Aperçu gratuit · Module 1 · Leçon 1
Dresser l'inventaire des usages d'IA en une matinée
Un premier registre des usages d'IA, utile dès ce soir, construit à partir de ce que les équipes font vraiment. Leçon d’aperçu gratuite de la formation « Gouvernance de l’IA en entreprise », lisible en entier sans compte, avec ses sources officielles datées.
Objectif
Repartir de cette leçon avec la première version d'un registre des usages d'IA de votre organisation : une ligne par usage, un propriétaire par ligne, et la liste de ce qu'il reste à vérifier.
Ce que vous saurez faire
- Repérer les usages d'IA là où ils se trouvent vraiment, y compris ceux que personne n'a déclarés.
- Décrire chaque usage avec dix champs, sans jargon ni donnée personnelle inutile.
- Distinguer ce que vous savez de ce qu'il reste à vérifier, ligne par ligne.
Contenu
On ne gouverne pas ce qu'on ne voit pas. Dans la plupart des organisations, l'IA est déjà là : un commercial qui reformule ses offres avec un assistant gratuit, une comptable qui résume des contrats, un logiciel métier qui a ajouté une fonction « IA » lors de sa dernière mise à jour. La première tâche de la gouvernance n'est donc pas d'écrire une politique. C'est de regarder.
Les cadres de référence partent du même point. Le cadre de gestion des risques de l'IA publié par l'institut américain des normes (NIST AI RMF), d'usage volontaire, organise le travail en quatre fonctions : gouverner, cartographier, mesurer, gérer . Il place l'inventaire des systèmes d'IA parmi les pratiques de gouvernance, et son profil consacré à l'IA générative suggère d'y faire figurer les outils génératifs . Cette formation s'en inspire sans le recopier : il s'agit d'une méthode de travail, pas d'une norme à respecter.
Où chercher les usages
Trois sources se complètent. Aucune ne suffit seule.
- Ce que les gens déclarent. Un questionnaire court, envoyé à toutes les équipes, avec une promesse claire : cet inventaire sert à encadrer, pas à sanctionner. Sans cette promesse, les usages les plus risqués restent cachés.
- Ce que les systèmes montrent. Abonnements payés par carte d'entreprise, notes de frais, extensions de navigateur installées, connexions par authentification unique, licences des logiciels.
- Ce que vos logiciels ont ajouté. Messagerie, gestion de la relation client, outil de recrutement, suite bureautique : beaucoup intègrent désormais des fonctions d'IA. Elles comptent aussi.
Les dix champs d'une ligne
| Champ | Ce qu'on y écrit | Exemple fictif |
|---|---|---|
| Identifiant | Un code court et stable | IA-007 |
| Usage | La tâche, avec un verbe | Rédiger les réponses aux réclamations |
| Équipe | Qui l'utilise | Service clients |
| Outil et offre | Nom de l'outil et type de compte | Assistant généraliste, compte personnel gratuit |
| Données entrées | La classe la plus sensible | Personnelles (nom, numéro de commande) |
| Sortie | Ce qui est produit et pour qui | Courriel envoyé au client |
| Effet sur des personnes | La sortie pèse-t-elle sur une décision qui concerne quelqu'un ? | Non |
| Propriétaire | Une fonction, pas un nom | Responsable service clients |
| Statut | Autorisé, à évaluer, suspendu, interdit | À évaluer |
| Prochaine revue | Une date | Dans trois mois |
Deux règles rendent le registre utile. Une ligne sans propriétaire n'est pas terminée. Et tout ce que vous ne savez pas encore s'écrit « à vérifier » : un registre honnête et incomplet vaut mieux qu'un registre propre et faux.
Workflow
Le cycle de gouvernance de l'IA en six étapes
1. Inventorier : registre des usages, une ligne par usage, un propriétaire par ligne (leçon 1). 2. Classer : vert, jaune, orange ou rouge avec la grille à cinq questions (leçon 2). 3. Décider : circuit proportionné au niveau de risque, décision écrite en cinq lignes (leçon 3). 4. Encadrer : politique d'usage, réglages des outils, contrats des fournisseurs (leçons 4 à 7). 5. Surveiller : incidents signalés et traités, conditions appliquées (leçon 8). 6. Revoir : revue trimestrielle, retrait ou réévaluation des usages, mise à jour du registre (leçon 8), puis retour à l'étape 1.
- Quand l’utiliser
- Pour présenter la démarche à la direction et pour vérifier qu'aucune étape n'est oubliée.
