Pourquoi la question se pose déjà, avec ou sans décision
Dans la plupart des entreprises, les assistants d’IA générative sont arrivés avant la politique qui devait les encadrer : un salarié rédige un e-mail, résume un compte rendu, traduit une fiche produit. La direction découvre l’usage après coup.
- Des comptes personnels, hors de tout contrat : créés avec une adresse privée, sans engagement du fournisseur sur la réutilisation des données saisies ni sur leur lieu d’hébergement. La CNIL recommande justement d’éviter ces comptes.
- Des données qui sortent sans qu’on le voie : un contrat client à résumer, un fichier de paie à mettre en forme, le plan de collection de la saison suivante à reformuler : collés dans un outil grand public, ils quittent le périmètre de l’entreprise.
- Des réponses plausibles, pas certaines : un assistant produit un texte probable : il peut inventer une référence, un chiffre ou une clause, reprendre un texte protégé, ou refléter un biais. Sans relecture, l’erreur part chez le client.
- Une dépendance qui s’installe : des équipes bâtissent leurs méthodes sur un outil dont elles ne maîtrisent ni le prix, ni les évolutions, ni la conservation des échanges.
- Des obligations qui s’appliquent déjà : RGPD dès qu’une donnée personnelle est saisie, règlement européen sur l’IA pour la maîtrise de l’IA par le personnel, droit du travail pour l’information des représentants du personnel.
Encadrer, ce n’est donc pas autoriser ou interdire un outil : c’est décider quelles données, quels usages et quels outils, et le vérifier dans le temps.
Six étapes pour passer de l’usage subi à l’usage cadré
- Recenser les usagesProposé, puis validé
- Classer les donnéesDécidé par une personne
- Écrire la charteDécidé par une personne
- Ouvrir les outilsProposé, puis validé
- Former les équipesProposé, puis validé
- Gouverner et revoirProposé, puis validé
Le détail de chaque étape : ouvrez-la.
Faire l’état des lieux des usages
- Aujourd’hui
- La direction suppose que l’IA n’est pas utilisée, ou qu’elle l’est partout, sans savoir pour quoi.
- Automatisé
- Volumes agrégés tirés des journaux réseau et des dépenses (abonnements en notes de frais), sans suivi individuel ; questionnaire anonyme sur les tâches confiées à l’IA.
- Reste humain
- Entretiens courts avec chaque service : ce qui est fait, avec quelles données, ce qui marche.
Classer les données et les risques
- Aujourd’hui
- Aucune règle ne dit ce qui peut être saisi dans un outil externe.
- Automatisé
- Rien d’essentiel : le classement réutilise celui de la politique de sécurité, s’il existe (public, interne, confidentiel, données personnelles, secret des affaires).
- Reste humain
- La direction, la DSI, le DPO et le RSSI fixent ce qui ne sort jamais, et ce qui peut aller dans quel outil.
Écrire la charte d’usage
- Aujourd’hui
- Une note de la DSI, ou rien.
- Automatisé
- Une charte courte, lisible, accessible à tous : usages autorisés et interdits, données jamais saisies, relecture obligatoire, mention de l’IA dans les documents diffusés, outils autorisés.
- Reste humain
- Faire valider la charte par la direction, et associer les représentants du personnel quand le droit du travail le prévoit.
Choisir et ouvrir les outils
- Aujourd’hui
- Chacun choisit son outil et son abonnement.
- Automatisé
- Comptes créés depuis l’annuaire de l’entreprise et fermés au départ du salarié ; réutilisation des données par le fournisseur désactivée ; droits de l’assistant alignés sur ceux de chaque utilisateur ; journalisation des échanges.
- Reste humain
- La DSI choisit l’offre et l’hébergement ; la direction signe le contrat après lecture des engagements.
Former les équipes
- Aujourd’hui
- Chacun apprend seul, en essayant.
- Automatisé
- Modules courts par métier, exemples de requêtes validées, rappel de la charte à l’ouverture du compte.
- Reste humain
- Des relais dans chaque service, qui montrent les bons usages et remontent les difficultés.
