Gouvernance IA de PME : la version qui tient en quatre documents

Une gouvernance IA de PME tient en quatre documents : une charte d'usage, un registre des usages, un plan de formation avec ses traces, et une fiche de responsabilité et de révision annuelle. Ces quatre pièces suffisent à répondre à la seule question qui compte vraiment le jour où un grand client, un assureur ou une autorité vous demande ce que vous avez mis en place.

Tout le reste est du confort, ou de la charge inutile.

Pourquoi les cadres de gouvernance disponibles ne tiennent pas dans une PME

Les référentiels de gouvernance de l'IA sont souvent pensés pour des organisations dotées d'un comité des risques, d'un juriste interne et d'un responsable de la conformité. Ils supposent des instances qui se réunissent, des politiques qui se déclinent en procédures, et des procédures qui se déclinent en modes opératoires.

Dans une entreprise de 30 salariés, personne n'a ce temps. Le dirigeant porte déjà trois fonctions. Le résultat est prévisible : le cadre est téléchargé, jamais rempli, et l'entreprise se retrouve avec zéro trace écrite plutôt qu'avec une gouvernance imparfaite mais réelle.

Le règlement (UE) 2024/1689, dit AI Act, n'exige pas ce niveau de formalisme d'une PME qui utilise des outils d'IA générative dans son travail quotidien. Il prévoit au contraire des formalités proportionnées pour les PME et les entreprises de taille intermédiaire. Pour situer précisément ce qui vous est dû, partez de ce qui s'applique vraiment à une PME en 2026.

L'objectif n'est donc pas de construire un système de gouvernance complet. C'est de pouvoir présenter, à froid, quatre documents datés et cohérents entre eux.

Les quatre documents d'une gouvernance IA de PME

1. La charte d'usage de l'IA

À quoi elle répond : quelles règles s'appliquent, à qui, et sur quels outils. C'est le document qui transforme des consignes orales en règles opposables.

Elle tient en deux pages. Elle nomme les outils autorisés, les catégories de données interdites en saisie, l'obligation de relecture humaine avant tout usage externe, et l'obligation de déclarer un nouvel usage. Le détail des clauses à écrire figure dans le modèle de charte d'usage de l'IA en entreprise.

Qui la tient : le dirigeant, ou le responsable des ressources humaines quand il existe. Coût de production : une demi-journée si vous partez d'un modèle rédigé. Coût de maintien : une relecture par an.

2. Le registre des usages

À quoi il répond : que fait-on réellement avec l'IA dans cette entreprise. C'est la pièce maîtresse, parce que c'est la seule qui contient des faits et non des intentions.

Une ligne par usage : le service concerné, l'outil, la tâche, les données saisies, le niveau de criticité, la personne responsable, la date de déclaration. Un tableur suffit largement au démarrage. Le contenu détaillé du registre des usages IA se construit à partir des déclarations de vos équipes, pas d'un audit technique du parc informatique.

Qui le tient : une personne désignée, qui centralise les déclarations. Coût de production : deux semaines calendaires pour la première campagne de recensement, dont environ une demi-journée de travail effectif. Coût de maintien : une mise à jour à chaque nouvelle déclaration, plus une revue trimestrielle.

3. Le plan de formation et ses traces

À quoi il répond : avez-vous soutenu la littératie IA de vos équipes. L'article 4 du règlement impose de prendre des mesures en ce sens, et la preuve attendue est un programme documenté plutôt que la compétence validée de chaque salarié. Le découpage par profils, les modules et les durées réalistes figurent dans le plan de formation IA des salariés.

Le document utile n'est pas le support de formation lui-même. C'est le tableau qui indique quel contenu a été diffusé, à quelle date, à quels participants, et sous quelle forme la présence a été enregistrée. Une réunion orale sans trace ne prouve rien.

Qui le tient : la même personne que le registre, le plus souvent. Coût de production : une journée pour bâtir le programme, quelques heures par session. Coût de maintien : une session annuelle, plus une session d'accueil pour les nouveaux arrivants.

4. La fiche de responsabilité et de révision annuelle

À quoi elle répond : qui décide, qui arbitre, et quand tout cela est revu. C'est le document le plus court et le plus souvent oublié.

Une page suffit. Elle contient le nom de la personne responsable du sujet IA, son périmètre de décision (valider un nouvel outil, autoriser un usage sensible, trancher un doute), la liste des documents en vigueur avec leur date de dernière révision, et la date de la prochaine revue.

