Qui doit décider de l'usage de l'IA dans une PME ?

La direction. Elle choisit les outils, fixe les usages permis et interdits, désigne qui pilote et qui contrôle. La CNIL recommande d'analyser les risques et de définir une gouvernance claire avant de déployer une IA générative.

Faut-il un comité pour gouverner l'IA dans une petite entreprise ?

Pas forcément un comité dédié. Un point régulier au comité de direction, un responsable désigné et un registre des outils et des usages suffisent souvent. La CNIL suggère un comité ou un référent éthique pour les usages particulièrement sensibles.

Gouvernance de l'IA : qui décide, quelles règles

Q: Le règlement européen sur l'IA impose-t-il de former les salariés ?

L'article 4, dans sa version consolidée affichée par le service d'assistance de la Commission européenne, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel. Faites préciser ce qui vous concerne par votre conseil.

Gouverner l'IA dans une entreprise, c'est décider qui choisit les outils, quels usages sont permis ou interdits, quels documents chaque outil peut lire, et qui vérifie que tout cela est respecté. Dans une PME (petite et moyenne entreprise), ces décisions reviennent à la direction ; elles tiennent sur deux pages et se revoient au comité de direction.

La Commission nationale de l'informatique et des libertés (CNIL) le formule ainsi dans ses questions-réponses du 18/07/2024 sur l'IA générative : l'organisme qui déploie un tel système doit d'abord analyser les risques et définir une gouvernance claire, en partant de besoins concrets.

Les cinq décisions de la direction

Décision	Question à trancher	Qui la porte
Les outils	Quels assistants sont autorisés, pour qui, sous quel compte ?	Dirigeant
Les usages	Qu'a-t-on le droit de faire, de ne pas faire ?	Dirigeant, avec les responsables
Les documents	Quels documents chaque assistant peut-il lire ?	Direction et responsable de chaque dossier
Le contrôle	Qui vérifie les réponses, à quelle fréquence ?	Responsable désigné
Les incidents	Que fait-on si une réponse est fausse ou si une donnée sort ?	Responsable désigné, puis direction

Le rôle de pilote et la rédaction de la charte sont des sujets à part entière ; ici, l'objet est le cadre de décision.

Ce que recommande la CNIL

Dans ses questions-réponses du 18/07/2024, la CNIL indique notamment :

un pilote : le délégué à la protection des données peut piloter ces enjeux, en lien avec le responsable de la sécurité des systèmes d'information ;
un avis extérieur pour les usages sensibles : un comité ou un référent éthique, extérieur aux équipes opérationnelles, qui donne un avis avant le déploiement ;
des règles écrites : une charte qui définit les usages autorisés et interdits, et qui peut interdire la saisie de données confidentielles ou personnelles selon le mode de déploiement ;
un choix de déploiement réfléchi : sur site, en nuage (avec un contrat de sous-traitance) ou par interface de programmation, chaque mode ne laisse pas la même maîtrise ;
une responsabilité claire sur les données : l'organisme qui relie le système à sa propre base contenant des données personnelles devient responsable du traitement correspondant ;
une formation aux limites de l'outil et aux usages permis ;
une vérification humaine des résultats, en gardant à l'esprit le risque de se fier à la machine par habitude ;
des contrôles réguliers et le recueil de l'avis des utilisateurs.

Ce que dit le règlement européen sur l'IA

L'article 4 du règlement européen sur l'intelligence artificielle porte sur la « maîtrise de l'IA ». Dans la version consolidée au 27/07/2026 affichée par le service d'assistance de la Commission européenne, il demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et par les personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d'utilisation. La page signale que cet article a été modifié par le règlement (UE) 2026/1744. Ce que ce texte implique pour votre entreprise est une question pour votre conseil.

L'organisation type d'une PME

Le dirigeant décide : liste des outils autorisés, règles d'usage, budget.
Un responsable pilote : souvent le directeur administratif, l'assistante de direction ou le référent informatique. Il tient le registre et remonte les problèmes.
Chaque responsable de service désigne les documents que son assistant peut lire, et les tient à jour.
Le comité de direction fait le point chaque trimestre : nouveaux usages demandés, incidents, documents ajoutés ou retirés. Le point s'inscrit à l'ordre du jour : voir préparer un comité de direction.

Le registre des outils et des usages

Un tableau, tenu par le responsable :

Outil	Usage permis	Usage interdit	Documents lus	Qui y a accès	Date de décision
Assistant de direction	Retrouver clauses, décisions, échéances	Interpréter un contrat à la place de l'avocat	Contrats, procès-verbaux, relevés	Membres du comité	À renseigner
Assistant d'équipe	Répondre sur les procédures	Saisir des données de clients	Procédures, fiches techniques	Toute l'équipe	À renseigner

La colonne « Date de décision » renvoie au relevé de décisions du comité qui a tranché.

Le cas particulier de l'assistant de direction

L'assistant qui lit les contrats, les procès-verbaux et les comptes rendus du comité est le plus sensible de l'entreprise. Trois règles :

accès nominatif limité aux membres de la direction ;
séparation : ses documents ne vont ni dans l'assistant de l'équipe, ni dans celui du site ;
citation obligatoire : toute réponse renvoie au document et au passage, que l'on relit avant d'agir.

Les signes qu'il faut revoir la gouvernance

des salariés utilisent des outils que personne n'a autorisés ;
personne ne sait quels documents un assistant lit ;
une réponse fausse a été reprise sans vérification ;
un document confidentiel est ressorti dans une réponse à quelqu'un qui n'aurait pas dû le voir.

Chacun de ces signes appelle une décision de la direction, notée et suivie.