Votre démonstrateur fonctionne. Puis viennent les données réelles, les délais, les utilisateurs et les changements de fournisseur. Si le résultat dérape, qui en répond ?
Un pilote prouve une possibilité. La production exige un responsable, des preuves, des limites et une décision d’arrêt.
L’essentiel en 60 secondes
- Cadrez un seul cas d’usage métier.
- Choisissez : autoriser, assister, valider, signaler, restreindre ou bloquer.
- Avant la production, répondez aux dix questions sur les responsabilités, les données, les tests, le suivi et le repli.
- Adaptez les contrôles aux opérations, aux contenus et au code.
- Consultez un spécialiste pour les enjeux juridiques, RGPD, de droit du travail, de propriété intellectuelle (PI), de cybersécurité ou sectoriels.
La gouvernance ne prouve ni la conformité ni la sécurité.
Dans cet article
- Du pilote à la production
- Choisir la règle d’exploitation
- Les dix questions avant la mise en production
- Trois flux, trois niveaux de contrôle
- Le plan des dix premiers jours
- Quand s’arrêter et faire intervenir un spécialiste
- Conclusion
- Questions fréquentes
- Sources
1. Du pilote à la production
Selon le Baromètre France Num 2025, enquête pondérée auprès de 11 021 TPE/PME du 26 mars au 18 avril, 26 % déclarent utiliser l’IA et 22 % l’IA générative. Ces réponses ne mesurent ni la fréquence d’usage, ni la maturité, ni la valeur créée, ni l’intention d’achat.
Un pilote teste des entrées choisies, avec son concepteur à proximité. La production ajoute les exceptions, les conséquences pour les clients, les changements, les incidents et la maintenance.
Le cadre volontaire du NIST, non prescriptif, relie gouvernance, contexte, mesure et réponse sans prouver l’efficacité d’un contrôle.
2. Choisir la règle d’exploitation
| Règle | Quand l’utiliser | Contrôle minimum |
|---|---|---|
| Autoriser | Travail interne, réversible, à faible enjeu | Outil approuvé et responsable nommé |
| Assister | La personne reste l’auteur ou l’analyste | Tâche et sources cadrées |
| Valider | Le résultat touche le client ou la marque | Cas testés et valideur nommé |
| Signaler | Une décision de transparence est requise | Périmètre, mention et trace |
| Restreindre | Données sensibles, code ou droits élevés | Moindre privilège et tests renforcés |
| Bloquer | Responsable, base légale, test ou reprise manquants | Refonte ou avis d’un spécialiste qualifié |
Le contrôle dépend des conséquences, de la réversibilité, de la sensibilité et du pouvoir d’action. Le statut de PME ne rend pas anodin un usage à fort enjeu. Le règlement européen sur l’IA (« AI Act ») et le RGPD peuvent imposer des obligations liées au rôle et à l’usage. Cette matrice ne classe pas votre système et n’établit pas sa conformité.
3. Les dix questions avant la mise en production
Avant de confier au système des données de production, un public externe, du code ou des outils capables d’agir, posez les questions suivantes :
- Finalité et responsabilité : quelle tâche et quel résultat sont dans le périmètre, et qui assume la décision ?
- Situation de référence : comment la tâche fonctionne-t-elle sans IA, y compris les reprises, la charge de validation et les conséquences des erreurs ?
- Périmètre du système : quels services, versions, consignes, sources, extensions et destinations interviennent ?
- Données et droits : quelles données personnelles, confidentielles ou protégées circulent ?
- Autorité : que peut faire le système, et quelles décisions restent sous responsabilité humaine ?
- Acceptation : quels cas normaux, limites, refus et abus ont été testés ? Quels échecs restent ?
- Validation humaine : le valideur peut-il repérer et refuser une erreur en conditions réelles ?
- Sécurité et fournisseurs : quels accès, composants, changements et incidents sont maîtrisés, et quelle solution est prévue si le fournisseur doit être remplacé ?
- Exploitation : pour chaque signal, quel seuil, quel responsable, quelle action autorisée et quelle durée de conservation ?
- Retour arrière : comment revenir à une configuration connue et sûre ou à un processus manuel, et quels changements imposent une nouvelle validation ?
Les recommandations de la CNIL concernent le développement de systèmes utilisant des données personnelles. Le déploiement exige une évaluation distincte.
4. Trois flux, trois niveaux de contrôle
Opérations
Limitez ce que le système voit, recommande et exécute. Dans un circuit isolé, fixez les droits, les critères d’arrêt, le responsable des alertes et le repli manuel. Suivez les corrections, les incidents, la maintenance et les coûts.
Contenus
Pour les contenus, séparez les faits, les droits, la marque, la transparence et la correction. Le code lié à l’article 50 est volontaire et limité aux obligations visées. Il n’impose pas d’étiqueter tout contenu auquel une IA a contribué. Jugé adéquat dans ce périmètre, il n’apporte pas une preuve concluante de conformité ; l’application au cas concret exige une analyse qualifiée.
