Gouvernance de l'IA en entreprise : qui décide, qui construit, qui diffuse

La gouvernance de l'IA en entreprise n'est pas un comité de conformité. C'est la répartition de cinq responsabilités, sponsoriser, cadrer, piloter, construire et diffuser, entre des personnes nommées. Tant que le sujet appartient à tout le monde, il n'appartient à personne, et la première décision à prendre n'est ni un outil ni un budget.

Cet article reprend le contenu du webinaire que j'ai animé le 24 septembre 2026 sur les rôles et l'organisation de l'intelligence artificielle en entreprise. Il décrit qui décide, qui construit, qui diffuse, ce que chaque instance tranche, et deux organisations types selon votre taille. Les données publiques citées viennent de l'Observatoire de l'IA responsable du collectif Impact AI. L'enquête a été menée du 17 au 26 février 2026, auprès d'un échantillon représentatif de 1 000 salariés du secteur privé.

Pourquoi personne n'est responsable de l'IA générative, par défaut

Aucune direction n'est naturellement positionnée sur l'IA générative. Ce n'est pas un oubli, c'est une conséquence de ce que l'outil touche. La direction générale rend l'IA prioritaire, les métiers la rendent utile, la direction des ressources humaines la rend durable, et la direction des systèmes d'information la rend possible. Aucune des quatre ne couvre les trois autres.

Les chiffres décrivent bien le vide. Dans l'enquête d'Impact AI de février 2026, 10 % seulement des salariés signalent l'existence d'une charte ou d'un comité éthique IA dans leur entreprise. Dans le même temps, 61 % utilisent des solutions grand public externes, contre 19 % qui passent par une IA interne. L'usage est là, le cadre n'y est pas.

Une formation à l'usage responsable a été suivie par 23 % des salariés, dont 6 % en version approfondie. Autrement dit, trois salariés sur quatre manipulent un outil dont personne ne leur a expliqué les règles, dans une entreprise où neuf fois sur dix aucune règle n'a été écrite. Le risque juridique existe déjà, il n'est simplement pas encore visible.

IA analytique et IA générative, deux filières sous une même gouvernance

La confusion la plus fréquente, et celle qui explique une bonne partie du flou, consiste à traiter l'IA comme un bloc unique. L'IA était là bien avant ChatGPT. Elle servait à prévoir, classer et détecter, et elle vivait dans l'équipe data. L'IA générative produit et transforme du contenu, et elle touche tous les collaborateurs. Les deux n'ont ni le même porteur, ni la même temporalité, ni le même modèle d'investissement.

La préconisation qui en découle est de distinguer clairement les deux filières dans l'organisation, sous une gouvernance commune qui porte les règles et la conformité. Sans cette séparation, la filière analytique absorbe la filière générative, parce qu'elle est plus ancienne, mieux dotée et plus légitime techniquement. Les usages métier attendent alors un arbitrage d'une équipe qui raisonne en projets de douze mois.

Un exemple concret le montre bien. Chez un acteur de la domotique énergétique, un technicien installe un boîtier puis photographie le radiateur, le tableau et le compteur. Un contrôleur vérifie ensuite chaque photo avant de classer les anomalies. La voie générative fait valider un modèle multimodal par le contrôleur, portée par le métier, avec des premiers résultats en quelques semaines. La voie analytique entraîne un modèle de vision sur mesure, portée par l'équipe data, avec des milliers de photos à annoter et un projet de six à dix-huit mois.

Ce que le flou d'organisation coûte, mois après mois

Quatre symptômes reviennent dans presque toutes les entreprises sans propriétaire désigné. Aucun ne vient d'un manque d'outils, tous viennent d'un manque de propriétaire.

• Le shadow IA et le risque de sécurité. Les équipes travaillent sur leurs comptes personnels, parfois avec des données clients. Personne ne l'a autorisé, personne ne l'a interdit.
• Des coûts qui dérivent. Les prix et les modèles économiques bougent tous les trimestres, et rien n'est anticipé ni suivi. La facture arrive avant le retour sur investissement.
• Des preuves de concept sans suite. La démonstration fonctionne, la mise en production n'arrive jamais. L'enthousiasme du début devient l'argument des sceptiques.
• Des licences sans usage. Des abonnements payés, des statistiques d'usage que personne ne regarde, des outils en doublon. Le budget est consommé, le gain reste théorique.

Dix preuves de concept en parallèle et aucune en production, c'est le symptôme d'une absence de priorisation, pas d'un manque de talent. J'ai détaillé les raisons de fond de cet échec dans notre analyse des entreprises qui ne voient aucun retour sur investissement. La méthode de priorisation vit de son côté dans notre guide de l'audit IA. Cet article traite la question d'après, celle de savoir qui porte quoi.

Les cinq responsabilités à répartir avant de parler d'intitulés

Un organigramme ne se copie pas, une répartition de responsabilités si. Cinq verbes suffisent à décrire ce qu'il faut couvrir. Une PME de 150 personnes les couvre avec deux personnes, une ETI y met une équipe, mais aucune organisation ne peut en sauter une.

