Gouvernance IA : qui doit s'en charger dans une PME sans juriste ?

Une PME de trente personnes n'a ni juriste, ni délégué à la protection des données, ni direction des systèmes d'information. La question du pilotage des usages d'IA finit donc sur le bureau du dirigeant, qui la repousse faute de savoir à qui la confier. Le profil qui fonctionne n'est pourtant pas celui qu'on imagine.

Les trois réflexes qui échouent

Confier le sujet à la personne la plus à l'aise avec la technique. Elle connaît les outils, elle les teste, elle sait ce qu'ils valent. Mais le pilotage porte sur des règles, des arbitrages et de la pédagogie, pas sur la performance des modèles. On confie souvent le dossier à celui qui saura le moins convaincre les autres.

Le confier au prestataire informatique. Il connaît vos machines, pas vos métiers. Il ne saura pas dire si l'assistante de direction peut coller un compte rendu de comité dans un outil grand public.

Le garder pour soi. C'est le plus fréquent, et cela tient quelques semaines. Un dirigeant n'a pas le temps de relancer, de tenir un recensement à jour et de répondre aux questions du quotidien.

Le profil qui fonctionne

Quelqu'un qui connaît les métiers de l'entreprise, à qui les gens parlent, et qui sait écrire clairement. Responsable administratif, office manager, responsable qualité, chef de projet transverse : les profils varient, le point commun ne varie pas. Cette personne doit pouvoir demander à n'importe qui ce qu'il fait, sans que la question soit vécue comme un contrôle.

La compétence technique s'acquiert en quelques heures. La confiance des équipes, non. C'est pour cela que le critère relationnel passe devant le critère technique, et non l'inverse.

Cette personne devra elle-même monter en compétence, et cette montée fait partie de ce que l'article 4 attend en matière de littératie IA. Ce n'est pas un préalable à la nomination, c'est une conséquence.

Le mandat, sans lequel rien ne tient

Nommer quelqu'un sans lui donner de pouvoir produit un responsable désigné pour porter le chapeau. Le mandat doit être écrit, même en cinq lignes, et connu de tous.

Trois choses au minimum. Le droit de poser des questions à tout le monde, y compris au comité de direction. Le droit de dire non à un usage, avec un recours possible devant le dirigeant. Un temps identifié dans la semaine, pas un travail « en plus ».

Sans le troisième point, les deux premiers ne servent à rien. Une mission sans temps alloué est une mission qui n'existe pas.

Combien de temps cela prend réellement

Le démarrage est la période chargée : recenser les usages, rédiger les règles, sensibiliser les équipes. Comptez l'équivalent de quelques journées étalées sur six à huit semaines.

Ensuite, le régime de croisière est modéré : une à deux heures par mois pour tenir le recensement à jour, répondre aux questions et noter les décisions. Plus une revue annuelle, plus longue.

Si le régime de croisière dépasse une demi-journée par mois dans une PME de trente personnes, quelque chose est mal outillé. Le temps devrait passer dans les arbitrages, pas dans la saisie.

Ce que cette personne doit produire

Pas un rapport. Quatre documents vivants, décrits dans l'article sur la gouvernance IA qui tient en quatre documents : la charte d'usage, le recensement, la trace des sensibilisations, et une note annuelle de responsabilité.

La bonne mesure de réussite n'est pas l'épaisseur de ces documents. C'est le nombre de personnes qui viennent spontanément poser une question avant d'utiliser un nouvel outil. Quand cela commence, le pilotage fonctionne.

Faut-il un titre ?

Aucun texte n'impose de nommer un référent IA, contrairement au délégué à la protection des données qui est obligatoire dans certains cas. Le rôle est utile, pas réglementaire.

Un intitulé aide néanmoins en interne : il légitime les questions et donne un point d'entrée aux équipes. Évitez simplement les titres qui promettent plus que ce que la personne peut tenir.

Questions fréquentes

Peut-on confier ce rôle à un alternant ?

Pour la collecte et la mise à jour, oui, et c'est même une bonne mission. Pour les arbitrages et la rédaction des règles, non : cela suppose une légitimité et une connaissance de l'entreprise qu'un alternant n'a pas encore. Le binôme fonctionne bien.

Et si personne ne veut du sujet ?

C'est presque toujours un problème de mandat, pas d'envie. Personne ne veut d'une mission floue, sans temps, avec une responsabilité diffuse. Un périmètre écrit et deux heures par mois identifiées changent la réponse.

Notre délégué à la protection des données peut-il prendre le sujet ?

Si vous en avez un, c'est souvent le meilleur candidat : il maîtrise déjà la logique de recensement et de preuve. Attention toutefois à ne pas réduire le sujet à la donnée personnelle : l'AI Act et le RGPD ne couvrent pas le même périmètre.

Combien de temps ce rôle prend-il chaque mois ?

Après un démarrage de quelques journées étalées sur six à huit semaines, une à deux heures par mois suffisent dans une PME de trente personnes, plus une revue annuelle. Au-delà d'une demi-journée par mois, le temps part dans la saisie plutôt que dans les décisions : c'est un signe d'outillage insuffisant.

Faut-il un profil technique pour piloter la gouvernance IA ?

Non. Le critère décisif est relationnel : connaître les métiers, être quelqu'un à qui les équipes parlent, savoir écrire clairement. La compétence technique utile s'acquiert en quelques heures. Un responsable administratif, un office manager ou un responsable qualité tiennent très bien ce rôle.

Où en est votre entreprise ?

L'audit de maturité IA de Klaveta évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA