter les sources ou données pertinentes ;
• remettre en question une recommandation ;
• refuser ou corriger le résultat ;
• signaler une erreur récurrente.

Cinquième étape : rédiger une charte d’utilisation

Une charte IA donne aux collaborateurs des règles concrètes. Elle peut préciser :

• les outils autorisés ;
• les données interdites ou soumises à validation ;
• les usages acceptés ;
• les vérifications attendues ;
• les actions qui exigent une intervention humaine ;
• les personnes à contacter en cas de doute ;
• la procédure de signalement d’un incident.

Une charte ne doit pas rester un document théorique. Elle doit être présentée avec des exemples proches des métiers de l’entreprise et mise à jour lorsque les outils ou les pratiques changent.

Ressource associée : « Créer une charte IA en entreprise : modèle, règles et méthode » — article ci-dessous.

Sixième étape : former les équipes

Une formation à l’IA ne se limite pas à apprendre à rédiger des prompts. Les collaborateurs doivent aussi comprendre :

• les capacités et limites des outils ;
• les erreurs possibles ;
• les règles de protection des données ;
• la manière de vérifier une réponse ;
• les usages autorisés dans leur métier ;
• les situations où ils doivent demander de l’aide.

L’article 4 de l’AI Act prévoit que les fournisseurs et déployeurs prennent des mesures pour soutenir la maîtrise de l’IA des personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances et du contexte d’utilisation. Lire l’article 4 de l’AI Act.

Une équipe RH, une équipe marketing et une équipe technique n’ont pas nécessairement besoin des mêmes exemples ni du même niveau de formation.

Pour étudier un parcours adapté à tes équipes, contacte Unexia et précise le besoin de ton entreprise. Ce contact ne vaut ni avis juridique ni accord de financement.

Comment lancer un premier projet IA en entreprise ?

1. Choisir un besoin

Par exemple : réduire le temps nécessaire à la préparation d’une synthèse de documents publics.

2. Définir le résultat attendu

Décide ce qui sera produit, qui le vérifiera et comment l’équipe saura si le résultat est exploitable.

3. Examiner les données et l’outil

Vérifie les documents utilisés, les accès et les conditions du service. Commence avec des données non sensibles.

4. Tester plusieurs situations

Inclue des cas simples, incomplets et ambigus. Observe les erreurs et la manière dont elles sont corrigées.

5. Décider de la suite

Si le test apporte une valeur réelle et que les risques sont maîtrisés, formalise les règles avant d’élargir l’usage.

L’ANSSI publie des recommandations de sécurité pour accompagner la conception et le déploiement de systèmes d’IA générative. Consulter le guide de l’ANSSI.

Questions fréquentes

Une petite entreprise a-t-elle besoin de règles IA ?

Oui, même des règles simples peuvent aider à protéger les données et à clarifier les usages autorisés.

Faut-il interdire tous les outils grand public ?

La décision dépend des usages, des données et des garanties disponibles. L’entreprise doit examiner les risques et expliquer les règles retenues.

Une charte suffit-elle à sécuriser l’IA ?

Non. Elle doit être accompagnée de choix d’outils adaptés, de contrôles, de responsabilités et d’une formation compréhensible.

Qui doit valider un contenu produit avec l’IA ?

L’entreprise doit désigner une personne responsable selon le type de contenu et son usage. Un texte diffusé à des clients ne devrait pas être traité comme une simple note de travail interne.

À quelle fréquence revoir les règles ?

Prévois une revue régulière et une mise à jour lorsqu’un outil, un usage, une obligation ou un incident important change la situation.

Ressources liées

• AI Act et entreprise : ce que les professionnels doivent savoir
• Créer une charte IA en entreprise

👉 Découvrir les formations IA en entreprise d’Unexia.

Poursuivre avec les ressources du Lab

• AI Act et entreprise : ce que les professionnels doivent savoir
• Créer une charte IA en entreprise : modèle, règles et méthode
• Créer un agent IA connecté à ses emails et documents