Gouvernance de l'IA en entreprise : guide pour le COMEX

La gouvernance de l'IA en entreprise désigne l'ensemble des décisions qui encadrent l'usage de l'intelligence artificielle : qui autorise un usage, avec quelles données, sous quel contrôle humain, et qui l'arrête lorsqu'il dérive. Dans la plupart des organisations françaises, ces décisions se prennent encore au cas par cas, faute de cadre commun. Les baromètres publiés à l'automne 2026 le confirment, avec des écarts de taux qui tiennent autant aux populations interrogées qu'à la réalité du terrain. Ce guide propose aux directions générales et aux DSI une méthode en six étapes pour installer un comité, une charte, des rôles et cinq indicateurs, sans bâtir une usine à gaz.

En résumé

Une gouvernance de l'IA se juge à sa capacité de décision, pas au nombre de documents produits. Selon le baromètre Coface publié le 5 octobre 2026 (environ 900 décideurs français), seules 17 % des entreprises ont défini, formalisé et communiqué une politique d'usage de l'IA à leurs salariés, et 60 % n'ont pas de cadre formalisé. La méthode proposée tient en six étapes : nommer un sponsor au niveau du COMEX, tenir un registre des usages, les classer en trois niveaux de risque, réunir un comité de cinq à sept personnes qui tranche en dix jours ouvrés, rédiger une charte de deux pages, puis mesurer cinq indicateurs. Le calendrier de l'AI Act, décalé par l'omnibus entré en vigueur le 27 juillet 2026, laisse du temps pour les systèmes à haut risque, mais pas pour les usages déjà en place dans vos équipes.

Où en sont réellement les entreprises françaises en matière de gouvernance de l'IA ?

Les chiffres divergent, et c'est instructif. Le baromètre Data & IA de Coface, réalisé avec Les Echos Études auprès d'environ 900 décideurs et présenté le 5 octobre 2026, relève que 17 % des entreprises ont une politique d'usage de l'IA définie, formalisée et communiquée aux salariés, que 60 % n'ont aucun cadre formalisé et que 28 % n'ont pas d'usage structuré de l'IA. Les freins cités en tête sont la sécurité des données et la conformité réglementaire (41 %), puis le manque de maturité interne (31 %). Ces résultats sont déclaratifs et la ventilation par taille et par secteur de l'échantillon n'est pas détaillée publiquement.

Le baromètre « IA : Entreprise et Durabilité » de Forvis Mazars et de l'ESSCA, publié le 1er octobre 2026, donne un autre angle. Sur 826 professionnels de l'IT et du digital répartis entre quatre pays européens (dont 203 en France, enquête de mars 2026), 65 % déclarent une équipe dédiée à l'IA, mais seulement 44 % ont formalisé des règles éthiques. Deux tiers observent du shadow AI, c'est-à-dire des outils d'IA utilisés par les salariés hors de tout cadre fourni par l'entreprise, et 12 % le constatent malgré une interdiction claire. Seuls 28 % estiment bien connaître l'AI Act.

Troisième éclairage, plus favorable : l'étude Trends of AI 2026 de KPMG France (356 décideurs, enquête de septembre-octobre 2025, dont 47 % de grands groupes et 36 % d'ETI) indique que 60 % des organisations disposent d'un dispositif de pilotage transverse pour passer à l'échelle, et que 86 % ont adopté une charte d'usage responsable de l'IA.

Faut-il conclure à une moyenne ? Non. Les populations, les définitions et les périodes diffèrent : une « charte adoptée » n'est pas une « politique formalisée et communiquée aux salariés », et un grand groupe n'est pas une PME. Ce que ces trois sources montrent ensemble tient en une observation : beaucoup d'entreprises possèdent un document ou une équipe, bien moins un mécanisme qui décide. Et c'est ce mécanisme qui fait la gouvernance.

Que couvre exactement la gouvernance de l'IA en entreprise ?