1. Sponsoriser. La direction générale, à travers un dirigeant nommé et pas le comité de direction entier. Il porte l'ambition, arbitre le budget et tranche les priorités.
2. Cadrer. Le comité IA. C'est une instance, pas un poste. Il fixe les usages autorisés, les données qui peuvent partir dans un outil et la liste des outils validés.
3. Piloter. Le responsable IA. C'est le seul rôle qui doit exister dès le premier jour. Il tient le portefeuille de cas d'usage, la feuille de route et les indicateurs.
4. Construire. Les référents techniques côté métier et la direction des systèmes d'information côté industrialisation. Le métier prototype, la technique met en production.
5. Diffuser. Les champions IA, un relais par équipe. Sans ce niveau, tout le reste reste une démonstration.

Champion IA et référent technique, deux rôles qu'on confond tout le temps

Le champion fait naître le besoin, le référent technique construit la réponse. Les confondre produit deux échecs symétriques. Des enthousiastes chargés de livrer un outil, ou des techniciens chargés d'évangéliser. La conclusion tombe ensuite toute seule, le réseau ne fonctionne pas.

La vraie transformation n'est pas dans les outils, elle est dans les rôles qui émergent. C'est ce que j'écrivais dans ma publication sur l'essor du rôle d'AI Builder en mars 2026. Un profil hybride occupe le bout le plus technique de cette chaîne. Il installe pour de bon, entre le métier et la technique, et porte un nom venu de l'industrie logicielle, le Forward Deployed Engineer.

Deux axes suffisent à situer chaque rôle, la distance au métier et le niveau de décision. Le comité IA et le responsable IA décident. Les champions, les référents, les formateurs et les profils d'ingénierie livrent. Mélanger les deux étages est la source la plus fréquente de blocage, parce qu'une décision d'arbitrage remonte alors à quelqu'un qui n'a pas le mandat pour la prendre.

Le comité IA, qui siège, ce qu'il décide, à quel rythme

Le comité IA est l'instance qui rend les arbitrages opposables. Sa composition se décide une fois et ne change plus. La direction générale y tranche et débloque, les directions métiers y apportent les cas d'usage. La direction des systèmes d'information couvre les accès et l'intégration, les ressources humaines les compétences, la finance le coût par usage. Le juridique porte le règlement européen et le RGPD, la sécurité ce qui sort et ce qui reste.

Ce qu'il décide tient en six points, et ces six points ne se délèguent pas.

• Les cas d'usage qu'on teste, ceux qu'on industrialise et ceux qu'on arrête.
• Les règles d'usage opposables aux équipes, autrement dit la charte IA.
• Les outils autorisés et les données qui peuvent y être versées.
• Le budget et les priorités du trimestre.
• Le suivi des statistiques d'usage, qui donne le retour réel des licences.
• Le diagnostic de maturité et le plan de formation qui en découle.

Le rythme tient en deux à quatre heures par mois, avec un ordre du jour et un relevé de décisions. Ce comité ne construit pas, ne fait pas la veille technologique et ne valide pas chaque prompt. Dès qu'il se met à faire l'un des trois, il cesse de décider et redevient une réunion d'information.

Une décision revient systématiquement à cette table, celle de construire ou d'acheter. J'en ai publié la grille de lecture sur LinkedIn, le choix du build contre le buy sur les solutions IA, et elle se résume en une phrase. Achetez quand votre processus ressemble à celui des autres entreprises, construisez quand il est stratégique.

Deux organisations types, selon votre taille

La même structure se décline à deux échelles. Dans une PME de 100 à 500 personnes, aucune création de poste n'est nécessaire. Le responsable IA est un cadre déjà en poste, dont une part du temps est officiellement dégagée. Le comité se réunit une heure par mois. Un ou deux référents métier construisent en low-code, et la DSI existante industrialise avec un appui externe sur les compétences rares.

Dans une ETI de 500 à 5 000 personnes, le responsable IA devient un rôle transverse à temps plein, souvent intitulé directeur de la transformation IA. Le comité se formalise avec le juridique, la sécurité, les ressources humaines et la finance. Chaque direction a son référent technique. Une fonction formation et changement porte les parcours par métier. Les champions sont animés par le responsable IA, sur un rituel régulier et avec un mandat écrit.

Une troisième voie existe quand le rôle est nécessaire mais que le profil n'est pas disponible en interne. Un responsable IA à temps partagé pilote le portefeuille de cas d'usage, anime le comité et active les champions, sur une mission de quelques mois. C'est le format que nous voyons fonctionner dans les organisations qui veulent démarrer sans attendre un recrutement de six mois.

Ce que deux organisations ont réellement mis en place

Deux exemples issus de programmes que nous avons menés, présentés sans nommer les entreprises concernées. Ils décrivent deux entrées différentes dans le sujet, par les ambassadeurs d'un côté, par les référents techniques de l'autre.

