Fin 2025, 55 % des TPE et PME françaises utilisaient l’IA générative, contre 31 % un an plus tôt et seulement 15 % en 2023, selon l’étude « IA Révolution » de Bpifrance Le Lab publiée en janvier 2026. Cette bascule s’est faite sans que la plupart des entreprises mettent en place le moindre cadre : pas de charte, pas de comité de suivi, pas de processus de validation des cas d’usage. Les salariés ont pris de l’avance sur leurs employeurs, et c’est maintenant ce décalage qu’il faut rattraper.
Les freins ne sont pas techniques
Le même rapport de Bpifrance Le Lab détaille les réticences des dirigeants : la crainte de mésusage des données confidentielles (33 %), le manque de compétences ou de formation en interne (26 %), la difficulté à identifier les bons cas d’usage (23 %) et la résistance des équipes (22 %). Aucun de ces quatre freins ne se résout par l’achat d’un outil supplémentaire. Ils appellent une organisation interne : des règles écrites, des rôles clairs et un point de contact identifié quand un collaborateur hésite à coller un contrat client dans ChatGPT.
Sans cadre, deux scénarios se répètent dans les entreprises françaises : soit l’IA générative reste interdite sur le papier et utilisée en pratique sur les téléphones personnels des équipes (le « shadow AI »), soit elle est autorisée sans aucune limite et finit par exposer des données clients ou du code propriétaire à des services tiers. Le cadre de gouvernance sert justement à éviter ces deux extrêmes.
Ce que la loi impose déjà, indépendamment de toute bonne volonté
Utiliser ChatGPT, Copilot ou tout autre outil d’IA générative avec des données personnelles de clients ou de salariés constitue un traitement au sens du RGPD. Selon la CNIL, l’entreprise qui utilise l’outil est responsable de ce traitement, pas l’éditeur du modèle : elle doit informer les personnes concernées conformément aux articles 13 et 14 du RGPD, et documenter ses choix comme pour n’importe quel autre traitement de données.
À cela s’ajoute le règlement européen sur l’IA. En cas de manquement aux pratiques interdites ou aux obligations essentielles des systèmes à haut risque, l’amende prévue par le règlement (UE) 2024/1689 atteint jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, le montant le plus élevé des deux étant retenu ; les autres manquements sont plafonnés à 15 millions d’euros ou 3 %, et la transmission d’informations inexactes aux autorités à 7,5 millions d’euros ou 1 %. Les interdictions de pratiques prohibées sont applicables depuis le 2 février 2025, les obligations relatives aux modèles d’IA à usage général depuis le 2 août 2025, et l’ensemble des obligations pour les systèmes à haut risque entre en vigueur le 2 août 2026.
Concrètement, le règlement impose une gestion des risques continue et non un document rédigé une fois puis oublié dans un tiroir : cartographie des systèmes utilisés, classification par niveau de risque, documentation des données d’entraînement quand l’entreprise développe ou personnalise un modèle, et mise à jour à chaque changement significatif d’usage.
Les six briques d’un cadre de gouvernance qui tient la route
1. Cartographier les usages réels, pas les usages déclarés
Avant d’écrire une seule ligne de charte, il faut savoir ce qui se passe déjà : quels outils d’IA générative sont utilisés, par quelles équipes, sur quels types de données. Cette cartographie révèle presque toujours des usages non déclarés au service informatique. C’est le point de départ obligé, pas une étape à sauter pour aller plus vite.
2. Rédiger une charte IA opposable, pas symbolique
La charte doit distinguer les données interdites de saisie sans validation préalable (données personnelles, données financières, données stratégiques, code source propriétaire) des usages libres. Un document flou du type « utilisez l’IA de façon responsable » ne protège personne en cas de contrôle ou de contentieux. La charte doit être validée par le DPO et un juriste pour vérifier son alignement avec le RGPD et le règlement européen sur l’IA, faute de quoi elle n’a aucune valeur en cas de litige.
3. Nommer un comité de gouvernance et des référents
Le DPO valide les cas d’usage impliquant des données personnelles. Le RSSI valide les aspects sécurité. Des référents par direction métier valident la pertinence fonctionnelle des outils dans leur périmètre. Sans ces trois rôles clairement assignés, chaque nouvelle demande d’outil IA remonte au hasard et finit par ne remonter nulle part.
4. Définir un circuit de validation pour chaque nouvel outil
Un salarié qui veut utiliser un nouvel outil d’IA doit savoir à qui s’adresser et sous combien de temps il aura une réponse. Sans circuit défini, deux issues : soit il abandonne et attend des mois, soit il l’utilise sans autorisation. La seconde option est plus fréquente, et c’est précisément le risque que la gouvernance cherche à limiter.
5. Former, pas seulement communiquer
Une note interne annonçant l’existence d’une charte n’apprend à personne à repérer une hallucination du modèle ou à reconnaître une donnée sensible avant de la coller dans un prompt. La formation doit être pratique, par petits groupes, et adaptée aux outils réellement utilisés par chaque équipe plutôt que générique.
6. Réviser le dispositif au moins une fois par an
Les outils, les usages et les obligations réglementaires évoluent en continu. Une charte figée devient obsolète en quelques mois. Un comité de suivi qui se réunit régulièrement et une révision formelle annuelle du document permettent de suivre ces changements sans repartir de zéro à chaque fois.
Les erreurs qui coûtent le plus cher
La première erreur consiste à confier tout le sujet au service informatique seul, en pensant que la gouvernance de l’IA est un problème technique. Elle est d’abord un problème d’organisation et de droit : le DPO et le RSSI doivent être impliqués dès la conception du cadre, pas consultés après coup pour valider un choix déjà fait.
La deuxième erreur est d’interdire purement et simplement l’IA générative en entreprise. Cette approche pousse les usages vers les appareils personnels des salariés, hors de tout contrôle, et prive l’entreprise des gains de productivité que ses concurrents captent déjà.
La troisième erreur est de traiter la charte IA comme un document RH classique, sans lien avec le RGPD ni avec le règlement européen sur l’IA. En cas de contrôle de la CNIL ou de contentieux avec un salarié ou un client, un document non articulé avec ces textes ne protège pas l’entreprise.
Par où commencer
Le déploiement d’un cadre de gouvernance suit généralement le même enchaînement : cartographie des usages existants, rédaction de la charte avec le DPO et un juriste, validation par la direction générale et consultation du CSE, désignation des référents, puis premières sessions de formation par équipe. Chaque étape peut avancer en parallèle des autres, à condition que quelqu’un soit officiellement responsable de piloter l’ensemble. C’est souvent l’absence de pilote identifié, plus que la complexité du sujet, qui fait traîner ces projets pendant des mois.
Pour aller plus loin : notre guide complet, IA et cybersécurité en entreprise : le guide pour se protéger de la fraude par deepfake en 2026, Ce que l’IA rapporte vraiment aux PME françaises en 2026 (chiffres à l’appui), IA au travail 2026 : quels métiers transforme-t-elle vraiment (et lesquels menace-t-elle) ?.