On confond souvent gouvernance, conformité et sécurité. La conformité vérifie qu'un usage respecte des règles externes. La sécurité protège les systèmes et les données. La gouvernance, elle, répartit le pouvoir de décision. Nous la ramenons à quatre décisions, qui doivent chacune avoir un propriétaire nommé :

Autoriser : qui dit oui, et selon quels critères, à un nouvel usage ou à un nouvel outil ;
Alimenter : quelles données ont le droit d'entrer dans un système d'IA, et lesquelles n'en sortent jamais ;
Superviser : quel niveau de contrôle humain s'applique à chaque usage, de la relecture systématique à la supervision par échantillon ;
Arrêter : qui peut suspendre un usage ou un agent, en combien de temps, et qui rend compte de l'arrêt.

Cette grille a un avantage : elle fonctionne aussi bien pour un assistant de rédaction que pour un agent qui agit dans votre CRM. Pour les agents, qui posent la question du pouvoir d'agir sur vos systèmes, nous détaillons les prérequis dans notre guide sur les agents IA en entreprise et la question des droits d'accès dans l'analyse sur le contrôle des accès des agents.

Pourquoi mettre en place cette gouvernance maintenant ?

Trois raisons s'additionnent, et aucune n'est réglementaire à titre principal.

La première est interne : les usages existent déjà. Quand deux entreprises sur trois voient du shadow AI et que l'interdiction n'y change rien dans un cas sur huit, attendre un cadre parfait revient à laisser les équipes décider seules, au quotidien, de ce qui entre dans les outils. Notre analyse sur l'adoption de l'IA et le shadow AI montre que le goulot d'étranglement tient moins à l'outil qu'à la compétence. Encadrer ces usages suppose aussi de former ses équipes à l'IA, au-delà de la charte.

La deuxième est budgétaire. Les arbitrages 2027 se préparent maintenant, et une ligne IA sans propriétaire ni critère d'arrêt est la première que le contrôle de gestion contestera. Nous abordons ce point dans Budget IA 2027.

La troisième est réglementaire, mais elle est moins pressante qu'on ne le dit. D'après la Commission européenne, l'AI Act est entré en application générale le 2 août 2026, avec les règles de transparence ; les obligations pour les systèmes à haut risque de l'annexe III sont repoussées au 2 décembre 2027 et celles de l'annexe I au 2 août 2028, par l'omnibus numérique entré en vigueur le 27 juillet 2026. Les obligations de culture de l'IA, applicables selon la Commission depuis le 2 février 2025, concernent déjà vos équipes ; leur formulation précise a pu être modifiée par l'omnibus, et le texte consolidé doit être vérifié avec votre service juridique. Une gouvernance qui ne ferait que suivre ce calendrier arriverait trop tard pour ce qui se passe aujourd'hui. Nous avons développé ce point dans notre analyse sur la conformité à l'AI Act.

Comment mettre en place la gouvernance de l'IA : la méthode en 6 étapes

Étape 1 : nommer un sponsor au niveau du COMEX et un responsable opérationnel

Une gouvernance sans sponsor se réduit vite à une recommandation. Le sponsor est un membre du comité de direction qui arbitre quand deux fonctions s'opposent, par exemple la direction marketing qui veut déployer et la sécurité qui veut attendre. Le responsable opérationnel, souvent issu de la DSI, de la direction data ou de la transformation, tient le registre, prépare les dossiers et convoque le comité.

Évitez de confier le sujet au seul DPO ou au seul service juridique. Ils sont indispensables au comité, mais ils portent des contraintes, pas l'arbitrage entre valeur et risque.

Étape 2 : inventorier les usages dans un registre

Vous ne gouvernez que ce que vous voyez. Le registre est un tableau d'une ligne par usage, avec sept colonnes : l'usage, son propriétaire métier, l'outil ou le modèle, les données traitées, les personnes concernées (salariés, clients, candidats), le niveau de risque et la date de prochaine revue. Pour les agents, ajoutez les droits d'accès et le moyen de les arrêter.