Une mutuelle voyait se creuser un écart entre des collaborateurs déjà à l'aise avec l'IA et d'autres qui n'y avaient jamais touché, avec le risque d'une entreprise à deux vitesses. Elle a construit un parcours pour tous, test de positionnement, formation en ligne à deux niveaux et masterclass, plus un réseau d'ambassadeurs formés sur douze sites. Environ 3 000 collaborateurs ont été sensibilisés et une quinzaine d'ambassadeurs formés en six mois. L'enseignement principal est que les ambassadeurs se révèlent pendant la formation, et que leur donner une posture de coach compte autant que le contenu technique.

Un logisticien international partait d'une sensibilisation ancienne et d'une IA peu intégrée dans les pratiques des ressources humaines, dans un environnement contraint à un seul outil validé. Le programme a combiné une masterclass pour une soixantaine de personnes, puis un bootcamp de deux jours pour une douzaine de référents. Chacun a présenté un prototype devant un jury de direction. L'enseignement tient au dispositif de clôture. Le prototype présenté devant la direction transforme un référent en porteur de projet, et le rôle ne tient que s'il est reconnu et valorisé.

Ces deux programmes reposent sur un socle de montée en compétence collective que nous décrivons dans notre guide de l'acculturation à l'IA. La gouvernance décide, l'acculturation exécute, et la formation des équipes est ce qui relie les deux dans la durée.

Ce que la loi impose déjà, et ce qu'elle n'impose pas encore

L'article 4 du règlement européen sur l'IA s'applique depuis le 2 février 2025. Il impose aux fournisseurs comme aux déployeurs un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour leur compte. Ce niveau s'apprécie au regard de leurs connaissances et de leur contexte d'usage. La CNIL en publie le calendrier détaillé. Former les équipes n'est donc plus seulement un gain de productivité, c'est une obligation.

En revanche, un point circule partout et il est faux. La CNIL n'est pas encore l'autorité de référence désignée pour l'application du règlement en France. Elle est compétente sur les pratiques interdites, rien de plus à ce stade. La désignation générale attend l'adoption du projet de loi d'adaptation au droit de l'Union européenne. Ce texte a été voté au Sénat en février 2026 et n'était pas encore adopté par l'Assemblée nationale à la publication de cet article. Une quinzaine d'autorités sectorielles compléteront le dispositif selon le domaine.

Le vrai risque juridique à court terme est ailleurs, et il est français. L'article L.2312-8 du code du travail impose l'information et la consultation du comité social et économique avant l'introduction de nouvelles technologies modifiant les conditions de travail. Le tribunal judiciaire de Créteil a suspendu en juillet 2025 l'usage d'outils d'IA dans une entreprise de presse professionnelle, tant que la consultation n'était pas achevée. Les outils en cause faisaient de la réécriture, de la transcription et de la synthèse, exactement les usages que déploient aujourd'hui les directions métier.

Quatre erreurs qui reviennent dans toutes les organisations

Aucune de ces quatre erreurs n'est un problème de budget. Toutes sont des problèmes de définition, et toutes se corrigent en une réunion.

1. Une direction qui ne pratique pas. Un comité de direction loin du sujet, qui n'utilise pas lui-même les outils, ne soutient pas vraiment. Formez la direction d'abord, et faites-lui écrire sa propre ambition.
2. Tout dans le même sac. Un seul rôle pour l'IA produit, l'IA analytique et l'IA générative, alors que les temporalités n'ont rien à voir. Séparez les filières sous une gouvernance commune.
3. Un comité, mais pas de responsable. Le sujet est discuté, personne n'en répond. Nommez le responsable IA, même à temps partiel, avec un mandat sur une page.
4. Des champions sans temps. Désignés en réunion, sans une heure retirée de leur charge. Trois mois plus tard le réseau ne se réunit plus. Pas de mandat sans temps dégagé et sans ligne dans les objectifs annuels.

L'État pousse le sujet en parallèle, avec un bilan qui illustre exactement ce point. Le point d'étape du plan Osez l'IA publié le 3 septembre 2026 par la Direction générale des entreprises et Bpifrance annonce plus de 35 000 entreprises sensibilisées en un an. Sur la même période, 70 diagnostics ont été engagés. Sensibiliser n'organise rien.

Par où commencer votre gouvernance de l'IA ?

Par une seule décision, et elle se prend cette semaine. Nommez un responsable IA, même à temps partiel, même sur un quart de son temps, et écrivez son mandat sur une page. Sans ce nom, le comité que vous installerez ensuite produira des comptes rendus et pas des arbitrages.

Les trois mouvements suivants s'enchaînent naturellement. Réunissez le comité une première fois pour fixer les outils autorisés et les données qui peuvent y aller. Lancez la consultation du comité social et économique avant tout déploiement large. Puis désignez un relais par équipe, avec du temps réellement retiré de sa charge.

Tandem accompagne plus de 50 entreprises sur la conception et le déploiement de leurs projets IA. Quand la question est de savoir par quel cas d'usage commencer, elle se traite dans une mission d'audit. Quand elle est de faire monter les équipes et d'installer les rôles, elle se traite dans un programme d'acculturation. Dans les deux cas, la première séance sert à répondre à une seule question, qui porte le sujet chez vous.