Audit de gouvernance de l’IA : 57 outils et usages recensés dans une PME de services numériques

Dans cette PME de services numériques, l’IA était entrée dans chaque service à l’initiative des équipes, avec des outils choisis service par service. L’adoption avait avancé plus vite que les moyens de la piloter : personne n’avait de vision consolidée de ce qui était utilisé, par qui, et sur quelles données.

Trois raisons concrètes rendaient le sujet pressant. Des clients grands comptes exigeaient des garanties sur l’isolation de leurs données. La consommation des outils était difficile à suivre et causait des écarts de coûts imprévus. Et la charte interne datait d’avant le déploiement de l’outil d’IA de l’entreprise : elle ne couvrait plus les usages réels.

Le registre compte 57 outils et usages, chacun rattaché à son service. Dix-sept ont une criticité élevée, vingt une criticité moyenne, dix-huit une criticité faible, et deux restaient à confirmer. Cette criticité mesure ce que l’entreprise engage : ses clients, ses données, des personnes. Ce n’est pas la classification du système au sens de l’AI Act, et aucun usage recensé n’est interdit ni à haut risque a priori.

Le constat central : le cadre contractuel de l’outil d’entreprise est solide. Le risque se trouvait dans ce qui en sortait, des comptes individuels aux conditions grand public, sans les mêmes garanties. Douze des usages à criticité élevée tiennent au compte utilisé ou à l’absence de règle sur les données.

Quelques situations montrent pourquoi un cadre commun était nécessaire : un agent découvert après sa mise en service, des comptes partagés entre plusieurs personnes, des échanges clients enregistrés sans règle commune, un outil susceptible de recevoir des données financières que la charte interdit. Chacune résolvait un vrai problème métier. Aucune n’était visible depuis un seul poste.

L’entreprise n’est pas seulement utilisatrice. Elle fournit aussi des systèmes d’IA à ses clients, ce qui lui donne des obligations de fournisseur : documentation, information des personnes, maîtrise des risques. Le cadre dit enfin jusqu’où un usage interne peut aller : une IA qui qualifie l’état ou le ressenti d’une personne change de nature et peut relever du haut risque pour l’emploi.

Il est déclaratif : il consigne ce que les équipes ont dit, sans accès aux consoles d’administration ni aux données de consommation. Les agents créés par les collaborateurs sont recensés par outil et par compte, pas un par un. Une partie seulement des collaborateurs a été interrogée, et d’autres usages existent.