Gouvernance IA en entreprise : les métiers créent leurs outils, la DSI garde la main

Que demandent l’AI Act, le RGPD et le Code du travail ?

L’AI Act, le règlement européen sur l’IA, est en vigueur depuis le 1er août 2024 et s’applique par étapes. Il classe les usages selon leur risque. Certains sont interdits depuis février 2025, comme la reconnaissance des émotions des salariés au travail. D’autres sont dits à haut risque : trier des candidatures, évaluer le travail d’un salarié, décider d’une promotion. Leurs obligations renforcées s’appliquent à partir du 2 décembre 2027. Ce qui compte est ce que fait l’outil, pas la façon dont il a été créé : un suivi des devis écrit par l’IA, sans décision automatique sur des personnes, n’entre pas dans ces catégories.

Le RGPD s’applique dès qu’un outil contient des données de salariés ou de clients : il a sa place au registre des traitements et le DPO, s’il y en a un, doit être associé. Dans une entreprise d’au moins 50 salariés, le Code du travail prévoit d’informer et de consulter le CSE sur l’introduction de nouvelles technologies (article L2312-8). Enfin, la norme ISO/IEC 42001 décrit un système de management de l’IA : elle est facultative, mais donne une trame aux grands groupes.

Faut-il interdire l’IA aux métiers ou l’encadrer ?

L’interdiction rassure sur le papier. Dans les faits, les équipes qui ont un vrai besoin trouvent un contournement : compte personnel, copie de fichiers sur un autre ordinateur, outil gratuit en ligne. Vous gardez la responsabilité sans garder la visibilité.

L’encadrement part du principe inverse : proposer un chemin autorisé qui soit aussi facile que le détour. Les métiers créent, mais chaque outil est contrôlé avant d’être ouvert, les accès suivent des rôles clairs et la DSI dispose de la liste de ce qui est en service.

Comment encadrer les outils créés par les métiers ?

Trois contrôles font l’essentiel du travail. Une vérification à chaque mise en ligne : l’outil fait ce qu’on lui demande et seules les personnes prévues l’ouvrent. Des rôles lisibles : qui peut lire, qui peut modifier, qui est responsable. Un historique des versions, pour revenir en arrière quand une modification pose problème.

Ajoutez deux règles de fonctionnement. Chaque outil a un responsable, une personne et non un service. Et chaque outil garde ses informations à part : l’outil des congés n’ouvre pas les données de l’outil des achats. Un piège fréquent : l’outil ouvert à toute l’entreprise par commodité, alors qu’il contient des salaires ou des coordonnées de clients.

Quelles sont les questions à poser avant d’ouvrir l’IA aux métiers ?

Usages et données. Quels besoins ouvrons-nous en premier et lesquels restent fermés ? Quelles données ne sont jamais confiées à une IA : salaires, arrêts maladie, secrets d’affaires ? Les équipes travaillent-elles avec des comptes entreprise de Claude ou de ChatGPT, dont vous maîtrisez les réglages, ou avec leurs comptes personnels ? Un outil touche-t-il au recrutement ou à l’évaluation des salariés ?

Responsables et contrôles. Qui crée, qui valide, qui répond de chaque outil ? Comment vérifie-t-on un outil avant que des collègues l’ouvrent ? Le DPO l’a-t-il inscrit au registre et le CSE a-t-il été consulté quand il le fallait ? Peut-on revenir à la version précédente si une modification casse quelque chose ?

Accès, suite et coûts. Comment les accès sont-ils retirés au départ d’un salarié ? Où vit la liste des outils en service ? Qui reprend un outil dont le créateur change de poste ? Que paie-t-on pour l’IA, que paie-t-on pour l’endroit où les outils sont publiés, et qui suit ces dépenses ? Si une question reste sans réponse, commencez par une seule équipe pilote, le temps d’y répondre.