Comment une PME met-elle en place une gouvernance de l'IA concrète ?

Ce que la gouvernance de l'IA signifie vraiment pour une PME

La gouvernance n'est pas de la bureaucratie mais un ensemble de décisions claires : qui peut utiliser quel outil d'IA, pour quel usage, avec quelles données, et comment le résultat est-il contrôlé ? Pour une PME, il ne s'agit pas de copier les cadres des grands groupes, mais d'en bâtir une version applicable, adaptée à l'équipe et réellement suivie.

La pression est réelle. Sans règles apparaît le shadow AI : les collaborateurs collent des données clients, des contrats ou du code source dans des chatbots gratuits sans savoir où vont les données. En parallèle, la loi révisée sur la protection des données (nLPD) et l'EU AI Act extraterritorial exigent de plus en plus une diligence démontrable. Une gouvernance légère protège des deux - fuite de données et non-conformité - et rend la valeur de l'IA prévisible plutôt qu'accidentelle.

Rôles : qui pilote la gouvernance de l'IA dans une petite équipe

Vous n'avez pas besoin d'un Chief AI Officer. Vous avez besoin d'une personne désignée et responsable et de quelques tâches clairement réparties. L'essentiel est la responsabilité : une personne précise tient l'inventaire à jour, répond aux questions et valide les nouveaux cas d'usage. Le reste peut rester réparti et léger.

• Sponsor (direction) : fixe le cadre, fournit budget et soutien, porte la responsabilité ultime.
• Responsable IA (souvent lead IT ou dirigeant) : entretient charte et inventaire, évalue les nouveaux outils, sert de point de contact.
• Référent protection des données : vérifie les implications sur les données personnelles ; dans une PME souvent la même personne, sollicitée sur les sujets liés à la nLPD.
• Utilisateurs (tout le personnel) : respectent la charte, signalent les contenus produits par l'IA et remontent les incidents.

La charte d'IA d'une page : que faut-il y mettre

Une bonne charte de PME tient sur une page et se lit parce qu'elle est courte et concrète. Elle répond aux questions qui se posent réellement au quotidien : quels outils sont autorisés, quelles données ne doivent jamais y être saisies, qui reste responsable et comment l'usage de l'IA est rendu transparent.

• Outils autorisés et interdits - une courte liste de services approuvés et la règle de faire valider tout nouvel outil au préalable.
• Classification des données - nommer clairement ce qui ne doit jamais être saisi : données personnelles, secrets d'affaires, identifiants, contenus clients confidentiels.
• Responsabilité humaine - l'IA assiste, elle ne décide pas ; les collaborateurs restent responsables du résultat.
• Transparence - lorsque pertinent ou requis, signaler les contenus générés par l'IA, en interne comme en externe.
• Obligation de revue - vérifier les résultats (faits, biais, confidentialité) avant qu'ils ne sortent ou n'appuient une décision.

Supervision humaine : garder une personne dans la boucle

Tous les usages de l'IA n'exigent pas le même contrôle. Le brouillon d'un e-mail interne diffère de la présélection de candidatures. La règle : plus l'impact sur les personnes est fort, plus la revue humaine est contraignante. L'EU AI Act exige explicitement une supervision humaine effective pour les systèmes à haut risque, un bon repère même là où vous n'y êtes pas (encore) légalement tenu.

• Toujours une revue humaine : décisions d'embauche, de crédit, de licenciement, de prix, de santé ou de sécurité, et tout ce qui est juridiquement contraignant.
• Un échantillon suffit : pour un risque faible (brouillons internes, remue-méninges), des contrôles ponctuels suffisent.
• Pas de confiance aveugle : le relecteur doit pouvoir contredire le résultat de l'IA et ne pas s'y fier automatiquement (biais d'automatisation).

Documentation : l'inventaire IA comme colonne vertébrale

Le seul document vraiment nécessaire est un simple inventaire IA - un tableur, pas un classeur. Il montre d'un coup d'œil où l'IA est utilisée dans l'entreprise, avec quelles données et qui en est responsable. Ce registre est la base de la revue des risques, de la diligence fournisseur et de la démontrabilité qu'exigent la nLPD et l'EU AI Act.

• Par cas d'usage, noter : outil, finalité, types de données, responsable, niveau de risque, statut du contrat de sous-traitance des données.
• Diligence fournisseur : lieu d'hébergement, sous-traitants ultérieurs, si les saisies servent à l'entraînement, et un DPA adapté.
• Pour les données personnelles : évaluer si une analyse d'impact est nécessaire et consigner l'activité dans le registre des traitements.

Revue des risques allégée et cadre juridique suisse

Avant qu'un nouveau cas d'usage passe en production, une courte triage de quelques minutes suffit : quelles données sont concernées, qui est affecté par le résultat et que se passe-t-il en cas d'erreur ? L'EU AI Act raisonne par niveaux de risque - inacceptable, élevé, limité, minimal - et la même logique aide les PME à concentrer l'effort là où il compte. La plupart des usages en PME sont à risque minimal ou limité ; les rares cas sensibles se repèrent tôt.

Pour les PME suisses, deux points de repère s'appliquent en parallèle. D'abord la nLPD révisée, supervisée par le PFPDT - pas le RGPD, même si beaucoup se ressemble. Ensuite l'EU AI Act, qui s'applique de manière extraterritoriale dès que les résultats sont utilisés dans l'UE ou que vous servez des clients de l'UE. Anticiper les deux évite de tout refaire plus tard. Des programmes comme Innosuisse et des modèles suisses autour de l'ETH et de l'EPFL (tels qu'Apertus) montrent aussi que des options d'IA locales et respectueuses de la vie privée sont de plus en plus disponibles.

Prêt en 90 jours : une feuille de route réaliste

• Jours 1-30 : désigner le responsable IA, recenser les usages existants y compris le shadow AI et remplir l'inventaire une première fois.
• Jours 31-60 : adopter la charte d'une page, décider des outils approuvés et organiser une courte formation de l'équipe.
• Jours 61-90 : appliquer la triage des risques aux cas en cours, vérifier les DPA et planifier une revue trimestrielle récurrente.
• En continu : tenir l'inventaire à jour, valider les nouveaux cas d'usage, consigner les incidents et réviser la charte chaque année.