Encadrer les usages de l'IA avant qu'ils s'installent seuls

Vos équipes utilisent déjà l'IA, avec ou sans cadre. Ce qu'une politique d'usage doit couvrir, et comment l'écrire sans bloquer l'entreprise.

Écrit par les consultants de Lick & Shannon Partners. La gouvernance arrive généralement trop tard : quand la direction se pose la question, les usages sont déjà installés depuis des mois.

L'IA est déjà là, sans que vous l'ayez décidé

Dans presque toutes les entreprises où nous intervenons, des outils d'IA sont utilisés quotidiennement sans qu'aucune décision n'ait été prise. Ce n'est ni de la désobéissance ni un problème de discipline : les outils sont gratuits, accessibles depuis un navigateur, et ils résolvent un vrai problème.

La conséquence, elle, est réelle. Des documents internes, des données clients, parfois des données RH sont envoyés vers des services dont personne n'a vérifié l'hébergement ni les conditions d'utilisation.

Le premier geste d'une gouvernance n'est donc pas d'écrire une charte : c'est de constater ce qui est déjà utilisé, sans chercher de coupable. Une question posée sans menace en réunion d'équipe obtient des réponses honnêtes ; un audit annoncé comme un contrôle n'en obtient aucune.

Ce qu'une politique d'usage doit couvrir

Une politique d'usage utile tient en deux pages et répond à cinq questions concrètes :

Quels outils sont autorisés, et lesquels ne le sont pas. Une liste courte et à jour vaut mieux qu'un principe général.
Quelles données ne sortent jamais — données personnelles, données clients sous contrat, informations financières non publiées, secrets industriels. La règle doit être formulée en exemples, pas en catégories juridiques.
Ce qui doit être vérifié avant usage — tout contenu produit par un outil et destiné à sortir de l'entreprise est relu par une personne qui en répond.
Ce qui doit être signalé — mention d'un usage d'IA dans une production, information du client quand c'est contractuel.
Qui demander en cas de doute, avec un nom. Sans interlocuteur identifié, la règle n'est pas appliquée, elle est contournée.

Ce qu'il ne faut pas interdire

Une politique qui interdit largement produit exactement l'inverse de son objectif : les usages continuent, sur des comptes personnels, hors de toute visibilité. C'est la pire configuration possible — le risque est intact et l'entreprise ne le voit plus.

Ce qu'il ne faut donc pas interdire : l'usage sur des contenus non sensibles, la rédaction de premiers jets internes, la recherche documentaire, l'aide à la reformulation. Ce sont les usages qui font gagner du temps sans exposer quoi que ce soit.

Une politique crédible autorise explicitement. C'est ce qui la rend applicable — et c'est ce qui donne du poids aux quelques interdictions qu'elle pose.

Qui décide, qui contrôle

La gouvernance échoue quand elle est confiée à la seule direction informatique. Les questions posées ne sont pas techniques : elles portent sur ce qu'on accepte de déléguer, sur ce qu'on doit au client, sur ce qu'on dit aux équipes.

La direction tranche ce qui est autorisé et assume la position vis-à-vis des clients.
Les managers de proximité font vivre la règle au quotidien. S'ils ne la comprennent pas, elle n'existe pas.
Le référent désigné répond aux cas particuliers et tient la liste des outils à jour.
La fonction RH intervient dès que des données de salariés ou des décisions les concernant sont en jeu.

Prévoyez une révision tous les six mois. Le paysage des outils change vite, et une politique qui cite des services disparus perd toute autorité.

Ce cadre est générique. Il ne dit pas ce qui est déjà utilisé chez vous, ni quelles données sortent aujourd'hui sans que vous le sachiez — c'est le premier constat d'un diagnostic, et il surprend presque toujours la direction.

Demander un diagnostic IA

Deux semaines pour cartographier vos processus et sortir une liste de cas d'usage priorisés.

Demander un diagnostic IA Ce que contient un diagnostic

Pour aller plus loin

Les pages qui complètent celle-ci

Encadrer les usages de l'IA avant qu'ils s'installent seuls

Vos équipes utilisent déjà l'IA, avec ou sans cadre. Ce qu'une politique d'usage doit couvrir, et comment l'écrire sans bloquer l'entreprise.

Écrit par les consultants de Lick & Shannon Partners. La gouvernance arrive généralement trop tard : quand la direction se pose la question, les usages sont déjà installés depuis des mois.

L'IA est déjà là, sans que vous l'ayez décidé

Ce qu'une politique d'usage doit couvrir

Une politique d'usage utile tient en deux pages et répond à cinq questions concrètes :

Quels outils sont autorisés, et lesquels ne le sont pas. Une liste courte et à jour vaut mieux qu'un principe général.

Quelles données ne sortent jamais — données personnelles, données clients sous contrat, informations financières non publiées, secrets industriels. La règle doit être formulée en exemples, pas en catégories juridiques.

Ce qui doit être vérifié avant usage — tout contenu produit par un outil et destiné à sortir de l'entreprise est relu par une personne qui en répond.

Ce qui doit être signalé — mention d'un usage d'IA dans une production, information du client quand c'est contractuel.

Qui demander en cas de doute, avec un nom. Sans interlocuteur identifié, la règle n'est pas appliquée, elle est contournée.

Ce qu'il ne faut pas interdire

Une politique crédible autorise explicitement. C'est ce qui la rend applicable — et c'est ce qui donne du poids aux quelques interdictions qu'elle pose.

Qui décide, qui contrôle

La direction tranche ce qui est autorisé et assume la position vis-à-vis des clients.

Les managers de proximité font vivre la règle au quotidien. S'ils ne la comprennent pas, elle n'existe pas.

Le référent désigné répond aux cas particuliers et tient la liste des outils à jour.

La fonction RH intervient dès que des données de salariés ou des décisions les concernant sont en jeu.

Prévoyez une révision tous les six mois. Le paysage des outils change vite, et une politique qui cite des services disparus perd toute autorité.