Que met-on derrière la gouvernance de l'IA en entreprise ?
La gouvernance de l'IA en entreprise met un nom en face de chaque décision : autoriser un usage, le surveiller, en répondre. Elle repose sur six pièces, de l'inventaire audité au volet données relié au RGPD, en passant par le registre, la charte, le comité et la supervision humaine.
L'ordre d'assemblage dépend de votre point de départ. Une PME de trente personnes commence souvent par la charte et le référent ; un groupe multi-sites commence par l'inventaire, parce que personne ne sait combien d'outils tournent déjà dans ses filiales.
Inventaire et audit de conformité
Nous recensons ce qui tourne déjà, comptes personnels compris, et confrontons chaque usage à l'AI Act et au RGPD. Le rapport sépare trois piles : ce qui est en règle, ce qui demande une correction, ce qui attend une décision de la direction.
Registre des usages
Une ligne par système : finalité, service, outil et offre souscrite, données, niveau de risque, propriétaire, date de la prochaine revue. Le registre dit qui répond de quoi ; le comité s'en sert comme d'un tableau de pilotage.
Politique et charte
La politique engage la direction sur des principes et des responsabilités. La charte les traduit en consignes que chaque salarié peut appliquer devant son écran ; notre page dédiée à la charte IA détaille ses rubriques.
Comité et référent IA
Le comité réunit à date fixe la direction, les métiers, la DSI et le DPO. Le référent IA reçoit les demandes, prépare une fiche par dossier et annonce aux équipes un délai de réponse, pour que personne ne contourne la règle faute d'interlocuteur.
Supervision humaine et traces
Pour chaque décision sensible, une personne nommée valide avant l'envoi ou l'action. Les usages à enjeu laissent une trace consultable : qui a demandé, qui a validé, avec quelle version du modèle et à quelle date.
Données et éditeurs
Le registre des usages se raccorde au registre RGPD : base légale, catégories de données, contrat signé avec l'éditeur, lieu d'hébergement, réglage d'entraînement. Notre page IA et RGPD reprend ce volet article par article.
Le contenu de la charte est détaillé sur notre page charte IA d'entreprise, le volet données personnelles sur IA et RGPD. Si vous ignorez encore par où commencer, le diagnostic IA mesure votre maturité, règles d'usage comprises, avant toute mission plus longue.
Pourquoi installer la gouvernance de l'IA dès 2026 ?
Trois paliers de l'AI Act sont déjà en application, le haut risque arrive le 2 décembre 2027 et la CNIL contrôle cette année les outils de recrutement. Une gouvernance posée maintenant se construit au calme ; posée à l'automne 2027, elle se bâtira sous la pression de l'échéance.
Trois paliers sont déjà en application
Février 2025 a ouvert le bal avec les interdictions et l'article 4 ; août 2025 a visé les fournisseurs de modèles à usage général ; août 2026 a rendu la transparence obligatoire. Une organisation qui n'a encore rien écrit rattrape trois échéances d'un coup.
Le haut risque a désormais une date
L'Omnibus, entré en vigueur le 27 juillet 2026, renvoie au 2 décembre 2027 les obligations de l'annexe III (recrutement, évaluation des salariés, crédit, éducation) et au 2 août 2028 celles de l'annexe I. Quatorze mois séparent cette page de la première échéance : le temps d'un inventaire, d'un registre et d'un comité rodé.
Les comptes personnels prennent de l'avance
Quand la règle tarde, les salariés ouvrent des comptes gratuits et y déposent des documents de travail. Chaque mois sans cadre ajoute des usages invisibles qu'il faudra ensuite retrouver, un par un.
La CNIL contrôle en 2026
Le RGPD régit depuis le 25 mai 2018 toute donnée personnelle confiée à une IA. Publié le 3 avril 2026, le programme de contrôles de la CNIL place le recrutement en tête : décisions automatisées, information des candidats, durées de conservation.
Les personnes qui tiendront le dispositif apprennent à lire le règlement dans notre formation AI Act. Pour relier la gouvernance à vos choix de direction et à votre feuille de route, voyez le conseil en intelligence artificielle.
Comment se déroule la mise en œuvre de la gouvernance de l'IA ?
