Cartographier l'IA de l'entreprise : ce qui tourne, qui l'utilise, qui en répond

Pour prendre la mesure du sujet, vous allez écrire de mémoire tout ce qui, dans votre entreprise, utilise de l’IA, puis découvrir ce que vous ne voyez pas.

Avant de commencer (30 secondes). Combien d’usages de l’IA existent dans votre entreprise, à votre avis ? Notez un nombre.

Votre premier essai, tout de suite

Listez tous les usages que vous connaissez : outils de conversation, transcription de réunions, générateurs d’images, fonctions d’IA activées dans des logiciels existants. Pour chacun, notez qui l’utilise et pour quoi. Collez ensuite la liste, sans donnée sensible, dans un assistant avec ce modèle :

Voici les usages de l’IA que je connais dans mon entreprise : [liste]. Quelles questions dois-je poser, et à qui, pour découvrir les usages que je ne connais pas ? Donne-moi huit questions courtes pour un petit sondage interne.

Comparez le nombre d’usages listés avec votre pari. Le sondage de huit questions est le début du questionnaire de recensement, plus bas.

Maintenant, questionnez-le. Demandez : « Qu’as-tu supposé sur la taille et le secteur de mon entreprise ? Quel usage est le plus susceptible d’être caché ? ».

Pourquoi un inventaire d’abord

On ne gouverne pas ce qu’on ne voit pas. Dans la plupart des entreprises de plus de quelques personnes, l’IA est déjà là avant que la direction ne l’ait décidé : un outil de transcription de réunions installé par un commercial, un générateur d’images utilisé par le marketing, un assistant ouvert dans le navigateur de la comptabilité, une fonction d’IA activée par défaut dans un logiciel existant. Aucune de ces utilisations n’est forcément mauvaise ; toutes posent les mêmes questions : quelles données partent où, qui répond de quoi, quelle règle s’applique.

Ce chapitre vous apprend à dresser l’inventaire des usages de l’IA de votre entreprise (y compris ceux qu’on ne vous a pas déclarés), à attribuer à chacun un rôle juridique et un responsable, et à produire le document de départ de tout le reste : le registre des usages d’IA. À la fin, vous aurez un questionnaire de recensement, un registre rempli pour au moins dix usages et une première hiérarchie des risques.

Cette formation n’est pas un conseil juridique. Elle vous indique où regarder, quelles questions poser et quand consulter un professionnel (juriste, délégué à la protection des données, responsable de la sécurité). Les textes cités ont été relus à l’automne 2026 ; ils évoluent, et leurs dates d’application ont déjà bougé cette année (voir le chapitre suivant). Elle ne délivre aucun diplôme ni aucune attestation de conformité.

Le fil rouge de cette formation

L’Atelier Lambert est une entreprise de distribution de fournitures professionnelles de 45 personnes. Sa directrice, Hélène, a entendu parler du règlement européen sur l’IA et d’un client qui lui a demandé « comment vous encadrez l’IA ». Elle ne sait pas répondre. Ce que l’on sait, sans l’avoir recensé : le marketing génère des visuels avec un outil en ligne ; les ressources humaines testent un logiciel qui trie des candidatures ; le service client a un assistant de réponse sur le site ; les commerciaux enregistrent leurs rendez-vous avec un outil de transcription ; la comptabilité utilise un logiciel de lecture de factures. (Ce scénario est fictif ; les chiffres cités dans la formation sont des valeurs d’illustration, les vôtres seront différents.)

Hélène veut en trois semaines un état des lieux qu’elle peut montrer, et un plan.

Pourquoi un inventaire d’abord

Trois raisons concrètes :

1. Les obligations suivent les usages, pas les outils. Le même outil de génération de texte est sans enjeu particulier pour rédiger un brouillon de newsletter, et exige beaucoup plus de précautions pour trier des candidatures. On ne classe donc pas des logiciels, on classe des usages.
2. Les risques viennent souvent de ce qui n’est pas déclaré. Des collaborateurs bien intentionnés collent des données clients dans un service grand public gratuit, dont les conditions n’ont jamais été lues. On parle d'« IA fantôme » (shadow AI) : on ne l’interdit pas à l’aveugle, on la repère pour l’encadrer.
3. Un client, un auditeur, une autorité commencera toujours par la même question : « que faites-vous avec l’IA ? ». Le registre est la réponse.

