IA en entreprise : l'encadrer sans se faire déborder.

Vos équipes l'utilisent déjà

Dans la plupart des TPE et PME, l'usage de l'intelligence artificielle générative a commencé sans décision de la direction : un commercial reformule ses mails avec ChatGPT, une assistante résume des comptes rendus avec Copilot, un graphiste teste Midjourney. Cet usage spontané, souvent sur des comptes personnels gratuits, s'appelle le « shadow AI » : des outils efficaces, aucune règle interne, aucune visibilité pour le dirigeant. Interdire ne fonctionne pas (l'usage passe sur les téléphones personnels) ; ignorer non plus. Reste la troisième voie : encadrer l'utilisation.

Les 3 risques réels, sans catastrophisme

Trois risques concentrent l'essentiel des ennuis possibles.

• Les données. Ce qui est collé dans un outil d'IA générative grand public sort de l'entreprise, parfois pour l'entraînement des modèles. Données personnelles de clients ou de salariés : c'est un sujet de conformité RGPD, encadré par les recommandations de la CNIL sur l'IA et le RGPD. Données confidentielles (prix, contrats, stratégie) : c'est un sujet de survie commerciale. Le détail mérite un article à part : où vont les données que vous confiez à ChatGPT.
• La propriété intellectuelle. Qui détient les droits sur un contenu généré ? Que contenait l'entraînement de l'outil ? Les réponses varient selon les outils et les conditions d'utilisation : les connaître avant de publier un contenu généré évite les mauvaises surprises.
• La fiabilité. Une IA générative produit des réponses plausibles, pas des réponses garanties. Sans règle de vérification humaine, l'erreur confiante finit dans un devis, un contrat ou un mail client.

La charte d'usage en 5 règles

Inutile de produire 30 pages de gouvernance : une charte d'usage de l'IA tient sur une page, et c'est sa brièveté qui la fera appliquer. Les cinq règles qui couvrent l'essentiel :

1. Les outils autorisés. Une liste courte d'outils validés par l'entreprise (versions professionnelles de préférence), plutôt qu'une interdiction générale invérifiable.
2. Les données interdites. Jamais de données personnelles de clients ou de salariés, jamais de données confidentielles dans un outil grand public. La règle la plus importante des cinq.
3. La vérification humaine. Tout contenu généré est relu et validé par son auteur avant d'engager l'entreprise. L'IA assiste, le salarié signe.
4. La transparence. Chacun peut dire qu'il utilise l'IA et pour quoi. Les usages cachés sont le vrai risque.
5. Le circuit de question. Un référent identifié répond aux cas limites, plutôt que chacun tranche seul.

Pour lui donner une portée réelle, la charte peut être annexée au règlement intérieur ou à la charte informatique existante, avec l'appui du conseil habituel de l'entreprise pour la mise en conformité.

Former, nommer un référent, réviser

Une charte sans formation reste un document. Une demi-journée suffit pour les équipes : ce que les outils font vraiment de vos données, les bons réflexes, les usages qui font gagner du temps dans votre métier. Nommez ensuite un référent IA (pas forcément technique : quelqu'un de curieux et de fiable) et révisez les règles internes tous les six mois, parce que les outils changent vite. C'est exactement la logique du pôle IA & Pilotage de notre expertise : le cadrage des usages d'abord, les cas d'usage utiles ensuite. Et c'est aussi le choix qu'on a fait pour l'application Moogi : hébergée en France, zéro rétention des données côté IA, parce que la gouvernance se prouve dans l'architecture, pas dans les promesses.

Questions fréquentes

Faut-il interdire ChatGPT en entreprise ?

Non, sauf secteur très sensible. L'interdiction générale est invérifiable : l'usage continue sur les appareils personnels, sans aucun contrôle. La stratégie efficace consiste à autoriser une liste d'outils (en version professionnelle de préférence), à interdire explicitement certaines données, et à imposer la vérification humaine des contenus générés.

Que doit contenir une charte d'usage de l'IA en entreprise ?

Cinq rubriques : les outils autorisés, les données qui ne doivent jamais y entrer (données personnelles, informations confidentielles), l'obligation de vérification humaine avant tout usage engageant, la transparence sur les usages, et le référent à contacter en cas de doute. Une page suffit ; annexée au règlement intérieur, elle acquiert une valeur contraignante.

L'utilisation de l'IA en entreprise est-elle soumise au RGPD ?

Oui, dès que des données personnelles sont en jeu : les faire traiter par un outil d'IA est un traitement de données comme un autre. La CNIL publie des recommandations dédiées à la conformité RGPD des systèmes d'IA. En pratique, la règle simple pour une PME : aucune donnée personnelle de clients ou de salariés dans un outil d'IA générative grand public.

Sources

1. CNIL, IA : comment être en conformité avec le RGPD (consulté en octobre 2026)
2. CNIL, Les fiches pratiques IA (consulté en octobre 2026)