La mise en œuvre de la gouvernance de l'IA avance en cinq étapes : cadrer le périmètre, inventorier et classer les usages, ouvrir le registre avec un propriétaire par système, écrire les règles et installer le comité, puis planifier la mise en conformité et les revues. Chaque étape s'achève sur une décision prise par votre direction.
L'ordre a une raison. On ne nomme pas de propriétaire pour un outil qu'on n'a pas recensé, et un comité privé de registre débat dans le vide.
Cadrer le périmètre et les interlocuteurs
Nous fixons avec vous les entités concernées, les métiers à entendre et la personne qui portera le dispositif côté direction. Ce cadrage décide aussi du niveau d'exigence : une PME qui utilise deux assistants du marché ne se gouverne pas comme un groupe qui entraîne ses propres modèles.
Inventorier et classer
Entretiens avec les métiers, questionnaire anonyme sur les outils que chacun a ouverts, lecture des contrats des éditeurs. Chaque usage reçoit son niveau dans la grille de l'AI Act et sa qualification RGPD ; les écarts apparaissent ligne par ligne.
Ouvrir le registre et nommer les propriétaires
L'inventaire devient un registre vivant, où chaque système a un propriétaire et une date de revue. Ce nom inscrit en face de l'outil change les comportements : quelqu'un sait qu'il en répond, et le comité sait qui interroger.
Écrire les règles et installer le comité
Politique, charte, circuit de validation des nouveaux usages, points de supervision humaine. Le comité tient sa première séance avec nous, sur des demandes déjà en attente, pour que le circuit soit éprouvé avant d'être annoncé aux équipes.
Planifier la mise en conformité et les revues
Le plan liste les actions, leurs porteurs et leurs échéances, calées sur le calendrier du règlement. Nous fixons le rythme des revues du registre et, si vous le souhaitez, assistons aux premières séances du comité jusqu'à ce que vos équipes le tiennent seules.
Qu'est-ce que la gouvernance des données pour l'IA ?
La gouvernance des données pour l'IA rattache chaque usage du registre aux données qu'il consomme : leur base légale, leur origine, leur sensibilité et le chemin qu'elles prennent jusqu'à l'éditeur. Elle fait la jonction entre le registre des usages IA et le registre des traitements que le RGPD impose.
Un copilote branché sur la messagerie, un agent relié au CRM, un modèle ajusté sur vos procédures : chacun pose les mêmes questions sur des données différentes. Quatre repères suffisent à la gouvernance ; la méthode RGPD complète, articles à l'appui, figure sur notre page IA et RGPD.
Une base légale par usage
Chaque ligne du registre qui touche des données personnelles renvoie à sa base légale (article 6 du RGPD) et à sa finalité. Tant qu'elle manque, l'usage reste au stade de l'essai.
Des corpus dont on connaît la source
Un assistant documentaire répond avec la qualité des documents qu'on lui confie. Le registre note l'origine de chaque corpus, le jour où il a été rafraîchi et la personne qui le tient propre.
Ce qui ne sort jamais
La politique liste les catégories qui restent hors des outils non validés : santé, dossiers RH, secrets d'affaires, données clients identifiantes. Les consoles d'administration appliquent ces interdits quand l'éditeur le permet.
Le chemin vers chaque éditeur
Pour chaque outil : contrat de traitement signé, hébergement, réglage d'entraînement par défaut, sous-traitants ultérieurs. Ces conditions changent souvent ; le registre date chaque vérification.
Quand la qualité ou l'architecture des données freinent les projets, notre conseil data & IA reprend le chantier. Pour un exemple détaillé des garanties d'un assistant d'IA générative en entreprise, lisez notre analyse de la sécurité de Claude en entreprise.
Comment Masteria vous accompagne sur la gouvernance IA
Masteria intervient en conseil, au forfait, sur trois temps : auditer votre situation, concevoir le dispositif, puis l'installer jusqu'aux premières séances du comité. La montée en compétences des équipes passe par des formations distinctes, certifiées Qualiopi.
Nous choisissons ensemble le point d'entrée pendant une demi-heure d'échange offerte. Le forfait vient ensuite, sur devis : quelques milliers d'euros suffisent quand l'audit porte sur un périmètre restreint ; un dispositif complet couvrant plusieurs entités se chiffre en dizaines de milliers.
