--- title: "Gouvernance de l’IA et conformité" description: "Une politique d’IA qui fonctionne pour une petite entreprise : des règles que votre équipe peut suivre, une revue des outils en usage, et des traces qui vous permettent de répondre du travail assisté par IA." url: "https://gavai.io/fr/services/ai-governance" locale: "fr" --- # Sachez ce que votre équipe fait avec l’IA, et soyez en mesure d’en répondre. La plupart des petites entreprises n’ont pas adopté l’IA volontairement. Elle est arrivée un outil à la fois, dans le navigateur de qui la trouvait utile. Cette mission fait l’inventaire de ce qui est réellement en usage, écrit des règles que les gens peuvent tenir, et met en place les traces qui montrent qu’elles sont tenues — pour que le jour où un client, un assureur ou un régulateur demande comment vous utilisez l’IA, vous ayez une réponse. ## Quand cela vaut la peine Rien dans cette liste ne dit qu’un dommage a eu lieu. Elle dit que personne ne pourrait l’affirmer avec certitude, et c’est cela, le vrai risque. - Des employés collent des informations clients dans des outils de conversation, et personne n’a dit quels outils sont autorisés ni ce qui peut y entrer. - Un contrat client, un assureur ou un questionnaire de due diligence a commencé à demander comment vous utilisez l’IA, et personne ne sait quoi répondre. - Du travail produit avec l’aide de l’IA sort sous votre nom, et il n’existe aucune trace de qui l’a vérifié. - Les abonnements d’IA s’accumulent depuis des mois, et personne ne saurait dire lesquels détiennent vos données ni à quelles conditions. - Quelqu’un dans l’équipe tire clairement une vraie valeur de l’IA, et vous préférez lui fixer un cadre plutôt que tout interdire. - Une réponse d’IA s’est révélée fausse devant un client, et il n’existait aucune façon convenue de gérer la situation. ## Ce que la mission couvre Six volets, menés sur les outils que votre entreprise utilise réellement plutôt que sur un modèle type. Chacun se termine par quelque chose d’écrit dont une personne désignée est responsable. - **L’inventaire** — Avant d’écrire la moindre règle, nous listons ce qui est réellement en usage : les outils que l’entreprise paie et ceux auxquels les employés se sont inscrits de leur côté. Pour chacun, ce qu’il touche — dossiers clients, finances, données du personnel, code — et qui l’utilise pour quoi. La plupart des surprises de ce travail apparaissent ici, et une politique écrite sans cette étape réglemente une entreprise imaginaire. - **La politique** — Un document court qui dit où l’IA peut être utilisée, quelles données peuvent y entrer, et qui relit quoi. Écrit pour être suivi : quelques pages en langage courant, raisonnement inclus, parce qu’une règle que personne ne comprend est une règle que personne ne tient. Le difficile n’est pas la rédaction, ce sont les décisions — où passe la ligne entre l’IA qui rédige et l’IA qui décide, quelles données ne quittent jamais vos systèmes — et nous mettons ces choix devant vous plutôt que de les faire à votre place. Vous approuvez le texte final. C’est votre politique, pas la nôtre. - **La revue des fournisseurs** — Les conditions de chaque outil, lues de près : si vos données entraînent leurs modèles, combien de temps elles restent sur leurs serveurs, où elles sont traitées, et ce qu’elles deviennent quand vous résiliez. Les éditeurs révisent ces conditions, et l’offre payante répond souvent autrement que la gratuite — ce qui est fréquemment tout l’argument pour passer au niveau supérieur. Le verdict sur chaque outil revient sans détour : garder, mettre à niveau, restreindre ou abandonner. - **Contrôle et traces** — Pour chaque endroit où l’IA alimente du vrai travail, nous fixons qui vérifie le résultat avant qu’il ne compte, et ce qui est consigné. Dans nos propres développements, aucun contenu destiné à un client ne part sans qu’une personne désignée l’approuve, et le même standard se transpose ici : l’étape de relecture est attribuée à quelqu’un et consignée. Le registre compte autant que la vérification. Pouvoir montrer, des mois plus tard, sur quoi une décision s’est appuyée et qui l’a validée : voilà à quoi ressemble concrètement le fait d’en répondre. - **Confidentialité et sécurité** — Un passage en revue de la façon dont l’installation actuelle traite les données : quels comptes sont personnels ou détenus par l’entreprise, qui a encore des accès après son départ, si des informations sensibles vont dans des outils dont les conditions ne les couvrent pas, et comment l’usage de l’IA s’articule avec les obligations que vous portez déjà — règles sur les données de santé, règles sur les cartes bancaires, RGPD, selon votre secteur. C’est une revue avec des constats écrits, pas un audit de certification. Là où il vous faut une attestation formelle, nous le disons et nous vous aidons à vous y préparer plutôt que de prétendre la délivrer. - **Incidents et entretien** — Deux choses gardent la politique vivante après notre départ. D’abord, un chemin d’incident : ce que fait l’équipe quand une réponse d’IA est fausse devant un client, quand des données sont allées là où elles ne devaient pas, ou quand un outil change discrètement ses conditions — qui prévenir, quoi consigner, quoi dire. Ensuite, un rythme de revue : ces outils changent assez vite pour qu’une politique datée de l’an dernier décrive un autre paysage, alors le document nomme un calendrier et un responsable pour la tenir à jour, que ce responsable soit vous ou nous. ## De l’inventaire à la politique qui fonctionne - **Faire l’état des lieux** — Nous parlons aux personnes qui utilisent les outils et nous assemblons l’inventaire. Votre part : des réponses honnêtes et une liste d’abonnements. Ce qui compte, c’est ce que les gens font réellement au quotidien, pas ce que chacun supposait. Chaque phase est chiffrée avant de commencer. - **Décider** — Nous vous apportons les constats et les décisions qu’ils imposent : quoi autoriser, quoi restreindre, quoi abandonner. Vous tranchez avec les arbitrages posés devant vous, et nous rédigeons ce que vous avez décidé. - **Rédiger et relire** — La politique, les constats fournisseurs, les règles de contrôle et le chemin d’incident sont rédigés, puis parcourus avec vous ligne à ligne. Tout ce qui a un poids juridique est signalé pour votre conseil — la rédaction est la nôtre, le dernier mot non. - **L’ancrer** — La politique est présentée à l’équipe dans une session de travail, pas en pièce jointe d’un e-mail : ce qui change, pourquoi, et quoi faire quand quelque chose tourne mal. Une règle expliquée de vive voix tient mieux qu’une règle envoyée. ## Ce qui atterrit sur votre bureau Tout ce qui est produit vous appartient entièrement : des documents dans vos propres comptes, sous forme modifiable, sans rien qui dépende de nous pour rester utile. - Une politique d’IA écrite, présentée à votre équipe et approuvée par vous. - Un inventaire de chaque outil d’IA en usage, avec ce qu’il touche et qui l’utilise. - Des constats par fournisseur, avec pour chaque outil un verdict : garder, restreindre ou abandonner. - Des étapes de relecture attribuées et un dispositif de traçabilité pour le travail assisté par IA. - Un chemin d’incident et un calendrier pour garder la politique à jour. Si l’IA est déjà dans les murs et que les règles n’y sont pas, c’est le point de départ normal, pas une urgence. Un court appel suffit à vous dire ce que cela impliquerait pour une entreprise de votre taille.