- Ce qu’il faut personnaliser
- Dans une structure de moins de vingt personnes, les étapes 3 et 6 peuvent être tenues par la même personne, avec une revue semestrielle.
- Exemple
- Norvane Logistique (fictive) : inventaire en une matinée, classement la semaine suivante, politique signée au bout d'un mois, première revue trois mois plus tard.
- Limites
- Rester bloqué à l'étape 4 en écrivant une politique sans inventaire ; sauter l'étape 6, et laisser le registre se périmer.
Données à ne pas envoyer
- Noms, coordonnées et dossiers de clients, de patients ou de collaborateurs
- Données sensibles : santé, opinions, appartenance syndicale, poursuites et sanctions
- Secrets d'affaires et informations couvertes par un secret légal ou contractuel
- Contrats, avis juridiques et correspondances confidentielles
- Mots de passe, codes d'accès, clés d'API
Exemple réel
Cas fictif, situation réaliste. Norvane Logistique (entreprise fictive de transport, 140 personnes, Lyon) veut « mettre de l'ordre dans l'IA ». Sa directrice administrative envoie un questionnaire de six questions et croise les réponses avec les abonnements payés par carte. En une matinée, elle obtient onze lignes. Trois surprises : un abonnement à un outil de transcription payé par l'équipe commerciale, une fonction de tri automatique des candidatures activée dans le logiciel de recrutement, et un planificateur de tournées qui utilise un modèle prédictif depuis deux ans. Personne ne pensait à ce dernier comme à de « l'IA ». Sept lignes portent encore la mention « à vérifier », mais chacune a un propriétaire et une date.
À vous de jouer
Temps à prévoir : environ 30 minutes.
- Ouvrez le modèle de registre ci-dessous : il contient huit déclarations fictives de Norvane Logistique.
- Transformez chaque déclaration en une ligne à dix champs. Écrivez « à vérifier » au lieu de deviner.
- Repérez les deux déclarations qui décrivent en réalité le même usage, et la déclaration qui n'est pas un usage d'IA.
- Faites ensuite l'exercice pour votre organisation, avec seulement trois sources : vos abonnements, un échange de dix minutes avec deux équipes, la liste de vos logiciels métier.
Modèle
Registre des usages d'IA : huit déclarations fictives à transformer
DONNÉES FICTIVES — entreprise, équipes et outils inventés pour l'exercice. Norvane Logistique, 140 personnes. Déclarations reçues au questionnaire : D1. Service clients : « J'utilise un assistant gratuit sur mon téléphone pour reformuler les réponses aux réclamations, j'y colle le message du client. » D2. Commercial : « On a un abonnement à un outil qui transcrit et résume nos rendez-vous clients. » D3. Ressources humaines : « Le logiciel de recrutement propose un score d'adéquation pour chaque candidature, on regarde surtout les meilleurs scores. » D4. Exploitation : « Le planificateur de tournées calcule les trajets, je ne sais pas s'il y a de l'IA. » D5. Comptabilité : « J'utilise le tableur avec ses formules habituelles. » D6. Service clients : « Pour les réclamations, je fais relire mes réponses par un chatbot sur mon téléphone. » D7. Direction : « J'ai demandé à un assistant de résumer le rapport annuel d'un concurrent, publié sur son site. » D8. Marketing : « On génère des images pour nos publications sur les réseaux sociaux. » Colonnes à remplir : identifiant, usage, équipe, outil et offre, données entrées, sortie, effet sur des personnes, propriétaire, statut, prochaine revue. Corrigé indicatif : D1 et D6 décrivent le même usage (une seule ligne, compte personnel, données personnelles de clients, statut à évaluer) ; D5 n'est pas un usage d'IA, sauf fonction d'IA activée dans le tableur ; D3 a un effet sur des personnes (oui) ; D4 reste « à vérifier » auprès de l'éditeur ; D7 porte sur un document public (données non confidentielles) ; D2 traite des données de clients et de tiers ; D8 produit une sortie publique. Total : six lignes (huit déclarations, moins le doublon D1/D6 et D5).
- Quand l’utiliser
- Exercice de la leçon 1, avant de dresser votre propre registre.
- Ce qu’il faut personnaliser
- Remplacez les déclarations par les réponses réelles de votre questionnaire, après avoir retiré les noms des personnes.