- Auditer
Audit de conformité IA
Un état des lieux daté : usages recensés, niveau de risque de chacun, écarts face à l'AI Act et au RGPD, décisions à soumettre à la direction. Il prépare la suite, ou suffit si votre exposition se révèle faible.
- Inventaire, comptes personnels compris
- Classement par niveau de risque
- Écarts et décisions à prendre
- Concevoir
Conception du dispositif
Nous dessinons le dispositif à votre échelle : rôles, registre, politique, charte, circuit de validation. Une PME repart avec deux pages de charte et un référent ; un groupe, avec un comité central et un propriétaire par filiale.
- Rôles et circuit de décision
- Registre prêt à remplir
- Politique et charte rédigées ensemble
- Installer
Mise en place et premières séances
Nous accompagnons la mise en œuvre du plan, les premières séances du comité et les premières revues du registre. Le but est un dispositif que vos équipes tiennent sans nous au bout de quelques mois.
- Plan daté avec porteurs
- Premières séances du comité
- Passation aux équipes internes
Le conseil sort du champ de l'OPCO ; seule la formation AI Act relève de la certification Qualiopi de Masteria (catégorie « actions de formation ») et ouvre une demande de prise en charge, que l'OPCO de votre branche instruit d'après ses critères et son budget. Pour l'audit seul, centré sur le règlement, voyez aussi notre audit de conformité AI Act.
Monitoring IA et outils de gouvernance des modèles : la surveillance après le cadrage
Le monitoring IA suit dans le temps ce que vos systèmes produisent ; un outil de gouvernance des modèles automatise ce suivi quand le volume l'exige. Nous dimensionnons l'un et l'autre à partir de votre registre, sans plateforme à vous vendre.
Ce que le monitoring IA surveille
Un système validé en janvier peut dériver en juin : nouvelle version du modèle, documents périmés, usage étendu à un autre service. Le monitoring suit la justesse des réponses sur un échantillon relu, les incidents signalés, les volumes et le coût, avec des indicateurs choisis pour chaque usage.
Un assistant documentaire se juge sur ses sources, un agent sur les actions qu'il déclenche, un modèle prédictif sur l'écart entre ses prévisions et la réalité.
Le registre décide de ce qu'on surveille
Avant d'acheter un outil de gouvernance des modèles, relisez le registre : il dit quels systèmes comptent, à quel rythme les revoir et qui reçoit l'alerte. Un tableau de bord qui n'en découle pas finit sans lecteur, et l'alerte qu'il émet n'arrive chez personne.
Quel outil de gouvernance des modèles choisir ?
Trois paliers selon le volume et le risque. Un registre partagé et des revues planifiées suffisent à une PME qui utilise quelques assistants du marché.
Une plateforme, souvent celle de votre fournisseur cloud, se justifie quand les modèles se multiplient et que la traçabilité doit sortir automatiquement. Une journalisation sur mesure par API convient aux systèmes développés chez vous.
Masteria ne revend aucune plateforme.
Traces et validation humaine
Conserver les échanges des usages sensibles, noter qui a validé quoi, déclencher une alerte quand un indicateur sort de sa plage.
Dès décembre 2027, le règlement demandera aux déployeurs d'usages classés à haut risque de garder ces journaux six mois au moins ; prendre l'habitude aujourd'hui coûte peu et profite à tous les autres usages.
Les indicateurs se choisissent au moment de concevoir le dispositif, et le comité les relit à chaque séance. Pour un système développé sur mesure, la journalisation fait partie du projet lui-même : notre méthode projet IA la prévoit dès la conception.
Deux règlements encadrent la gouvernance de l'IA
L'AI Act, retouché par l'Omnibus signé le 8 juillet 2026, classe les usages d'IA selon le risque qu'ils font courir aux personnes. Le RGPD, dont l'application remonte au 25 mai 2018, régit les données personnelles qu'ils traitent. La CNIL contrôle le second et publie déjà sa lecture du premier.
Les textes fixent le minimum. Une gouvernance utile répond aussi à une question de gestion : quels usages méritent une revue mensuelle, et lesquels peuvent tourner sous une règle simple relue une fois par an.