Les trois façons de recenser

Combinez les trois : le questionnaire cadre, les entretiens vérifient, les traces complètent. Annoncez l’objectif avec franchise : il s’agit d’encadrer, pas de sanctionner. Une enquête perçue comme une chasse aux sorcières fait disparaître les usages dans l’ombre.

Le questionnaire de recensement

À envoyer à chaque responsable d’équipe, avec un exemple rempli :

1. Quels outils d’IA (assistants de conversation, générateurs d’images ou de texte, transcription, traduction, tri de documents, fonctions d’IA intégrées à vos logiciels) utilisez-vous ou utilise-t-on dans votre équipe ?
2. Pour quelle tâche précise, et à quelle fréquence ?
3. Qui l’utilise ? Quel compte (professionnel, personnel, gratuit, payant) ?
4. Quelles données saisit-on : textes de l’entreprise, données de clients, de salariés, de candidats, documents confidentiels, informations financières ?
5. Le résultat est-il utilisé tel quel, ou relu ? Sert-il à une décision concernant une personne (embauche, évaluation, tarif, refus) ?
6. Le résultat est-il communiqué à l’extérieur (clients, public, site, réseaux) ?
7. Qui a décidé de l’utiliser, et savez-vous si les conditions d’utilisation ont été lues ?
8. Quel gain en attendez-vous ou en constatez-vous (temps, qualité) ?
9. Quel incident ou doute avez-vous déjà rencontré (erreur, fuite potentielle, plainte) ?
10. Quels usages aimeriez-vous mettre en place qu’on ne vous a pas autorisés ?

La question 10 est la plus précieuse : elle transforme l’inventaire en feuille de route.

Les rôles : qui est qui

Chaque usage fait intervenir plusieurs acteurs dont les noms viennent de deux textes différents. Ne les mélangez pas.

Dans le règlement européen sur l’IA (règlement (UE) 2024/1689) :

• le fournisseur développe un système d’IA ou le fait développer pour le mettre sur le marché sous son nom ;
• le déployeur utilise un système d’IA sous sa propre autorité, dans un cadre professionnel ;
• l’importateur et le distributeur le mettent à disposition dans l’Union.

Dans le RGPD :

• le responsable de traitement décide des finalités et des moyens d’un traitement de données personnelles ;
• le sous-traitant traite des données pour son compte, selon ses instructions ;
• les responsables conjoints décident ensemble.

Vérifié à l’automne 2026 : l’article 25 du règlement sur l’IA prévoit qu’un distributeur, un importateur, un déployeur ou un tiers est considéré comme fournisseur d’un système à haut risque s’il y appose son nom ou sa marque, s’il le modifie substantiellement, ou s’il change la destination d’un système qui n’était pas à haut risque (y compris un système d’IA à usage général) de sorte qu’il le devienne. Il doit alors satisfaire aux obligations de l’article 16, et le fournisseur d’origine doit coopérer avec lui, sauf s’il a clairement exclu l’usage à haut risque dans sa documentation. La documentation de la CNIL sur la sous-traitance rappelle de son côté que le contrat entre responsable de traitement et sous-traitant doit reprendre les mentions de l’article 28 du RGPD (voir le chapitre sur le RGPD).

Pour l’Atelier Lambert, la plupart des usages font de l’entreprise un déployeur (elle utilise des outils de tiers) et un responsable de traitement (elle décide pourquoi et sur quelles données) ; l’éditeur de l’outil est fournisseur et, souvent, sous-traitant. L’assistant du site, si l’entreprise l’a configuré elle-même à partir d’un modèle d’un tiers pour un usage précis, reste dans la même logique : elle ne devient fournisseur d’un système à haut risque que dans les cas de l’article 25. La qualification définitive d’un cas limite relève d’un professionnel.

Le registre des usages d’IA

Un tableau, une ligne par usage. C’est la matrice de travail de toute la formation.

Le champ « décision sur une personne » est le plus sensible : il oriente vers les règles les plus lourdes. Le champ « hébergement et sous-traitants » est le plus souvent « inconnu » : c’est normal au départ, et c’est le premier chantier.

Un premier tri de risque, en trois couleurs

Avant d’entrer dans la classification juridique, un tri grossier suffit pour décider de l’ordre de traitement.

Pour l’Atelier Lambert, la génération de visuels marketing sans personnes réelles est verte à orange (selon la diffusion), la transcription des rendez-vous commerciaux orange (voix et propos de clients), l’assistant de réponse du site orange, la lecture des factures orange (données de fournisseurs), et le tri de candidatures rouge.