Pour repérer le shadow AI, l'interdiction ne suffit pas, on l'a vu. Une campagne de déclaration sans sanction, accompagnée d'une liste d'outils validés, fait remonter bien plus d'usages qu'une note de rappel. Comptez quatre à six semaines pour un premier inventaire exploitable : c'est une estimation de pratique, à ajuster selon la taille de l'organisation.

Étape 3 : classer chaque usage selon trois niveaux de risque

Trois niveaux suffisent pour démarrer, définis par quatre critères : la sensibilité des données, l'effet sur des personnes (embauche, évaluation, crédit, santé), le degré d'autonomie de l'outil et l'exposition à l'extérieur de l'entreprise.

Vert : usage courant, sans donnée sensible ni décision sur des personnes (reformuler un texte, résumer un document public). Il est libre dans le cadre de la charte.
Orange : usage qui touche des données internes ou des clients, avec relecture humaine. Le responsable opérationnel valide en dix jours ouvrés.
Rouge : données sensibles, décision ou recommandation concernant des personnes, action autonome sur un système, communication directe avec des clients. Le comité décide.

Ce classement interne est une aide à la décision. Il ne remplace pas la qualification réglementaire d'un système (interdit, à haut risque, soumis à transparence) que le juridique doit établir au cas par cas.

Étape 4 : réunir un comité qui décide

Un comité de gouvernance de l'IA efficace compte cinq à sept membres : le sponsor (qui préside), la DSI ou le CTO, le RSSI, le DPO, le juridique, les ressources humaines et un représentant métier qui change selon le dossier. La direction financière est invitée quand un budget est en jeu.

Son mandat tient en trois pouvoirs : trancher les usages rouges, arrêter un usage en cours, et valider la charte et ses mises à jour. Il se réunit toutes les deux semaines pendant les trois premiers mois, puis une fois par mois, avec une règle simple : toute demande déposée reçoit une réponse écrite sous dix jours ouvrés. Un comité qui met six semaines à répondre pousse les équipes à contourner le circuit, et le shadow AI reprend.

Le piège classique est le comité d'éthique sans pouvoir. Il produit des avis, que personne n'est tenu de suivre.

Étape 5 : rédiger une charte courte, applicable et signée

La charte tient en deux pages. Sept rubriques suffisent :

le périmètre (qui est concerné, quels outils) ;
les usages autorisés, soumis à validation et interdits, en lien avec les trois niveaux ;
les règles sur les données (ce qui ne doit jamais être saisi dans un outil non validé) ;
le principe de validation humaine et ses exceptions ;
la transparence envers les clients et les collaborateurs lorsque l'IA intervient ;
la responsabilité du propriétaire d'usage ;
la procédure de signalement d'un incident ou d'un doute.

Une charte n'est pas une gouvernance : c'est son énoncé. Sans registre ni comité, elle reste une déclaration d'intention, ce qui explique en partie l'écart entre des chartes largement déclarées dans certaines enquêtes et des politiques réellement communiquées dans d'autres. Quant à la CNIL, elle publie des ressources sur l'IA et le RGPD à l'usage des entreprises et a diffusé, le 20 juillet 2026, une note exploratoire sur l'IA agentique et les données personnelles, utile pour fixer les règles sur les données.

Étape 6 : mesurer avec cinq indicateurs

Le suivi se limite à cinq indicateurs, présentés au COMEX chaque trimestre :

la part des usages inventoriés qui ont un propriétaire nommé ;
le délai médian de réponse du comité ;
la part des salariés concernés ayant suivi une formation à l'IA ;
le nombre d'incidents ou d'écarts déclarés, et leur délai de clôture ;
la valeur ou le temps converti par usage validé, pour relier la gouvernance au retour sur investissement (voir notre analyse sur le ROI de l'IA en entreprise).