Qui la tient : le dirigeant, parce que c'est un acte de délégation. Coût de production : une heure. Coût de maintien : une mise à jour par an, ou à chaque changement de responsable.

Comment ces quatre pièces répondent ensemble

Un jour, quelqu'un vous demandera de montrer ce que vous avez mis en place. Ce sera un grand client dans un questionnaire fournisseur, un assureur, un acheteur public dans un appel d'offres, ou une autorité nationale de surveillance.

La demande sera toujours la même : montrez-moi. Pas une déclaration d'intention, mais des documents. Qu'avez-vous écrit, quand, et qui en répond.

Les quatre pièces répondent dans cet ordre. La charte dit la règle. Le registre dit la réalité. Le plan de formation dit que les personnes concernées savent ce qu'elles font. La fiche de responsabilité dit qui tranche.

Datés et cohérents, ils forment un dossier de preuve défendable. Rangez ces quatre pièces au même endroit, dans un dossier unique, chaque fichier portant sa date dans son nom. Le jour où la demande arrive, l'envoi doit prendre dix minutes et non deux jours de recherche. C'est cette capacité à sortir le dossier vite qui sépare une gouvernance réelle d'une intention.

L'inverse se lit tout aussi bien. Une charte impeccable sans registre révèle une entreprise qui a écrit des règles sans savoir ce qui se passe chez elle. Un registre sans plan de formation révèle une entreprise qui a mesuré sans agir.

Le piège du document qui existe mais ne vit pas

Un document daté de dix-huit mois, sans aucune révision, produit l'effet inverse de celui recherché. Il montre que le sujet a été traité une fois, puis abandonné.

C'est pour cette raison que la fiche de révision annuelle compte autant que les trois autres. Elle ne coûte presque rien et elle prouve que le dispositif est vivant.

Fixez la revue à une date stable, par exemple au moment de la clôture comptable. Un rendez-vous d'une heure par an, avec un compte rendu de dix lignes, suffit à maintenir l'ensemble en état.

À quel moment quatre documents ne suffisent plus

Trois situations changent la donne.

La première : vous cessez d'être seulement déployeur. Si vous intégrez un modèle d'IA dans un produit ou un service que vous vendez sous votre marque, vous pouvez devenir fournisseur au sens du règlement, avec des obligations d'une autre nature et d'un autre poids.

La deuxième : un de vos usages relève de l'Annexe III, c'est-à-dire des systèmes à haut risque. Le tri automatisé de candidatures, l'évaluation de salariés ou l'évaluation de la solvabilité de personnes physiques en font partie. Ces obligations ont été reportées au 2 décembre 2027, mais s'y préparer demande davantage que quatre documents. À ne pas confondre avec la notation sociale de personnes : ce n'est pas du haut risque encadré, mais une pratique interdite par l'article 5.

La troisième : vous engagez une démarche de management formalisée, par exemple selon la norme ISO/IEC 42001. Là, on change d'échelle, de calendrier et de budget.

Hors de ces trois cas, empiler des documents supplémentaires n'ajoute pas de sécurité. Cela ajoute du travail qui ne sera pas fait.

Questions fréquentes

Faut-il faire signer la charte d'usage de l'IA par chaque salarié ?

Oui, et c'est le geste qui donne sa valeur au document. Une charte diffusée sans accusé de réception se défend mal : rien ne montre que la personne l'a lue. Une signature électronique ou un simple registre d'émargement daté suffit, à conserver avec le document.

Un tableur suffit-il vraiment comme registre des usages IA ?

Au démarrage, oui. Ce qui compte est le contenu des colonnes et la date des mises à jour, pas l'outil. Le tableur cesse de suffire quand les déclarations arrivent en continu, que plusieurs personnes doivent y accéder, ou que vous devez produire une vue d'ensemble pour un tiers sans y passer une journée.

Qui doit porter la gouvernance IA dans une PME sans DSI ?

Une personne nommée, disponible, et suffisamment proche du terrain pour recevoir les déclarations. Ce n'est pas nécessairement un profil technique : un responsable administratif ou un membre de la direction fonctionne très bien. Le point critique est qu'un nom figure sur la fiche de responsabilité, pas la fiche de poste de cette personne.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA