La méthode
Sécuriser les usages de l’IA d’une PME, dans l’ordre
Quatre étapes qui s’enchaînent : on forme, on mesure, on cadre, on prouve. Chaque étape laisse un livrable, et le dernier les contient tous. Voici exactement ce qui se passe à chacune, et pourquoi dans cet ordre.
La plupart des PME abordent la sécurité de l’IA par le document : on télécharge un modèle de charte, on le fait signer, dossier clos. C’est l’ordre inverse du réel. On ne peut pas cadrer des usages qu’on n’a pas mesurés, et on ne peut pas mesurer ce que des équipes non formées n’osent pas déclarer.
D’où l’ordre de la méthode : d’abord former (les équipes comprennent le risque et parlent librement de leurs usages). Ensuite auditer (on voit ce qui circule vraiment). Puis cadrer (la charte découle des usages constatés, pas d’un modèle). Enfin prouver (le dossier de conformité assemble ce que les trois étapes ont produit).
83 %
des PME n’ont formé personne à l’IA.
Bpifrance Le Lab
Le Réflexe
Former : donner le réflexe avant l’outil
Le problème réel. Vos collaborateurs utilisent déjà l’IA générative, pour rédiger, traduire, résumer, coder. Un compte ChatGPT gratuit utilisé avec une adresse pro : les conversations peuvent servir à l’entraînement selon le paramétrage. La plupart des salariés ne le savent pas, et la plupart des dirigeants non plus. Le risque n’est pas l’outil : c’est le réflexe absent au moment de coller un document dedans.
Interdire ne règle rien : l’usage passe alors sur le téléphone personnel, hors de toute visibilité. La seule protection qui tient dans la durée est un réflexe partagé : savoir ce qui peut entrer dans une IA, ce qui ne le peut jamais, et pourquoi.
Ce que font les autres
- Une formation « IA » standardisée, écrite par des formateurs qui n’ont jamais géré d’incident.
- Un contenu centré sur la productivité : mieux prompter, gagner du temps.
- Une feuille de présence.
Ce que je fais
- Une session construite sur des situations réelles de fuite de données, animée par quelqu’un qui les a gérées.
- Un contenu centré sur les données : ce qui sort, vers où, et comment travailler sans exposer l’entreprise.
- Une attestation nominative, la preuve de sensibilisation attendue par l’article 4 de l’AI Act.
Attestation individuelle de participation
Sécurité des usages de l’IA générative
Sensibilisation au titre de l’article 4 du règlement (UE) 2024/1689 (« AI Act »), littératie IA.
Participant · [Nom Prénom]
Entreprise · [Raison sociale]
Durée · 2 h
Date · [JJ/MM/AAAA]
Le livrable : l’attestation individuelle de participation À retenir La littératie IA de l’article 4 est une obligation datée. Une session de 2 h avec attestation nominative en est la preuve documentée.
à partir de 900 € HTVoir la formation
La Radiographie
Auditer : révéler le shadow AI
Le problème réel. Entre les outils que vous avez validés et ceux que vos équipes utilisent, il y a un écart : c’est le shadow AI. Des comptes personnels gratuits, des extensions de navigateur, des outils « essayés » et jamais déclarés. Ce qui en sort (contrats, données clients, code source, dossiers RH), personne ne le voit.
Le shadow AI ne se détecte pas en demandant aux gens. Il se détecte en regardant les extensions navigateur installées et les connexions sortantes. Le déclaratif sert ensuite, pour comprendre le besoin derrière chaque usage, car chaque outil non déclaré répond à un vrai besoin métier, et l’audit doit le nommer pour qu’on puisse y répondre proprement.
Ce que font les autres
- Un questionnaire déclaratif envoyé aux équipes.
- Une liste de risques génériques, valable pour n’importe quelle entreprise.
- Une conclusion : « interdire les outils non validés ».
Ce que je fais
- Le croisement des usages déclarés avec les traces techniques : extensions, connexions sortantes.
- Un registre priorisé par VOS données : quel service, quel outil, quelle donnée, quelle criticité.
- Un plan d’action outil par outil : valider, encadrer, remplacer. L’interdiction sèche recrée du shadow AI.
Cartographie des usages IA · extrait
[Service][Outil IA][Type de données]
[Service][Outil IA, compte personnel][Données critiques]
criticité · usage · destination des données
Le livrable : un extrait de la cartographie des usages À retenir On ne peut pas cadrer ce qu’on ne voit pas : l’audit transforme un angle mort en une carte, et la carte dicte tout le reste.
