Gouvernance de l'IA : la charte minimale d'une ETI

Dans la plupart des ETI que nous rencontrons, l'IA est arrivée avant la gouvernance. Un commercial rédige ses offres avec un assistant grand public, la finance teste un outil de rapprochement, l'éditeur de l'ERP active une fonction « intelligente » par défaut. Personne n'a mal agi, mais personne n'a décidé. La direction ne peut donc plus répondre à trois questions simples : quelles données sortent de l'entreprise, qui valide les résultats, et qui répond en cas de problème.

Une charte minimale a pour seul objet de répondre à ces trois questions. Elle ne remplace pas un dispositif de conformité complet, elle en pose le socle.

Pourquoi une charte, et pourquoi minimale

Le cadre juridique est déjà là, même s'il n'est pas spécifique à l'IA. En Suisse, la loi sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, s'applique à tout traitement de données personnelles, y compris par un outil d'IA : devoir d'information, protection dès la conception, analyse d'impact lorsque le risque est élevé, règles sur les décisions individuelles automatisées. Nous avons détaillé ces points dans notre article sur la LPD révisée quinze mois après.

Le règlement européen sur l'IA (AI Act), entré en vigueur le 1er août 2024, concerne aussi les entreprises suisses qui mettent des systèmes sur le marché européen ou dont les résultats sont utilisés dans l'Union. Son application est progressive : interdictions et obligation de maîtrise de l'IA par le personnel depuis février 2025, obligations sur les modèles d'IA à usage général à partir d'août 2025, l'essentiel du reste à partir d'août 2026. La Suisse n'a pas, à ce stade, de loi générale sur l'IA et s'oriente plutôt vers des adaptations sectorielles. Une ETI exportatrice est donc, de fait, soumise à deux régimes.

« Minimale » signifie : quatre à six pages, lisibles en quinze minutes par un collaborateur, signées par la direction. Une charte que personne ne lit est un risque supplémentaire, pas une protection.

Étape 1 : inventorier les usages réels (semaines 1 à 3)

On ne gouverne pas ce que l'on ne voit pas. Interrogez chaque fonction sur ses usages, en incluant l'IA intégrée aux logiciels déjà déployés (CRM, ERP, messagerie, outils RH) et les outils utilisés à titre personnel. Annoncez dès le départ qu'aucune sanction ne sera prise pour un usage déclaré : l'objectif est la visibilité.

Le résultat est un registre simple : usage, outil, types de données concernées, responsable, population touchée, lieu d'hébergement du fournisseur.

Étape 2 : nommer des responsabilités

Trois rôles suffisent. Un sponsor au sein de la direction, généralement le CEO ou le CFO. Un référent par usage, qui répond de son résultat. Un comité restreint de quatre personnes (direction, informatique, juridique ou DPO, métier), réuni tous les mois pendant 90 minutes. Il n'est pas nécessaire de créer une fonction nouvelle.

Étape 3 : classer les usages en trois niveaux

C'est le cœur de la charte, et ce qui la rend proportionnée.

• Niveau vert : ni données personnelles ni données confidentielles, aucun effet direct à l'extérieur (reformulation d'un texte interne, aide à la recherche). Usage libre, dans les outils autorisés.
• Niveau orange : données confidentielles ou personnelles, ou résultat destiné à un client. Outil validé, relecture humaine obligatoire, usage inscrit au registre.
• Niveau rouge : décisions affectant des personnes (recrutement, évaluation, crédit, tarification individuelle), sécurité, activités réglementées. Approbation du comité, analyse d'impact, documentation.

Ce classement recoupe la logique de l'AI Act, qui range par exemple certains usages en recrutement parmi les systèmes à haut risque. Il évite de traiter un résumé de réunion comme un outil de présélection de candidats.

Étape 4 : fixer les règles sur les données

Précisez, pour chaque niveau, quelles données peuvent entrer dans quels outils. Trois règles tiennent souvent sur une page : aucune donnée personnelle de clients ou de collaborateurs dans un outil non validé ; pour les outils validés, une licence professionnelle excluant l'entraînement sur vos données, inscrite au contrat ; une vérification de l'hébergement et des sous-traitants, avec les règles de la nLPD sur les transferts à l'étranger.

La qualité des données entrantes compte autant que leur confidentialité, point développé dans Pas d'IA sans données propres. Pour la mise en pratique côté données clients, notre cas d'usage sur la conformité LPD des données clients illustre la démarche.

Étape 5 : exiger supervision humaine et traçabilité

Pour les niveaux orange et rouge, une personne nommée valide le résultat avant tout effet externe. La règle de base : aucune production d'IA n'est transmise à un client, à une autorité ou à un candidat sans relecture. La responsabilité reste celle de l'entreprise et du collaborateur, jamais de l'outil. Pour le rouge, conservez une trace de la décision, des données utilisées et de la validation.

Étape 6 : encadrer les fournisseurs

Un court questionnaire (huit à dix questions) suffit : usage des données saisies, durée de conservation, localisation, sous-traitants, notification d'incident, information en cas de changement de modèle, documentation disponible. À partir d'août 2025, les fournisseurs de modèles à usage général auront des obligations de documentation : demandez-la systématiquement. Côté contrat, prévoyez un droit d'information et de sortie.

Étape 7 : former, puis réviser

Une session de deux heures par fonction, centrée sur des cas réels de l'entreprise, vaut mieux qu'un module générique. Prévoyez aussi une procédure d'incident d'une demi-page (qui prévenir, sous quel délai, qui décide d'une éventuelle annonce). Le registre est revu chaque trimestre, la charte chaque année. Un suivi régulier des textes, voire une veille réglementaire automatisée, évite de découvrir une évolution trop tard.

Un ordre de grandeur de l'effort

Prenons une entreprise industrielle de 300 personnes, avec ces hypothèses : 25 usages identifiés, dont 15 verts, 8 orange et 2 rouges. L'inventaire mobilise typiquement six à huit jours-personnes répartis entre les fonctions, la rédaction de la charte environ cinq jours, le comité moins d'une journée par mois (quatre personnes, 90 minutes). Le poste le plus lourd est la formation : 300 collaborateurs pendant deux heures représentent 600 heures. D'où l'intérêt de commencer par les fonctions exposées (commercial, finance, RH, achats) et d'étaler le reste sur l'année.

Ce coût se pilote comme les autres : budget, responsable, indicateurs de suivi, ce que notre expertise Finance & performance aide à structurer.

Les erreurs que nous voyons le plus souvent

• Tout interdire. Les usages passent alors dans l'ombre et le risque augmente.
• Rédiger un texte juridique que personne ne comprend, sans exemple concret.
• Ne désigner aucun responsable, de sorte que le registre s'éteint après deux mois.
• Considérer la charte comme figée alors que les outils et les textes évoluent.

Cette charte relève de notre approche globale de Données, IA & conformité : un cadre simple d'abord, des usages ensuite, et l'IA seulement là où elle sert l'objectif.

Si vous souhaitez savoir où se situe votre entreprise sur ces sept étapes, notre diagnostic permet d'établir en quelques semaines un état des lieux et des priorités.