Gouverner et revoir
- Aujourd’hui
- Personne n’est chargé du sujet après le lancement.
- Automatisé
- Registre des usages tenu à jour, tableau de suivi : comptes actifs, usages par service, incidents signalés, cas d’usage demandés.
- Reste humain
- Un référent anime la revue périodique avec la DSI et le DPO, et décide d’ouvrir ou de fermer des usages.
Les prérequis
- Un classement des données même simple, qui distingue le public, l’interne, le confidentiel et les données personnelles.
- Un annuaire et une gestion des accès pour créer les comptes de l’entreprise, appliquer les droits de chacun et les retirer au départ.
- Un référent désigné avec le DPO et le RSSI, qui répond aux questions, tient le registre et porte la revue.
- Une liste de premiers cas d’usage concrets, par service, pour former sur des exemples réels plutôt que sur des principes.
Quatre façons d’encadrer, et quand choisir chacune
| Options | Adaptée quand | Limites | À vérifier |
|---|---|---|---|
| Interdiction temporaire | Usages à risque constatés, aucun outil sous contrat, le temps de cadrer. | Sans date de fin ni alternative, l’usage continue en cachette sur les téléphones et les comptes personnels. | Message clair sur la raison et l’échéance, alternative annoncée, mesure de l’usage pendant l’interdiction. |
| Offre entreprise d’un assistant grand public | Rédaction, synthèse, traduction, aide à l’analyse ; besoin rapide pour beaucoup de salariés. | Peu de prise sur les évolutions de l’outil ; connaissance limitée des documents internes ; abonnement par utilisateur. | Réutilisation des données pour l’entraînement, lieu d’hébergement et transferts hors de l’Union, durée de conservation, contrat de sous-traitance, gestion des comptes depuis l’annuaire. |
| Assistant interne connecté aux documents de l’entreprise | Les questions portent sur les procédures, les contrats, les fiches produits, la base documentaire. | Projet à cadrer et à maintenir ; la qualité des réponses dépend de celle des documents ; droits d’accès à reproduire fidèlement. | Hébergement choisi par la DSI, respect du besoin d’en connaître, journalisation, responsabilité au sens du RGPD pour les données personnelles indexées. |
| Cas d’usage outillés dans les processus | Un usage précis et fréquent : réponse au service client, lecture de commandes, rédaction de fiches produits. | Un développement par cas ; ne couvre pas les usages libres du quotidien. | Taux d’erreur mesuré sur des cas réels, validation humaine de ce qui engage, aucune action critique déclenchée seule par l’IA. |
Les options se suivent souvent : une interdiction courte le temps du cadrage, une offre entreprise pour tous, puis un assistant interne et des cas outillés là où l’usage le justifie.
Les pièges fréquents
- Interdire sans alternative l’usage ne disparaît pas, il passe sur les téléphones et les comptes personnels, hors de toute trace : c’est le pire des cas pour les données.
- Autoriser sans charte ouvrir des comptes sans dire ce qu’on n’y met jamais ni qui relit : l’outil est sous contrat, mais les erreurs et les fuites restent possibles.
- Des données clients collées dans un outil grand public un fichier de clients, une réclamation nominative, des conditions commerciales : données personnelles et secret des affaires sortent de l’entreprise. La CNIL et l’ANSSI recommandent de ne jamais le faire.
- Ne pas mesurer l’usage sans registre ni suivi, impossible de savoir si les comptes servent, quels usages se développent, ni où la charte n’est pas suivie.
- Donner à l’assistant plus de droits que l’utilisateur un assistant interne qui indexe tout le partage de fichiers révèle à chacun des documents qu’il n’aurait pas dû voir.
