Gouvernance de l'IA en entreprise : cadrer l'usage sans bloquer les équipes

Le « shadow AI » désigne l'usage d'outils d'intelligence artificielle en dehors de tout cadre défini par la DSI. C'est l'équivalent du shadow IT, avec un risque plus élevé, parce que ces outils manipulent du texte, du code et parfois des données confidentielles collées dans une fenêtre de discussion.

L'ampleur du phénomène est désormais documentée : selon plusieurs études conduites en 2026, environ trois professionnels sur quatre utilisent déjà des outils d'IA non validés par leur organisation, et une large majorité le fait sans aucune approbation formelle.

Les risques ne sont pas théoriques :

• fuite de données : informations clients, éléments contractuels ou code propriétaire transmis à un service tiers dont on ne maîtrise ni l'hébergement ni la réutilisation,
• perte de traçabilité : impossible de dire quelles décisions ou quels livrables ont été produits avec quelle assistance,
• non-conformité : les usages non encadrés entrent vite en tension avec le RGPD et avec les exigences d'audit propres à certains secteurs (NIS2, DORA).

Interdire ne règle rien : les usages continuent, simplement moins visibles. L'enjeu est de les ramener dans un cadre.

Le règlement européen sur l'intelligence artificielle (Règlement UE 2024/1689, dit « AI Act ») s'applique par étapes. L'une d'elles concerne toutes les organisations qui utilisent l'IA, pas seulement celles qui la développent.

Son article 4, applicable depuis le 2 février 2025, impose un niveau suffisant de maîtrise de l'IA aux personnes chargées de son utilisation. Concrètement, cela suppose deux choses simples à formuler et exigeantes à tenir : un inventaire des usages réels dans l'organisation, et un plan de montée en compétence des équipes concernées.

Ce point est souvent sous-estimé parce qu'il ne s'accompagne pas de sanction immédiate. Il fixe pourtant le socle : on ne peut pas gouverner ce qu'on n'a pas recensé.

La forme la plus lisible d'une politique d'utilisation de l'IA tient en trois catégories.

• Interdit. Outils grand public non maîtrisés pour tout traitement de données personnelles, confidentielles ou stratégiques. La règle est claire et sans exception.
• Sous conditions. Outils autorisés pour certains usages, avec des règles explicites : quelles données peuvent y entrer, quelle validation humaine avant diffusion, quelle mention de l'assistance IA.
• Validé. Outils intégrés au système d'information, encadrés contractuellement, avec un hébergement et des garanties connus. Usage libre dans le périmètre prévu.

Cette grille a un mérite : elle donne un cap sans exiger une liste exhaustive impossible à tenir à jour. Chaque nouvel outil se range dans l'un des trois cercles.

• Inventorier les usages. Un recensement simple, par métier : quels outils, pour quoi, avec quelles données. C'est la base réglementaire et le point de départ de tout le reste.
• Poser les règles sur les données. Ce qui peut entrer dans un outil, ce qui ne peut pas, et la conduite à tenir en cas de doute.
• Former. Pas un cours magistral, mais des repères pratiques : reconnaître une donnée sensible, relire une production IA, citer l'assistance quand c'est nécessaire.
• Tracer. Savoir, a minima, quels processus et quels livrables reposent sur une assistance IA, pour pouvoir répondre à un audit ou à un incident.
• Réviser. Une revue périodique de la politique et de l'inventaire, parce que les outils et les pratiques évoluent vite.

La gouvernance de l'IA n'appartient à personne seul. Elle se construit à trois : la DSI pour la sécurité, l'intégration et le choix des outils ; la direction juridique et conformité pour les données et le cadre réglementaire ; les métiers pour les usages réels et leur valeur. Un pilote unique désigné coordonne, arbitre les cas en zone grise et tient la politique à jour.

C'est une logique de gouvernance IT classique, appliquée à un objet nouveau : clarifier les responsabilités, formaliser des processus légers, mesurer, ajuster. Nous l'avons mise en oeuvre sur des programmes de transformation où plusieurs entités, plusieurs pays et plusieurs niveaux de maturité devaient converger vers des standards communs sans bloquer l'activité. Le principe est le même ici : un cadre commun, assez souple pour s'adapter aux réalités de chaque métier.