Un commercial utilise ChatGPT pour préparer ses réponses. Le marketing génère des variantes de publications. Un responsable résume des documents internes avec un assistant IA. Pourtant, la direction ne sait pas toujours quels outils sont employés, quelles données leur sont transmises ni comment les réponses sont vérifiées.
Cette situation est déjà courante. En 2025, 26 % des TPE-PME françaises déclaraient utiliser une solution d’intelligence artificielle, soit deux fois plus qu’un an auparavant.
Pour reprendre le contrôle, inutile de commencer par un grand projet technique. Une PME doit d’abord répondre à quatre questions :
- Où l’IA est-elle déjà utilisée ?
- Quelles informations peuvent lui être transmises ?
- Quels résultats doivent être validés ?
- Quels usages méritent ensuite d’être standardisés ou automatisés ?
L’objectif de ce guide est de produire quatre livrables concrets : un inventaire, une matrice de décision, une mini-charte et une fiche de cadrage.
En bref : Que faut-il faire en priorité ?
Commencez maintenant : désignez une personne chargée de l’inventaire et fixez une semaine d’observation. Ne choisissez pas encore d’outil supplémentaire.
Que peut réellement faire l’IA générative dans une PME ?
L’IA générative peut produire ou transformer du texte, des images, du code, des fichiers audio ou des vidéos. Dans une PME, elle sert surtout à :
- préparer un brouillon ;
- reformuler ou traduire un texte ;
- résumer un document ;
- extraire des informations ;
- classer des demandes ;
- analyser des données ;
- proposer une réponse.
La CNIL regroupe également les usages courants en trois catégories : génération de contenu, retraitement d’un contenu existant et analyse de données.
La différence importante ne se situe pas entre les marques ou les modèles utilisés. Elle dépend de la place donnée à l’IA dans le processus.
Plus l’outil intervient directement dans une décision ou une action, plus son utilisation doit être encadrée.
Où l’IA est-elle déjà utilisée dans votre entreprise ?
Ne commencez pas par chercher de nouveaux cas d’usage. Identifiez d’abord les pratiques existantes.
Pendant cinq jours, demandez à chaque responsable d’équipe de relever les tâches réalisées avec une IA. L’objectif n’est pas de sanctionner les utilisateurs, mais de rendre visibles les usages informels : comptes personnels, outils gratuits, documents copiés dans une conversation ou réponses reprises sans contrôle.
Quel tableau faut-il remplir ?
Copiez ce tableau dans Excel, Notion ou votre outil interne. Ajoutez une ligne par usage observé.
Pour chaque usage, relevez :
- la tâche réalisée ;
- les personnes concernées ;
- l’outil et le type de compte employés ;
- la fréquence ;
- les informations transmises ;
- le résultat attendu ;
- le contrôle réalisé avant utilisation.
Que faut-il repérer en priorité ?
À la fin de la semaine, filtrez l’inventaire pour faire ressortir :
- les comptes personnels utilisés à des fins professionnelles ;
- les données confidentielles envoyées dans un outil non validé ;
- les résultats utilisés sans relecture ;
- les mêmes tâches traitées différemment par plusieurs collaborateurs ;
- les pratiques récurrentes qui font déjà gagner du temps.
Livrable 1 : un inventaire unique des usages actuels, même s’ils sont encore expérimentaux.
Comment décider ce qui est autorisé, à valider ou interdit ?
Analysez chaque ligne de l’inventaire selon quatre critères :
- les données utilisées ;
- les conséquences possibles d’une erreur ;
- la facilité de vérification ;
- la personne responsable du résultat.
Vous pourrez ensuite classer l’usage dans l’une de ces catégories :
- autorisé : l’utilisation peut se poursuivre dans le cadre défini ;
- à valider : le résultat ne peut pas être utilisé sans contrôle ;
- interdit sans dispositif spécifique : l’usage exige des garanties ou une analyse supplémentaire.
Quelles données peuvent être utilisées ?
Lorsque des données personnelles sont utilisées, le RGPD reste applicable, quel que soit l’outil choisi.