Fixez les seuils à partir de votre propre état de départ. Aucun benchmark public fiable n'existe à ce jour sur ces indicateurs, et un chiffre repris d'un blog serait une fausse précision.

Qui fait quoi dans la gouvernance de l'IA ?

Les rôles se répartissent ainsi, et la clarté de cette répartition compte plus que le titre de chacun :

Le sponsor COMEX arbitre, porte la gouvernance devant le conseil et alloue les moyens.
Le responsable de la gouvernance IA tient le registre, instruit les demandes et suit les indicateurs.
Le propriétaire d'usage, un manager métier, signe la demande, répond des résultats et des incidents de son usage.
La DSI assure l'intégration technique, le contrôle des accès et la capacité à arrêter un outil.
Le RSSI évalue les risques de sécurité, y compris ceux des agents et des connecteurs.
Le DPO examine les traitements de données personnelles et la nécessité d'une analyse d'impact.
Le juridique qualifie les usages au regard de l'AI Act et des contrats avec les éditeurs.
Les ressources humaines pilotent la formation et traitent les usages qui concernent des collaborateurs.
La finance suit les coûts et la valeur par usage.

Le propriétaire d'usage est le rôle le plus souvent oublié. Sans lui, personne ne répond d'un usage une fois le comité passé, et la gouvernance se réduit à une autorisation initiale.

Comment démarrer en 90 jours ?

Le calendrier suivant est une proposition de pratique, pas une norme. Les semaines 1 et 2 servent à nommer le sponsor et le responsable et à fixer le mandat du comité. De la semaine 3 à la semaine 6, l'inventaire des usages alimente le registre. Les semaines 7 et 8 permettent de définir les trois niveaux et de rédiger la charte. À la semaine 9, le comité se réunit pour la première fois sur les usages rouges identifiés. Les semaines 10 à 12 servent à publier la charte, lancer la formation et mesurer les premiers indicateurs.

Que prévoir à l'ordre du jour de la première réunion du comité ?

Prévoyez quatre-vingt-dix minutes. Commencez par valider le mandat et les trois pouvoirs du comité. Passez ensuite en revue les cinq à dix usages rouges du registre, en demandant pour chacun une décision : autoriser, autoriser sous conditions, différer ou arrêter. Fixez le délai de réponse de dix jours ouvrés. Terminez par la désignation d'un propriétaire pour chaque usage et par la date de la prochaine réunion. Une réunion qui s'achève sans décision écrite a manqué son objet.

Quelles erreurs éviter ?

Cinq erreurs reviennent. La première est de créer un comité sans pouvoir de décision. La deuxième est de rédiger une charte avant d'avoir un registre : on réglemente alors des usages que l'on ne connaît pas. La troisième est de tout interdire, ce qui déplace les usages hors de votre vue. La quatrième est de réduire la gouvernance à la conformité, alors que la valeur créée par l'IA se décide aussi dans ce circuit, comme le montre notre analyse sur la priorisation des cas d'usage. La cinquième est de mesurer l'avancement par le nombre de documents plutôt que par le délai de décision et la couverture du registre.

Que retenir pour le comité de direction ?

La question à poser au prochain COMEX n'est pas « avons-nous une charte ? », mais « qui, aujourd'hui, a le droit de dire non à un usage de l'IA, et en combien de temps ? ». Si la réponse est « personne » ou « cela dépend », la gouvernance reste à construire, quel que soit le nombre de documents déjà rédigés. Les entreprises qui avancent le mieux ne sont pas celles qui encadrent le plus, mais celles qui décident vite, par écrit, et qui savent arrêter. Reste un arbitrage que le sponsor devra assumer : jusqu'où déléguer aux métiers le niveau orange, sans rouvrir la porte au contournement ?

