Le mot revient dans toutes les conférences depuis deux ans. Il désigne rarement la même chose d’un article à l’autre, et c’est souvent le premier obstacle : un dirigeant de PME entend « gouvernance » et imagine un comité, un logiciel, ou une case à cocher pour être en règle. Ce n’est aucun des trois.
Ce que la gouvernance de l’IA veut dire, en une phrase
La gouvernance de l’IALes règles écrites qui disent qui utilise quel outil d’IA, sur quelles données, et qui décide. est une décision écrite, pas un outil acheté. Elle répond à trois questions précises : quels outils d’IA sont utilisés dans l’entreprise, sur quelles données ils tournent, et qui tranche le jour où un salarié veut en adopter un nouveau.
Une PME qui n’a encore rien écrit sur ce sujet n’est pas en faute. Elle n’a simplement pas encore pris la décision. La différence compte, parce que la première n’appelle aucune urgence, alors que la seconde en appelle une petite.
Ce que demande vraiment le règlement européen
L’obligation qui s’applique à une PME sans service informatique dédié est celle de l’article 4L’obligation de former les équipes à l’IA qu’elles utilisent. Pas une sanction, un devoir de moyens. du règlement (UE) 2026/1744. Elle porte sur la littératie des équipes : les personnes qui utilisent un modèle de langageLe logiciel derrière ChatGPT ou Claude : il complète un texte, il ne « sait » rien au sens propre. doivent comprendre ce qu’il fait et ce qu’il ne fait pas.
Ce n’est ni une amende à craindre, ni une procédure de cinquante pages. Les obligations lourdes du texte visent les systèmes à haut risqueUne catégorie réglementaire à part, recrutement automatisé ou scoring de crédit par exemple, qui ne concerne pas une PME classique. et les fournisseurs de modèles. Une entreprise qui utilise un assistant pour rédiger des devis n’entre pas dans cette catégorie.
Ce qui se passe sans elle
Le désordre a un nom : le shadow AIUn outil d’IA qu’un salarié utilise seul, sans validation. Il marche, mais personne d’autre ne le sait.. Un commercial colle ses tarifs dans un compte ChatGPT personnel. Un comptable monte un scénario d’automatisation que lui seul comprend. Les deux outils fonctionnent, souvent bien, et c’est précisément le problème : personne d’autre ne sait qu’ils existent, ni ce qui s’arrête le jour où la personne qui les a montés change de poste.
Une gouvernance ne supprime pas ces usages. Elle les rend visibles, puis décide lesquels deviennent des outils de l’entreprise et lesquels s’arrêtent.
Le document qui la rend concrète
La charte d’usageLe document qui liste les outils d’IA autorisés, les données interdites, et qui décide des nouveaux. est la sortie écrite de ce travail : quels outils sont autorisés, quelles données ne doivent jamais y entrer, et qui décide pour la suite. Elle ne se rédige pas à partir d’un modèle générique. Elle se rédige à partir d’un inventaire de ce qui tourne déjà dans l’entreprise, comptes personnels compris.
C’est l’ordre qui compte. Une charte écrite avant l’inventaire décrit une entreprise imaginaire.
Qui décide, dans une entreprise sans DSI
La question se pose différemment sans direction informatique étoffée. Le rôle ne demande pas une compétence technique en modèles de langage. Il demande quelqu’un qui a le mandat de trancher, et le temps de le faire régulièrement, pas une fois par an.