à partir de 1 500 € HTVoir l’audit
Le Cadre
Cadrer : une charte que vos équipes signent
Le problème réel. Une charte que personne ne signe n’est pas opposable : c’est le point que la plupart des modèles gratuits ratent. L’autre écueil est la charte-interdiction : un document qui dit « non » à tout est ignoré dès la première semaine, et l’usage repart en dessous, moins visible qu’avant.
Une charte qui tient fait trois choses : elle nomme les outils validés et les outils interdits (une liste, pas un principe), elle dit quelles données ne doivent jamais entrer dans une IA, et elle est signée individuellement, avec des modalités de signature et de mise à jour prévues dès le départ. C’est ce qui la rend présentable le jour d’un contrôle.
Ce que font les autres
- Un modèle générique téléchargé, adapté en changeant le nom de l’entreprise.
- Un document juridique de dix pages que personne n’ouvre.
- Une diffusion par email, sans suite.
Ce que je fais
- Une charte écrite depuis votre cartographie : vos outils, vos données, vos métiers.
- Des règles courtes que vos équipes comprennent, articulées avec la sécurité et le RGPD.
- Un kit de déploiement : communication interne, signature individuelle, modalités de mise à jour.
Charte d’usage de l’IA · art. 3 · les données
Ne saisissez jamais dans un outil d’IA, même validé : des données clients nominatives, des données de santé ou RH, des éléments contractuels ou financiers non publics, du code source propriétaire.
En cas de doute sur une donnée : ne la saisissez pas, posez la question à [référent IA]. Le doute n’est jamais une faute ; la saisie, parfois.
Le livrable : un article de la charte, tel qu’il est écrit À retenir Une charte n’est opposable que signée, et n’est signée que si elle est comprise : la forme n’est pas un détail, c’est la condition.
à partir de 1 200 € HTVoir la charte
La Preuve
Prouver : le dossier qui tient devant un contrôle
AI Act, article 4 : J-5 avant l’activation des contrôles. 2 août 2026.
Le problème réel. La question n’est plus « faut-il se mettre en règle » mais « que montrez-vous le jour où on vous le demande ». Être conforme sans pouvoir le prouver revient, ce jour-là, à ne pas l’être : ce qui compte est le dossier (registres, attestations, charte signée, documentation des outils).
C’est pour cela que cette étape vient en dernier : elle n’invente rien, elle assemble. Les attestations viennent de la formation, la cartographie de l’audit, la charte signée du cadrage. Le dossier de preuves les complète (registres, mentions, modèles d’AIPD), et un suivi optionnel le maintient à jour quand vos usages ou la réglementation bougent.
Ce que font les autres
- Une « certification AI Act ». Elle n’existe pas.
- Une analyse juridique, sans lien avec la circulation réelle des données.
- Un rapport rendu, puis plus rien.
Ce que je fais
- Un dossier de preuves : ce qu’un contrôle demande réellement.
- Un dossier construit sur vos usages constatés : c’est la suite logique des trois étapes.
- Une option de suivi trimestriel : le dossier reste vrai dans le temps.
Dossier de preuves · sommaire
- 1. Registre des systèmes d’IA utilisés
- 2. Attestations de formation (art. 4, littératie IA)
- 3. Charte d’usage signée + registre des signatures
- 4. Documentation des outils validés
- 5. Mentions et information des personnes (RGPD)
- 6. Modèles d’AIPD…
Le livrable : le sommaire du dossier de preuves À retenir Ce que vous achetez : un accompagnement à la mise en conformité et un dossier de preuves solide, pas une certification officielle.
à partir de 2 000 € HTVoir la conformité
Par où commencer
L’ordre est le bon, mais chaque étape se prend seule
Vous avez déjà formé vos équipes ? Commencez par l’audit. Vous avez déjà une charte ? L’audit dira si elle correspond aux usages réels. Le plus court chemin pour le savoir : le simulateur AI Act (30 secondes, sans email), ou un échange direct.
20 minutes pour savoir où vous en êtes.
Un échange direct, sans engagement. Vous repartez avec un avis honnête, y compris si vous n’avez pas besoin de moi.
Réserver un échange de 20 minDevis sous 48 h après l’échange, si vous le souhaitez.