Avant de transmettre une information, vérifiez :
- Permet-elle d’identifier directement ou indirectement une personne ?
- Est-elle couverte par un accord de confidentialité ?
- Êtes-vous autorisé à la partager ?
- Est-elle réellement indispensable à la tâche ?
- Comment le fournisseur la conserve-t-il et l’utilise-t-il ?
- Le compte utilisé est-il personnel ou professionnel ?
Supprimer uniquement le nom d’un client ne suffit pas toujours. Sa fonction, son entreprise, une date ou un montant peuvent encore permettre de le reconnaître.
Quelle matrice de décision utiliser ?
Reprenez chaque usage de l’inventaire et complétez ce tableau.
Que faut-il vérifier dans les résultats ?
Écrire « relecture humaine obligatoire » ne suffit pas. Le collaborateur doit savoir précisément ce qu’il doit contrôler.
Livrable 2 : une matrice indiquant, pour chaque usage, sa décision, son responsable et les éléments à vérifier.
Comment créer une mini-charte IA d’une page ?
La mini-charte transforme les décisions de la matrice en règles compréhensibles par toute l’équipe. Elle ne doit pas rester théorique ni reprendre le règlement européen dans son intégralité.
Elle peut tenir sur une page et comporter sept rubriques.
1. Quels outils sont autorisés ?
Listez les solutions que les collaborateurs peuvent utiliser et précisez si un compte professionnel est obligatoire.
Exemple :
Les assistants IA doivent être utilisés depuis les comptes professionnels validés par l’entreprise. Les comptes personnels ne doivent pas recevoir de documents internes.
2. Quelles données sont interdites ?
Donnez des exemples adaptés à votre activité :
- mots de passe et identifiants ;
- fichiers clients complets ;
- dossiers RH ;
- informations bancaires ;
- documents médicaux ;
- contrats non publics ;
- marges et tarifs négociés ;
- secrets de fabrication ;
- informations couvertes par un accord de confidentialité.
3. Quels usages sont autorisés ?
Listez les tâches simples pouvant être réalisées sans autorisation préalable :
- corriger un texte non confidentiel ;
- préparer un plan ;
- générer plusieurs titres ;
- résumer une source publique ;
- reformuler un email sans engagement commercial ;
- produire un premier brouillon.
4. Quels résultats doivent être validés ?
Indiquez les productions qui nécessitent obligatoirement une vérification :
- réponses aux clients ;
- contenus publiés ;
- chiffres et calculs ;
- traductions ;
- documents contractuels ;
- contenus liés aux salariés ou aux candidats.
5. Quelles actions sont interdites ?
L’IA ne doit pas :
- inventer une information absente des sources ;
- confirmer seule un tarif, une remise ou un délai ;
- prendre une décision concernant une personne ;
- envoyer seule un document engageant ;
- contourner une procédure interne ;
- utiliser des données non nécessaires à la tâche.
6. Qui reste responsable ?
Chaque production doit avoir un propriétaire humain clairement identifié. La personne qui valide le résultat reste responsable de son utilisation.
7. Que faire en cas de doute ou d’incident ?
Nommez une personne à contacter en cas de :
- réponse suspecte ;
- partage accidentel d’un document ;
- utilisation d’un nouvel outil ;
- doute sur la confidentialité d’une information ;
- erreur déjà communiquée à un client.
Quel principe général ajouter ?
L’IA peut préparer, résumer, extraire ou reformuler. Elle ne peut ni inventer une donnée absente, ni prendre un engagement, ni exécuter une décision importante sans contrôle humain.
Faut-il sensibiliser les utilisateurs en 2026 ?
Oui. L’article 4 du règlement européen sur l’IA demande aux fournisseurs et aux organisations utilisant des systèmes d’IA de prendre des mesures pour assurer un niveau suffisant de culture IA aux personnes qui les emploient pour leur compte. Cette disposition s’applique depuis le 2 février 2025.