- Exemple
- D3 devient la ligne IA-003 : « Classer les candidatures — RH — logiciel de recrutement, fonction de score — données de candidats — score affiché aux recruteurs — effet sur des personnes : oui — propriétaire : responsable RH — à évaluer — revue dans un mois. »
- Limites
- Le corrigé est indicatif : selon vos outils, une déclaration peut correspondre à deux usages distincts.
Données à ne pas envoyer
- Noms, coordonnées et dossiers de clients, de patients ou de collaborateurs
- Données sensibles : santé, opinions, appartenance syndicale, poursuites et sanctions
- Secrets d'affaires et informations couvertes par un secret légal ou contractuel
- Contrats, avis juridiques et correspondances confidentielles
- Mots de passe, codes d'accès, clés d'API
Prompt / modèle
Prompt
Transformer des réponses brutes en lignes de registre
Tu aides à tenir un registre des usages d'IA d'une organisation. Voici des réponses à un questionnaire, sans nom de personne : [COLLER LES RÉPONSES ANONYMISÉES]. 1. Transforme chaque réponse en une ligne à dix champs : identifiant, usage (verbe + tâche), équipe, outil et offre, données entrées (classe la plus sensible), sortie, effet sur des personnes (oui/non/à vérifier), propriétaire (une fonction), statut (à évaluer par défaut), prochaine revue. 2. Signale les réponses qui décrivent le même usage, et celles qui ne sont pas des usages d'IA. 3. Écris « à vérifier » chaque fois que l'information manque. N'invente aucun outil, aucune offre, aucune donnée. 4. Termine par la liste des questions à poser pour compléter les lignes « à vérifier ».
- Quand l’utiliser
- Après le questionnaire : l'IA peut faire gagner du temps sur la mise en forme du registre.
- Ce qu’il faut personnaliser
- Ajoutez vos propres classes de données et vos statuts si votre organisation en a déjà.
- Exemple
- Sur les huit déclarations fictives de Norvane Logistique, le prompt produit six lignes, signale le doublon D1/D6 et écarte D5, qui n'est pas un usage d'IA.
- Limites
- L'assistant peut deviner un outil ou une offre : vérifiez chaque champ qui n'est pas « à vérifier ».
Données à ne pas envoyer
- Noms, coordonnées et dossiers de clients, de patients ou de collaborateurs
- Données sensibles : santé, opinions, appartenance syndicale, poursuites et sanctions
- Secrets d'affaires et informations couvertes par un secret légal ou contractuel
- Contrats, avis juridiques et correspondances confidentielles
- Mots de passe, codes d'accès, clés d'API
Piège à éviter
À retenir
- La gouvernance commence par un inventaire, pas par une politique.
- Trois sources : déclarations, signaux des systèmes, fonctions ajoutées aux logiciels.
- Dix champs par ligne, un propriétaire par ligne, « à vérifier » plutôt qu'une supposition.
Mini-quiz
Le mini-quiz de cette leçon fait partie de l’évaluation : il est proposé dans l’espace membre.
Sources
Preuves de cette leçon
Chaque affirmation qui peut évoluer renvoie à une source primaire, avec sa date de consultation.
1 Le cadre de gestion des risques de l'IA du NIST (AI RMF 1.0), publié le 26 janvier 2023, est d'usage volontaire ; son noyau comprend quatre fonctions (Govern, Map, Measure, Manage) ; au 6 octobre 2026, le NIST indique qu'il est en cours de révision.
- NIST — AI Risk Management Framework nist.gov · consultée le
- NIST AI 100-1 — AI RMF 1.0 nvlpubs.nist.gov · consultée le
2 Le NIST range l'inventaire des systèmes d'IA parmi les pratiques de gouvernance (GOVERN 1.6) et son profil pour l'IA générative (NIST AI 600-1) suggère d'y recenser aussi les systèmes d'IA générative de l'organisation.
- NIST AI 100-1 — AI RMF 1.0, tableau 1 (GOVERN) nvlpubs.nist.gov · consultée le
- NIST AI 600-1 — Generative AI Profile nvlpubs.nist.gov · consultée le
3 Module local Suisse — Art. 12 LPD : responsables du traitement et sous-traitants tiennent chacun un registre de leurs activités de traitement, qui indique au moins l'identité du responsable, la finalité, les catégories de personnes et de données, les catégories de destinataires et, si possible, la durée de conservation et les mesures de sécurité.
- Fedlex — LPD (RS 235.1), art. 12 fedlex.admin.ch · consultée le