- 27 juillet 2026
l'Omnibus devient applicable : article 4 réécrit, obligations du haut risque décalées à la fin 2027 pour l'annexe III et à l'été 2028 pour l'annexe I
Source : EUR-Lex, règlement (UE) 2026/1744
- 17 août 2026
la CNIL actualise sa foire aux questions sur le règlement IA et y reporte le calendrier fixé par l'Omnibus
Source : CNIL
- 3 avril 2026
annonce des contrôles CNIL de l'année, dont le recrutement : décisions automatisées, information des candidats, durées de conservation
Source : CNIL, contrôles 2026
Le vocabulaire de la gouvernance
- Gouvernance de l'IA
- Partage écrit des décisions qu'une organisation prend sur ses usages d'intelligence artificielle : qui autorise un usage, qui en répond, qui le contrôle, selon quelles règles et à quel rythme de revue.
- AI Act
- Nom courant du règlement européen (UE) 2024/1689 relatif à l'IA, qui court depuis le 1ᵉʳ août 2024 et a été retouché par l'Omnibus de juillet 2026. Il proportionne ce qu'il exige au risque que présente chaque usage, et vise les fournisseurs comme les déployeurs.
- Conformité IA
- Situation d'une organisation qui satisfait, usage par usage, à ce que l'AI Act et le RGPD lui demandent, et peut le démontrer avec son registre, ses règles et ses traces.
- Supervision humaine
- Contrôle exercé sur un système d'IA par une personne compétente, formée et nommée, qui peut en écarter le résultat. L'article 26 de l'AI Act en fera une obligation pour les déployeurs d'usages classés à haut risque.
- Registre des usages IA
- Tableau tenu à jour qui décrit chaque système d'IA de l'organisation : finalité, service, outil et offre, données, niveau de risque, propriétaire, date de la prochaine revue.
- Propriétaire d'un système
- Personne inscrite au registre qui répond d'un système d'IA : elle suit ses indicateurs, signale ses incidents au référent et demande sa revue quand l'usage change.
- Gouvernance des données pour l'IA
- Volet de la gouvernance qui suit les données consommées par chaque système : base légale, origine, sensibilité, contrat et hébergement chez l'éditeur. Il raccorde le registre des usages IA à celui des traitements.
- Comité de gouvernance IA
- Instance qui instruit les demandes de nouveaux usages, arbitre les risques et relit le registre à date fixe. Elle associe en général la direction, des responsables métier, la DSI, le juridique et le DPO.
Textes et lectures officielles consultés pour cette page
- L'AI Act au Journal officiel de l'Union : le règlement (UE) 2024/1689 sur EUR-Lex
- Omnibus de juillet 2026, règlement (UE) 2026/1744 : article 4 réécrit, haut risque décalé
- La CNIL répond aux questions sur le règlement IA (page revue le 17 août 2026)
- Maîtrise de l'IA : la foire aux questions de la Commission (27 juillet 2026)
- Les contrôles de la CNIL pour 2026, recrutement en tête
Trois organisations, trois façons de répartir les rôles
Nos études de cas anonymisées montrent la gouvernance là où elle se joue : dans le nom écrit à côté de chaque outil et dans la règle qui dit qui le fait évoluer.
Un groupe industriel confie la politique d'usage à son Data manager
Dans un groupe international du packaging, Copilot s'est déployé par paliers : 24 managers pilotes, cinq sessions de juillet à fin septembre 2026, l'anglais étant la langue de deux d'entre elles, avant l'ouverture des sites mexicain et américain en octobre 2026 puis indien en décembre.
La politique d'usage a un porteur, le Data manager du groupe, qui tient aussi la bibliothèque de prompts des pilotes ; le comité de direction est reparti de sa matinée stratégique avec ses décisions à prendre, dont les données exclues et l'audit des accès.
Un distributeur IT nomme un propriétaire par compétence
Chez un distributeur de 58 salariés, dix référents formés en juin 2026 font vivre onze compétences Claude.
La règle tient en quatre points écrits : la direction valide, un propriétaire est désigné, une revue revient chaque trimestre, chaque version est archivée. Les autres salariés doivent suivre entre octobre et décembre 2026.
