Gouvernance · AI Act et RGPD
Données, AI Act, RGPD, sécurité : nous fixons les règles et les responsabilités.
La gouvernance de l’IA selon Optimia, directeur IA externalisé des startups, PME et ETI, comprend un registre des usages, une charte d’usage, les règles sur les données (RGPD) et un référent IA formé. L’audit de gouvernance est proposé sur devis.Mis à jour le
01 · Les questions qu’on vous posera
Vos clients, vos collaborateurs et, parfois, une autorité de contrôle vous les poseront. Mieux vaut avoir les réponses par écrit.
Qui utilise quels outils d’IA ?
Où vont vos données ?
Qui décide d’un nouvel usage ?
Que demande l’AI Act ?
02 · Ce que nous mettons en place
Le registre des usages de l’IA
Les outils et les usages, classés par niveau de risque (AI Act).
La charte d’usage
Outils autorisés, données à ne jamais saisir, bonnes pratiques.
Les règles sur les données
RGPD, registre des traitements, information des salariés, contrats de sous-traitance.
Un référent IA désigné et formé
Il tient le registre à jour et prépare les décisions, au sein d’un comité IA que nous vous proposons de mettre en place.
Pour aller plus loin
Il recense tous vos cas d’usage et vérifie leur conformité (AI Act, RGPD, DORA, hébergement des données de santé), puis définit les bonnes pratiques. Sur devis. Sa durée dépend de la taille de l’entreprise. Il se déroule de préférence sur site, ou à distance.
03 · Un exemple
L’IA était entrée dans chaque service à l’initiative des équipes, avec des outils choisis service par service. La charte interne datait d’avant le déploiement de l’outil d’IA de l’entreprise, et des clients grands comptes demandaient des garanties sur leurs données.
Deux jours d’immersion sur site et neuf entretiens : direction, développement, systèmes d’information et sécurité, juridique, marketing, comptabilité, achats. Puis une restitution devant le comité IA.
Un registre de tous les outils et usages d’IA, chacun rattaché à son service et classé selon trois niveaux de criticité, à la lumière de l’AI Act et du RGPD.
Le cadre contractuel de l’outil d’entreprise est solide. Le risque se trouvait dans ce qui en sortait : des comptes individuels, sans les mêmes garanties. Certains usages n’étaient visibles depuis aucun poste isolé, comme un agent découvert après sa mise en service.
Le registre, deux notes (ce que les fournisseurs conservent réellement, ce que l’AI Act impose et quand), une grille de criticité, des projets d’articles pour compléter la charte, et un calendrier à 30, 60 et 90 jours avec un responsable du registre.
Le registre est déclaratif : il consigne ce que les équipes ont dit, sans accès aux consoles d’administration. Une partie seulement des collaborateurs a été interrogée, et d’autres usages existent.
04 · L’AI Act, sans dramatiser
L’obligation de l’article 4 est assouplie, pas supprimée.
L’article 4 demande de prendre des mesures pour favoriser la maîtrise de l’IA par les salariés. Le règlement omnibus de 2026 n’impose plus de niveau de maîtrise précis, mais les autorités nationales peuvent contrôler l’application de l’article 4 depuis août 2026. Voir la page AI Act.
05 · Vos données chez nous
Un accord de confidentialité avant l’audit et avant chaque prestation
Documents et accès supprimés juste après la restitution de l’audit
Un site hébergé en France, chez Scaleway à Paris
06 · Par où commencer
L’audit recense les usages existants et évalue leur niveau de risque. La gouvernance se met en place ensuite.
07 · Questions fréquentes
Quatre éléments : les outils autorisés et la marche à suivre pour en ajouter un, les données à ne jamais saisir, les bonnes pratiques d’usage et un renvoi vers le registre des usages de l’IA.
Non : interdire ne supprime pas le besoin, l’usage se déplace vers des outils personnels non contrôlés (le « shadow AI »). Mieux vaut un outil encadré par une charte et une formation. Sécurité et RGPD.
C’est la liste des outils et des usages de l’IA dans l’entreprise, classés par niveau de risque (AI Act). Livrable de l’audit, il est tenu à jour par le référent IA. Le détail de l’audit.
L’entreprise décide. Le référent IA, désigné et formé, prépare la décision et tient le registre à jour ; la charte fixe la marche à suivre pour ajouter un outil. Un directeur IA externalisé conseille sans décider.
Non, pas automatiquement : utiliser de l’IA ne crée pas à lui seul l’obligation de désigner un DPO. Le RGPD l’impose dans des cas précis : organisme public, suivi régulier et systématique des personnes à grande échelle, traitement à grande échelle de données sensibles. Si vous en avez un, il couvre aussi les traitements faits avec l’IA. Si vous avez besoin d’un DPO externalisé, nous pouvons faire appel à notre DPO partenaire.
Sur devis. Sa durée dépend de la taille de l’entreprise. Il se déroule de préférence sur site, ou à distance. Cet audit, distinct de l’audit sur site, recense tous vos cas d’usage et vérifie leur conformité (AI Act, RGPD, DORA, hébergement des données de santé). L’audit sur site, dès 2 900 € HT, livre déjà le registre des usages de l’IA. Le détail.
Test de maturité IA
Charte, registre, fournisseurs : le test note votre gouvernance de l’IA, avec les cinq autres dimensions, et vous donne vos trois priorités.
Diagnostic gratuit
Trente minutes avec Julien Johann pour voir ce qui manque à votre cadre.