Faites le point sur votre gouvernance IA

Répondez aux questions ci-dessous pour obtenir une première estimation de la maturité de votre gouvernance de l’IA. Les 10 questions sont obligatoires.

Question 1 sur 10 : Disposez-vous aujourd’hui de la liste complète des outils d’IA utilisés dans l’entreprise, y compris les fonctions IA intégrées à vos logiciels existants (messagerie, CRM, SIRH, outils de recrutement) et les outils que vos salariés utilisent avec un compte personnel ?

L’IA n’arrive pas seulement par des projets. Elle arrive aussi par les mises à jour de vos éditeurs et par les usages individuels. Un inventaire se construit direction par direction et doit être tenu à jour en continu.

Question 2 sur 10 : Pour chacun de ces usages, savez-vous si vous êtes fournisseur ou déployeur au sens du règlement européen sur l’IA (RIA), et à quel niveau de risque il se rattache ?

La qualification se fait usage par usage. Un même outil peut être anodin en marketing et à haut risque en RH. Les obligations du RIA pour les systèmes à haut risque de l’annexe III (dont le recrutement) s’appliqueront au 2 décembre 2027, mais ces systèmes doivent être identifiés dès maintenant. Apposer sa marque sur un système à haut risque ou le modifier substantiellement peut aussi vous faire changer de rôle.

Question 3 sur 10 : Vos salariés disposent-ils de règles écrites qui leur indiquent précisément quelles données ils peuvent ou ne peuvent pas saisir dans un outil d’IA, et comment vérifiez-vous qu’elles sont respectées ?

Une charte IA ne protège pas grand-chose si elle n’est pas diffusée, opposable et contrôlée. Pour la rédiger, il faut trancher des cas concrets métier par métier : données clients, code source, documents RH, pièces confidentielles.

Question 4 sur 10 : Votre CSE a-t-il été informé et consulté sur l’introduction des outils d’IA, y compris ceux encore "en test" ?

Le tribunal judiciaire de Nanterre (ordonnance de référé du 14 février 2025) a suspendu le déploiement d’outils d’IA faute de consultation du CSE, alors que l’employeur les présentait comme un pilote.

Le tribunal judiciaire de Créteil a statué dans le même sens le 15 juillet 2025. Une consultation suppose un dossier écrit, un calendrier et des délais d’examen.

Question 5 sur 10 : Pouvez-vous prouver, documents à l’appui, ce que vous avez mis en place pour former vos équipes à l’IA en fonction de leur poste ?

L’obligation de maîtrise de l’IA (article 4 du RIA) s’applique depuis le 2 février 2025 à tous les fournisseurs et déployeurs, quelle que soit leur taille. Le règlement omnibus de juillet 2026 l’a assouplie : les organisations doivent prendre des mesures pour favoriser la maîtrise de l’IA de leurs équipes, sans avoir à garantir un niveau précis à chaque personne. L’obligation de prendre des mesures demeure. Il faut savoir qui est formé, sur quoi, quand, et en garder la trace.

Question 6 sur 10 : Pour chaque usage qui touche des données personnelles, avez-vous mis à jour votre registre, déterminé la base légale, vérifié si une analyse d’impact (AIPD) est nécessaire et adapté l’information des personnes ?

L’IA ne crée pas de régime à part : elle fait entrer chaque nouvel usage dans le RGPD. Multiplier les usages, c’est multiplier les fiches de registre, les analyses et les mentions d’information.

Question 7 sur 10 : Avez-vous vérifié dans vos contrats avec les éditeurs d’IA si vos données servent à entraîner leurs modèles, où elles sont hébergées, à qui appartiennent les contenus produits et ce qui se passe quand l’éditeur change de modèle ?

Chaque fournisseur devient un dossier à part entière : revue des conditions (qui peuvent différer entre offre gratuite et offre entreprise), accord de sous-traitance RGPD, transferts hors UE, réversibilité.

Question 8 sur 10 : Votre RSSI a-t-il intégré les risques propres à l’IA (fuite d’informations via les requêtes, injection de prompt, agents connectés à vos outils internes) dans l’analyse de risques, et savez-vous qui réagit si un outil d’IA produit une erreur qui porte préjudice à un client ou un salarié ?

L’IA introduit de nouvelles surfaces d’attaque et de nouveaux types d’incident. Ces nouveaux risques doivent rejoindre la politique de sécurité des systèmes d’information (PSSI), la gestion des incidents et, si vous y êtes soumis, vos dispositifs NIS2 ou DORA.

Question 9 sur 10 : Quand un client, un candidat ou un usager est en contact avec une IA chez vous (agent conversationnel, tri de candidatures, contenu généré), le sait-il ? Avez-vous vérifié qu’aucun de vos usages ne relève d’une pratique interdite ?

Les pratiques interdites (article 5) s’appliquent depuis le 2 février 2025. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026 ; seul le marquage technique des contenus générés par des systèmes déjà sur le marché a été décalé au 2 décembre 2026. Le report à 2027 ne concerne que le haut risque.

Question 10 sur 10 : Qui, nommément, porte la gouvernance de l’IA dans votre organisation, avec quel mandat écrit, combien de jours par an et quel budget, temps interne compris ?

Chacune des neuf questions précédentes est un chantier de mise en place, puis d’entretien : inventaire à rafraîchir, nouveaux usages à qualifier, formations à renouveler, contrats à revoir, veille réglementaire. Sans désignation formelle, le sujet retombe par défaut sur la DSI ou le DPO, sans temps dédié ni pouvoir d’arbitrage.