Le regard de digitalie_

Chez digitalie_, nous considérons que la gouvernance de l'IA se juge à trois preuves : un propriétaire nommé pour chaque usage, un registre à jour et un comité qui répond dans les dix jours. Nous accompagnons des directions générales et des DSI dans la mise en place de ce circuit, de l'inventaire initial à la charte, dans le cadre de nos missions Data & IA (dont le Sprint IA Business). Si vous souhaitez comparer votre situation à cette méthode, nous proposons un échange de 30 minutes.

Questions fréquentes

Qu'est-ce que la gouvernance de l'IA en entreprise ?

C'est l'ensemble des règles, des rôles et des instances qui décident comment l'IA est utilisée dans l'organisation : qui autorise un usage, quelles données il peut traiter, quel contrôle humain s'applique et qui peut l'arrêter. Elle se distingue de la conformité, qui vérifie le respect des règles externes, et de la sécurité.

Qui doit piloter la gouvernance de l'IA ?

Un membre du comité de direction doit en être le sponsor, car la gouvernance suppose d'arbitrer entre valeur et risque. Le pilotage opérationnel est généralement confié à la DSI, à la direction data ou à la transformation, avec le DPO, le RSSI et le juridique comme membres du comité, pas comme seuls décisionnaires.

Faut-il créer un comité IA, et qui doit y siéger ?

Oui, dès que plusieurs fonctions utilisent l'IA. Un comité de cinq à sept personnes suffit : sponsor COMEX, DSI, RSSI, DPO, juridique, ressources humaines et un représentant métier tournant. Il doit pouvoir trancher, arrêter un usage et répondre par écrit sous un délai fixé, par exemple dix jours ouvrés.

Une charte IA est-elle obligatoire ?

Aucune des sources consultées ne l'impose sous cette forme. L'AI Act fixe des obligations selon le rôle de l'entreprise et le niveau de risque du système, qu'il faut qualifier avec votre juridique. Une charte reste utile comme énoncé des règles d'usage, à condition d'être adossée à un registre et à un comité.

Combien de temps faut-il pour installer la gouvernance de l'IA ?

Comptez environ trois mois pour un premier dispositif opérationnel : sponsor et mandat, inventaire des usages, niveaux de risque, charte, première réunion du comité et premiers indicateurs. Cette durée est une estimation de pratique ; elle varie avec la taille de l'organisation et le nombre d'usages déjà en place.

Sources

Coface, Baromètre Data & IA (3e édition, 5 octobre 2026, environ 900 décideurs, avec Les Echos Études), présenté par ActuIA le 6 octobre 2026 : Six entreprises sur dix utilisent l'IA sans cadre. Étude auto-déclarative, page publique sans ventilation de l'échantillon.
Forvis Mazars et ESSCA, Baromètre IA : Entreprise et Durabilité (2e édition, 1er octobre 2026, 826 répondants, France, Royaume-Uni, Allemagne, Espagne, enquête de mars 2026) : communiqué de presse.
KPMG France, Trends of AI 2026 (23 janvier 2026, 356 décideurs français, enquête de septembre-octobre 2025) : communiqué de presse. Étude d'un cabinet de conseil.
Commission européenne, cadre réglementaire de l'IA et calendrier d'application (consulté le 12 octobre 2026).
CNIL, rubrique Intelligence artificielle (note exploratoire sur l'IA agentique et les données personnelles, 20 juillet 2026).
Efalia, DaVinciDoc et Laboratoire Hubert Curien, baromètre national DSI, data et IA (746 décideurs IT, 31 août 2026), présenté par Le Blog du Modérateur : près de la moitié des organisations n'ont pas dépassé le stade des expérimentations. Contenu sponsorisé par un éditeur, cité à titre indicatif.
digitalie_ Analyses : service Data & IA, agents IA en entreprise, shadow AI et compétences, Budget IA 2027, ROI de l'IA.

Gouvernance de l'IA en entreprise : comité, charte, rôles et indicateurs, le guide pour le COMEX