Pour des usages simples, une PME peut commencer par :
- présenter la mini-charte ;
- montrer des exemples issus des métiers ;
- expliquer comment vérifier une réponse ;
- organiser quelques exercices pratiques ;
- conserver une trace des personnes sensibilisées.
Il n’existe pas de formation unique imposée à toutes les entreprises. Le niveau attendu dépend des connaissances des utilisateurs, du contexte et des risques de l’usage.
Une grande partie des autres dispositions du règlement européen sur l’IA deviendra applicable le 2 août 2026, avec des exceptions et des calendriers spécifiques pour certaines catégories de systèmes.
Livrable 3 : une mini-charte d’une page, présentée à tous les utilisateurs de l’IA.
Quels usages faut-il standardiser en premier ?
Une fois les pratiques encadrées, choisissez deux tâches à standardiser.
Ne sélectionnez pas le projet le plus spectaculaire. Cherchez une tâche fréquente, stable et facile à vérifier.
Comment noter chaque tâche ?
Attribuez un point pour chaque réponse positive.
Les premiers usages les plus simples sont souvent :
- préparer un compte rendu ;
- reformuler des emails récurrents ;
- extraire les informations d’une demande ;
- classer des messages ;
- préparer un brouillon de réponse ;
- produire une synthèse à partir de sources validées.
Quelle fiche faut-il créer ?
Pour chaque tâche sélectionnée, complétez cette fiche.
Préparez ensuite cinq à dix tests :
- un cas normal ;
- une information obligatoire absente ;
- une demande ambiguë ;
- une donnée contradictoire ;
- un cas hors périmètre ;
- un document mal formaté ;
- une tentative de faire inventer une information.
Livrable 4 : deux fiches d’usage complètes, accompagnées de leurs cas de test.
Quand faut-il passer à une automatisation ?
Un prompt qui fonctionne une fois ne constitue pas encore un processus fiable.
Testez d’abord la tâche manuellement. Corrigez les instructions, listez les exceptions et mesurez le temps total, y compris la relecture.
Une tâche peut être automatisée lorsqu’elle est :
- fréquente ;
- documentée ;
- fondée sur des règles stables ;
- testée sur des cas variés ;
- facile à mesurer ;
- récupérable en cas d’erreur.
Quand faut-il faire appel à un prestataire ?
Un accompagnement devient pertinent dans quatre situations :
- plusieurs outils doivent être connectés ;
- des données internes ou personnelles doivent être sécurisées ;
- les erreurs et exceptions doivent être gérées automatiquement ;
- personne en interne ne peut maintenir la solution.
Avant de demander un devis, transmettez au prestataire la fiche d’usage, les cas de test, les règles métier et la matrice de validation. Il pourra alors partir du processus réel plutôt que proposer directement un outil.
Comment mettre ce cadre en place en 30 jours ?
Semaine 1 : remplissez l’inventaire
Nommez un responsable et demandez aux équipes de relever leurs usages pendant cinq jours.
Semaine 2 : prenez une décision sur chaque ligne
Classez les pratiques dans les catégories autorisé, à valider ou interdit sans dispositif spécifique.
Semaine 3 : présentez les règles
Finalisez la mini-charte et organisez une session courte à partir d’exemples réellement observés dans l’entreprise.
Semaine 4 : testez deux usages
Choisissez les tâches ayant obtenu les meilleurs scores. Créez une fiche, un prompt commun et cinq à dix cas de test pour chacune.
Quels indicateurs faut-il suivre ?
Limitez-vous aux informations nécessaires pour prendre une décision :
Un usage ne doit pas être conservé uniquement parce qu’il produit une réponse rapidement. Il doit réduire le travail total sans augmenter les erreurs ni exposer inutilement les données.
Par quelle action commencer aujourd’hui ?
Ne commencez ni par acheter un nouvel abonnement ni par sélectionner un agent IA.
Créez le tableau d’inventaire, nommez un responsable et observez les pratiques pendant cinq jours. À partir de ces informations, vous pourrez fixer des règles adaptées à votre entreprise et choisir les deux usages qui méritent réellement d’être standardisés.