Le contrôle interne
Le cadre se contrôle comme toute politique de sécurité : charte validée et diffusée, comptes rattachés à l’annuaire, registre des usages, journalisation des échanges, revue périodique. La CNIL recommande d’encadrer l’usage par une charte définissant les usages autorisés et interdits, de ne pas saisir de données personnelles ou confidentielles dans un service grand public, de former les utilisateurs et de ne jamais reprendre une réponse telle quelle, et d’associer le DPO, avec une analyse d’impact le cas échéant. L’ANSSI recommande de ne pas laisser un système d’IA générative exécuter seul des actions critiques, de journaliser les traitements et de privilégier un hébergement qualifié SecNumCloud pour les données sensibles en nuage public. Le règlement européen sur l’IA (UE) 2024/1689, dans sa version amendée en vigueur depuis le 27 juillet 2026 (selon la CNIL), demande à l’entreprise qui utilise un système d’IA de prendre des mesures pour favoriser la maîtrise de l’IA de son personnel, en tenant compte de ses connaissances et du contexte d’utilisation. Dans les entreprises qui en sont dotées, le CSE est informé et consulté sur l’introduction de nouvelles technologies (article L2312-8 du Code du travail) : le déploiement d’un assistant peut en relever, ce qui s’apprécie avec le conseil de l’entreprise.
Par où commencer
- Recenser les usages réels : services, tâches, outils, données saisies, sans chercher de coupable.
- Écrire une charte d’une page avec la DSI, le DPO et le RSSI, et ouvrir un outil sous contrat à un premier groupe.
- Former ce groupe, tenir le registre des usages, puis élargir après une première revue.
Questions fréquentes
Les comptes gratuits d’un assistant d’IA sont-ils acceptables pour un usage professionnel ?
Pour des contenus publics et sans aucune donnée personnelle, le risque est faible. Pour le reste, la CNIL recommande d’éviter les comptes créés avec des adresses personnelles et de désactiver, quand c’est possible, la réutilisation des données par le fournisseur ; une offre entreprise sous contrat le permet.
Que doit contenir une charte d’usage de l’IA générative ?
Les outils autorisés, les usages autorisés et interdits, les données jamais saisies (personnelles, confidentielles, secret des affaires), la relecture obligatoire de toute réponse, la mention de l’IA dans les documents diffusés, le référent à qui s’adresser et la façon de signaler un incident. Une charte courte est mieux lue qu’un long règlement.
La formation des salariés à l’IA est-elle obligatoire ?
Le règlement européen sur l’IA, dans sa rédaction issue de l’omnibus de juillet 2026, demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, sans imposer un format de formation. Former les utilisateurs est en tout état de cause une recommandation de la CNIL.
Faut-il consulter le CSE avant de déployer un assistant d’IA ?
Le CSE est informé et consulté sur l’introduction de nouvelles technologies. Le déploiement d’un assistant auprès des salariés peut en relever, selon son ampleur et ses effets sur le travail : la question se tranche avec le conseil social de l’entreprise, avant le déploiement plutôt qu’après.
Un assistant interne sur les documents de l’entreprise vaut-il mieux qu’une offre du marché ?
Pas toujours. Pour rédiger, résumer ou traduire, une offre entreprise sous contrat suffit souvent. L’assistant interne se justifie quand les questions portent sur les documents propres à l’entreprise, avec des droits d’accès à respecter, ou quand les données exigent un hébergement choisi par la DSI.
Combien coûte l’encadrement de l’IA générative dans une ETI ?
Cela dépend du nombre d’utilisateurs, de l’offre retenue et de la part d’assistant interne ou de cas d’usage outillés. La charte et la formation coûtent surtout du temps ; un diagnostic permet de chiffrer les options avant de s’engager.
Vos usages de l’IA générative, en diagnostic
Usages réels, données exposées, outils en place, charte : un état des lieux et le cadre réaliste pour vos équipes, de l’offre entreprise à l’assistant interne.
Demander le diagnosticPour aller plus loin
Sources
- Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, 18 juillet 2024 — CNIL
- Recommandations de sécurité pour un système d’IA générative, guide ANSSI-PA-102, 29 avril 2024 — ANSSI
- Règlement sur l’IA, article 4 : maîtrise de l’IA — Commission européenne, AI Act Service Desk
- Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL, mise à jour du 17 août 2026 — CNIL
- Code du travail, article L2312-8 : attributions générales du comité social et économique — Code du travail numérique