En bref : gouverner l’IA en entreprise, c’est décider quels outils sont autorisés, pour quels usages, avec quelles données et sous la responsabilité de qui. Ces règles ne tiennent que si les personnes qui utilisent l’IA savent les appliquer, et l’AI Act en fait une obligation : depuis le 2 février 2025, son article 4 demande aux entreprises qui utilisent des systèmes d’IA d’agir pour la maîtrise de l’IA de leur personnel. Une gouvernance qui fonctionne repose sur une charte d’usage, un registre des outils, des rôles nommés, une formation adaptée à chaque niveau et quelques indicateurs suivis.
Que dit l’AI Act sur la formation des salariés ?
Le règlement (UE) 2024/1689, l’AI Act, consacre son article 4 à la « maîtrise de l’IA ». Il vise les fournisseurs, mais aussi les déployeurs : toute organisation qui utilise un système d’IA sous sa propre autorité, hors usage personnel. Une PME dont les commerciaux rédigent leurs relances avec ChatGPT est concernée.
Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, entré en vigueur le 27 juillet 2026, a réécrit cet article. Les entreprises doivent désormais prendre des mesures pour « favoriser le développement de la maîtrise de l’IA » de leur personnel, en tenant compte de leurs connaissances, de leur expérience et du contexte d’utilisation, sans avoir à garantir un niveau donné pour chaque individu. Il reste une obligation d’agir, et il faut pouvoir montrer ce qui a été fait. Notre article sur les obligations de l’AI Act présente les niveaux de risque du règlement.
Pourquoi une charte ne suffit-elle pas sans formation ?
Un scénario revient souvent : la direction envoie une charte par mail, et six mois plus tard rien n’a bougé. Des salariés utilisent leur compte personnel, collent des extraits de contrats dans un outil grand public ou publient un texte généré sans relecture. La règle existe, personne n’a appris à l’appliquer à son travail.
La CNIL relie les deux dans ses questions-réponses sur l’IA générative : encadrer l’usage par des chartes internes qui définissent les usages autorisés et interdits, et familiariser les utilisateurs avec le fonctionnement et les limites de ces systèmes. Une formation courte, construite sur les tâches réelles de l’équipe, transforme la charte en réflexes.
Que mettre dans une charte d’usage de l’IA ?
Une charte utile tient sur deux pages. Elle liste les outils autorisés et le type de compte à utiliser. Elle dit quelles données ne jamais saisir : données personnelles de clients ou de salariés, secret des affaires, documents sous accord de confidentialité. Elle fixe les usages qui demandent une relecture humaine avant diffusion, et ceux qui sont exclus, comme laisser un outil trier seul des candidatures. Elle indique à qui poser une question ou signaler un incident.
Ajoutez la transparence. L’article 50 de l’AI Act, applicable depuis le 2 août 2026, impose par exemple d’indiquer qu’une image, un son ou une vidéo réaliste a été généré ou manipulé par une IA. La charte en fait des consignes simples pour le marketing et la communication.
Comment tenir le registre des usages et des outils ?
Le registre dit qui utilise quoi, pour faire quoi, avec quelles données. Sans lui, impossible de savoir si un usage entre dans une catégorie à haut risque de l’AI Act (le recrutement figure à l’annexe III) ou s’il traite des données soumises au RGPD. Un tableur partagé suffit.
| Colonne | Exemple |
|---|---|
| Outil et compte | Claude, compte entreprise |
| Usage | Synthèse des rendez-vous clients |
| Responsable | Directrice commerciale |
| Données traitées | Noms de contacts, historique d’échanges |
| Risque AI Act | Minimal, aucune décision automatisée |
| RGPD | Inscrit au registre de l’article 30 |
| Prochaine revue | Dans six mois |
Remplissez-le en interrogeant les équipes. Les usages non déclarés apparaissent souvent en formation, quand les participants montrent comment ils travaillent vraiment.
Qui fait quoi : référent IA, DPO, managers ?
Nommez des personnes et donnez à chacune la formation qui correspond à son rôle.
| Rôle | Missions | Formation utile |
|---|---|---|
| Direction | Arbitre budget, outils et usages exclus | Cadre légal, risques |
| Référent IA | Tient charte et registre, valide les outils | AI Act, RGPD, audit |
| DPO | Vérifie données, contrats, analyses d’impact | Articulation AI Act et RGPD |
| Managers | Appliquent la charte, repèrent les cas d’usage | Cadrage, contrôle qualité |
La CNIL note que le DPO peut servir de point de contact pour remonter les problèmes, et suggère un référent ou un comité éthique pour les usages sensibles. Dans une entreprise de vingt personnes, un point mensuel d’une demi-heure entre ces rôles suffit souvent.
Comment former chaque niveau de l’entreprise ?
L’article 4 demande de tenir compte des connaissances et du contexte de chacun, donc une formation unique rate sa cible. La direction a besoin des obligations, des risques et des arbitrages : une demi-journée à une journée. Les managers doivent savoir cadrer les usages de leur équipe et contrôler la qualité de ce que l’IA produit. Les utilisateurs ont besoin de pratique : écrire une consigne précise, vérifier une réponse, reconnaître une donnée à ne pas saisir.
Partez des tâches réelles de chaque service. Notre guide pour former son équipe à l’IA détaille l’ordre des étapes, et l’article sur le plan de développement des compétences IA montre comment l’inscrire au budget formation.
Comment savoir si la gouvernance fonctionne ?
Suivez quatre indicateurs : la part des personnes formées par niveau, l’écart entre les outils du registre et ceux réellement utilisés, le nombre de questions remontées au référent, la date de dernière révision de la charte. Un registre figé depuis un an signale une gouvernance à l’arrêt. Conservez les preuves de formation (programmes, émargements, attestations) : elles documentent les mesures prises au titre de l’article 4. Pour fixer un point de départ, le diagnostic IA note à part les usages, les outils, les process et le cadre, et se refait au bout de quelques mois pour comparer.
Questions fréquentes
L’AI Act oblige-t-il à former tous les salariés ?
L’article 4 vise le personnel qui utilise des systèmes d’IA pour le compte de l’entreprise. Il demande des mesures adaptées au rôle de chacun, sans diplôme ni niveau garanti par personne. Les salariés qui utilisent l’IA chaque jour passent en premier.
Une PME doit-elle nommer un référent IA ?
Aucun texte ne l’impose sous ce nom. Il faut pourtant quelqu’un pour tenir la charte et le registre. La CNIL recommande un référent ou un comité pour les usages sensibles de l’IA générative.
Quelle différence entre le registre des usages IA et le registre RGPD ?
Le registre de l’article 30 du RGPD recense les traitements de données personnelles. Le registre IA recense les outils et leurs usages, même sans donnée personnelle. Un usage IA qui traite des données personnelles figure dans les deux.
Faut-il interdire les outils d’IA grand public ?
Une interdiction sans alternative pousse vers les comptes personnels. Fournissez un outil en offre entreprise, précisez ce qui peut y être saisi et formez les équipes. La CNIL recommande de ne jamais partager de données personnelles ou confidentielles avec un service grand public.
Aller plus loin
Pour poser le cadre légal en une journée (7 h) et repartir avec une grille d’audit, un modèle de politique IA et un plan d’action à 90 jours, suivez la formation IA en entreprise : cadre légal, audit et conformité. Pour former direction, managers et utilisateurs sur vos propres outils, Node it, organisme certifié Qualiopi, construit des formations intra-entreprise.