Les décisions immédiates de la première semaine

Sans attendre la fin de l’instruction, trois mesures de bon sens :

1. Une règle provisoire en une page : pas de données clients, de salariés ou de candidats dans un outil non validé ; pas de documents confidentiels dans un service grand public ; tout nouvel usage est déclaré au référent avant de démarrer.
2. Un référent unique : une personne qui reçoit les déclarations et tient le registre.
3. Un arrêt ciblé : tout usage rouge sans contrat lu ni responsable identifié est suspendu le temps de l’instruction. Mieux vaut quelques semaines de désagrément qu’une fuite.

Le modèle à copier : la note de lancement de l’inventaire

Objet : recensement des usages de l’IA dans l’entreprise. Nous voulons savoir quels outils d’IA vous utilisez, pour faire quoi, avec quelles données, afin de les encadrer correctement et de continuer à en profiter. Il ne s’agit pas de sanctionner. Merci de remplir le questionnaire joint avant le [date]. Toute utilisation déclarée avant cette date sera examinée avec vous, pas contre vous. À partir du [date], tout nouvel usage doit être déclaré à [référent] avant de commencer. En attendant, ne saisissez pas de données de clients, de salariés ou de candidats dans un outil qui n’a pas été validé.

Exercice

Durée : 3 h pour la préparation, puis deux semaines de collecte et une journée de consolidation. Résultat : un registre d’au moins dix usages.

1. Rédigez la note de lancement et adaptez le questionnaire à votre structure.
2. Envoyez-le, et menez au moins trois entretiens courts avec des personnes de métiers différents.
3. Relevez les abonnements et applications de la dernière année dans la comptabilité et dans la liste des applications autorisées.
4. Remplissez le registre : une ligne par usage, avec rôle, données, décision sur personne, tri en trois couleurs.
5. Classez les usages rouges en tête de la feuille de route, avec un responsable et une échéance.
6. Rédigez la règle provisoire d’une page et désignez le référent.

Critère de réussite : vous pouvez répondre en cinq minutes à la question d’un client « que faites-vous avec l’IA, avec quelles données, et qui en répond ? », et chaque usage rouge a une décision (suspendre, encadrer, instruire) assortie d’une date.

Si cela ne marche pas : si les réponses au questionnaire sont rares ou prudentes, annoncez de nouveau l’objectif (encadrer, pas sanctionner) et complétez par des entretiens et des traces techniques : chaque méthode comble les limites des autres. Une case « hébergement et sous-traitants » à « inconnu » est normale au départ : c’est le premier chantier. Si vous ne savez pas trancher entre déployeur et fournisseur pour un usage, arrêtez-vous et consultez un professionnel.

Ce que vous savez maintenant

Répondez de mémoire aux quatre questions, puis vérifiez avec les points qui suivent.

1. Pourquoi inventorie-t-on des usages plutôt que des logiciels ?
2. Quelles sont les trois façons de recenser, et que révèle chacune ?
3. Quand une entreprise bascule-t-elle du côté fournisseur selon l’article 25 ?
4. Quelles trois décisions prend-on dès la première semaine ?

Points à retenir :

• On inventorie des usages, pas des logiciels, avec un questionnaire, des entretiens et des traces techniques, dans un esprit d’encadrement.
• Les rôles du règlement sur l’IA (fournisseur, déployeur) et ceux du RGPD (responsable, sous-traitant) sont distincts et se combinent.
• Un usage peut faire basculer une entreprise du côté fournisseur (article 25) : nom ou marque apposés, modification substantielle, changement de destination.
• Le registre des usages d’IA est la matrice de travail : usage, outil, rôle, données, décision sur une personne, risque, statut.
• Un tri en trois couleurs, une règle provisoire, un référent et un arrêt ciblé permettent d’agir dès la première semaine.

Quand allez-vous le faire ?

Écrivez une phrase : « Avant la fin de la semaine, j’envoie la note de lancement de l’inventaire et je nomme le référent qui tiendra le registre. »

La suite

Le chapitre suivant présente le règlement européen sur l’IA : sa structure, son calendrier et ses sanctions. Viennent ensuite le classement de vos usages et des obligations qui en découlent, le RGPD appliqué aux projets d’IA, la sécurité des systèmes, le choix et la contractualisation d’un fournisseur, la gouvernance, la formation des équipes et le dialogue social, puis une mise en œuvre sur douze mois avec preuves, audit et gestion des incidents.