Code
Traitez le code assisté comme une contribution non vérifiée, sous responsabilité humaine. Protégez les dépôts et les identifiants, relisez les modifications, définissez les tests à partir des exigences et maintenez vos contrôles de développement sécurisé.
5. Le plan des dix premiers jours
- Nommez les responsables métier et technique, puis les spécialistes.
- Choisissez un usage limité et un pilote réversible.
- Inventoriez les utilisateurs, les données, les versions, les sources, les accès et les destinations.
- Identifiez les enjeux juridiques, RGPD, de droit du travail, de PI, de sécurité ou sectoriels.
- Choisissez la règle d’exploitation applicable - ou la combinaison nécessaire - parmi les six options.
- Définissez les résultats acceptables, les échecs graves, les refus et les validations.
- Vérifiez les données, les droits, la conservation, la réutilisation et les transferts.
- Isolez le pilote avec des droits minimaux et une reprise manuelle.
- Pour chaque signal, fixez un seuil, un responsable et une action autorisée ; attribuez l’autorité en cas d’incident et les critères de réexamen.
- Faites trancher les questions à fort enjeu avant toute mise en production ou exposition à des tiers.
Le guide France Num/LaborIA présente le déploiement au travail comme un changement d’organisation. Il demande de répartir la supervision, la maintenance et les retours, mais exclut les outils génératifs de texte et d’image et ne valide pas vos contrôles.
Ces dix jours ne garantissent pas une mise en production. Ils permettent d’identifier l’écart prioritaire et de décider entre un pilote, une refonte, l’avis d’un spécialiste ou un arrêt.
6. Quand s’arrêter et faire intervenir un spécialiste
Mettez le flux en pause avant toute mise en production ou exposition à des tiers s’il implique :
- un usage interdit ou à haut risque, le rôle, la conformité ou la transparence ;
- des données sensibles, une décision automatisée, un transfert, une surveillance ou une possible analyse d’impact relative à la protection des données (AIPD) ;
- le recrutement, l’évaluation, l’allocation, la surveillance ou une modification des conditions de travail ;
- les droits sur les sources ou données d’entraînement, les licences, les réserves de droits, les similarités ou la titularité des résultats ;
- une action privilégiée, une exposition à internet, une architecture sensible, une vulnérabilité ou un incident ;
- la santé, la finance, l’assurance, l’éducation, une infrastructure critique, un service public ou un produit réglementé.
Les conclusions juridiques, en matière de RGPD, de droit du travail, de PI, de cybersécurité et de réglementation sectorielle relèvent de spécialistes qualifiés.
Conclusion : la production commence par un responsable
Une charte utile nomme les responsables, répond aux questions et prévoit un repli.
Réduire ou écarter l’IA peut être utile.
Apportez un cas d’usage IA. On vous donne une lecture honnête.
Apportez un cas, votre charte et vos preuves. En 30 minutes, on cadre : pilote, contrôle, spécialiste ou arrêt.
Questions fréquentes
Elle relie chaque usage à un responsable, des preuves et des règles.
Pas nécessairement. Une charte peut être utile lorsque l’IA touche vos équipes, vos clients, vos données, vos contenus, votre code ou vos systèmes. Reliez chaque usage autorisé à un responsable et à une autorité d’arrêt.
Indiquez les outils et usages autorisés, les données exclues, les validations, les règles de contenu et de code, les incidents et l’autorité d’arrêt.
Proposez un chemin approuvé, protégez les données et soumettez les cas à fort enjeu à un valideur ou à un spécialiste.
Cela dépend. Le statut de PME n’accorde pas d’exemption générale : l’application dépend du système, de sa finalité, du rôle de l’entreprise et des faits. Confiez la classification à un spécialiste.
Sources
- France Num : Baromètre France Num 2025 - le numérique dans les TPE/PME
- France Num / LaborIA : Guide du déploiement de l’IA au travail à destination des dirigeants de TPE/PME
- CNIL : recommandations pour développer des systèmes d’IA conformes au RGPD
- NIST : cadre de gestion des risques liés à l’IA 1.0
- NIST : guide d’application du cadre de gestion des risques liés à l’IA
- NCSC et partenaires internationaux : principes de développement sécurisé des systèmes d’IA
- NIST : cadre de développement logiciel sécurisé 1.1
- Union européenne : règlement (UE) 2024/1689 sur l’intelligence artificielle
- Union européenne : règlement (UE) 2016/679 - RGPD
- Commission européenne : code de bonnes pratiques sur la transparence des contenus générés par l’IA
- Commission européenne et Comité européen de l’IA : évaluation de l’adéquation du code de transparence
Préparation : sources officielles et dossier signé d’IZZY, vérifiés le 13 juillet 2026. Ni avis juridique, ni évaluation de sécurité/conformité, ni prévision commerciale.