Un cabinet de conseil écrit qui met à jour quoi
Un cabinet qui conseille le secteur public sur ses montages financiers, une vingtaine de personnes à Paris et à Lyon, a reçu avec ses assistants dédiés aux marchés publics un guide qui fixe les règles d'utilisation, la confidentialité des dossiers et le responsable de chaque mise à jour. Le dispositif évolue depuis sans Masteria.
Lire l'étude de casDeux formations transmettent le dispositif à ceux qui le tiendront
Cette page décrit une mission de conseil. Quand vos équipes doivent faire vivre seules le registre et le comité, deux formations couvertes par la certification Qualiopi de Masteria (catégorie « actions de formation ») prennent le relais, facturées à partir de 1 980 € HT par journée, en intra ou en individuel :
- la formation AI Act, qui apprend à lire le règlement et à classer un usage,
- et la formation gouvernance IA, qui construit en une journée le registre, la trame de charte et le fonctionnement du comité.
Leur prise en charge relève de l'OPCO de votre branche, qui l'accorde d'après ses critères et son budget.
Gouvernance de l'IA : vos questions, nos réponses
Votre organisation pose un cas particulier, une filiale à l'étranger ou un usage RH ?
Exposez-le pendant le cadrage offertLes pages qui prolongent la gouvernance
Chacune traite une pièce du dispositif sous son propre angle : le document, les données, l'éthique, la formation, les rôles.
Charte IA d'entreprise
Huit rubriques, une formulation proposée pour chacune, et la méthode pour que les salariés lisent le texte jusqu'au bout.
IA et RGPD
Articles du RGPD appliqués aux assistants, analyse d'impact, garanties de cinq éditeurs relues au 7 octobre 2026.
IA responsable
Des principes aux preuves : supervision, biais, impacts sur les personnes, normes ISO/IEC 42001 et 42005.
Formation AI Act
Le règlement expliqué en sept heures, vos usages classés, la trame d'un plan de conformité en main.
Formation gouvernance IA
Une journée où vos équipes montent elles-mêmes leur registre, leur charte et leur comité.
Audit de conformité AI Act
Inventaire des systèmes, niveaux de risque, écarts et plan daté, quand l'audit seul suffit.
Chief AI Officer
Qui porte la gouvernance quand le poste n'existe pas encore, y compris en temps partagé.
Conseil data & IA
Qualité, architecture et conformité des données sur lesquelles reposent vos systèmes.
Diagnostic IA
Mesurer votre maturité avant d'engager une mission, règles d'usage et sécurité comprises.
Audit IA
État des lieux global : usages, données, écarts réglementaires et feuille de route chiffrée.
Conseil stratégie IA
Choisir les cas d'usage qui méritent un dispositif avant de bâtir le dispositif lui-même.
Agents IA en entreprise
Ce qu'un agent qui agit dans vos logiciels exige en supervision et en traces.
Rendre un système d'IA auditable : le guide
Journaux, versions, preuves : ce qu'il faut conserver pour qu'un contrôle se passe bien.
Monter un comité de gouvernance IA
Qui y siège, ce qu'il tranche et l'ordre du jour de ses quatre-vingt-dix premiers jours.
Agence développement IA
Des systèmes construits avec leurs garde-fous, leur journalisation et leur propriétaire désigné.
Mathias Nizan mène lui-même les missions de gouvernance du cabinet, de l'inventaire jusqu'à la première séance du comité. Il a revu cette page le 7 octobre 2026, dates de l'Omnibus comprises ; son parcours est retracé sur sa page de fondateur.
Cité dansLes ÉchosLire l'articleDes consultants réunis pour votre dispositif, sous la conduite du fondateur
C'est à Lyon, en 2022, que Mathias Nizan a créé Masteria, une entreprise individuelle tournée vers la seule intelligence artificielle. Pour une mission de gouvernance, il réunit selon le besoin des consultants IA (une dizaine dans son réseau), des développeurs quand il faut instrumenter le suivi (cinq environ) et des formateurs (une vingtaine), tous indépendants.
Masteria ne dépend d'aucun éditeur, si bien que l'outil de suivi se choisit d'après votre registre. Nos études de cas et notre revue de presse en donnent des exemples datés.