Audit des usages IA en entreprise

Pourquoi auditer les usages IA dans son entreprise ?

L’intelligence artificielle est souvent déjà présente dans l’entreprise avant même qu’un projet IA officiel ne soit lancé.

Des collaborateurs utilisent ChatGPT pour rédiger ou analyser des documents. D’autres disposent de Microsoft Copilot, Gemini ou de fonctionnalités d’IA intégrées à leurs outils métiers. Des équipes automatisent certaines tâches ou testent de nouveaux assistants sans nécessairement disposer d’un cadre commun.

Cette adoption rapide peut être une excellente nouvelle.

Elle montre que les collaborateurs identifient eux-mêmes des usages capables de leur faire gagner du temps ou d’améliorer leur travail.

Mais elle crée aussi une difficulté : l’entreprise peut perdre progressivement la visibilité sur la manière dont l’IA est réellement utilisée.

Quels outils sont utilisés ?

Par quelles équipes ?

Pour quelles tâches ?

Quelles données leur sont transmises ?

Quels résultats sont vérifiés ?

Quelles décisions leur sont déléguées ?

Quels usages apportent réellement de la valeur ?

Un audit des usages IA permet de répondre à ces questions avant de chercher à déployer davantage de solutions.

Qu’est-ce qu’un audit des usages IA ?

Un audit des usages IA est une analyse structurée de la manière dont les collaborateurs et les équipes utilisent réellement l’intelligence artificielle dans leur activité.

Il ne s’agit pas uniquement d’inventorier les logiciels disponibles.

L’analyse porte également sur :

• les cas d’usage ;
• les équipes concernées ;
• les données utilisées ;
• les résultats produits ;
• le niveau de contrôle humain ;
• les outils autorisés ou non ;
• les pratiques individuelles ;
• les risques identifiés ;
• les règles existantes ;
• le niveau de compréhension des utilisateurs.

L’objectif est de disposer d’une vision suffisamment claire pour décider quels usages doivent être encouragés, mieux encadrés, transformés ou éventuellement arrêtés.

Qu’est-ce que le Shadow AI ?

Le terme Shadow AI désigne les usages de l’intelligence artificielle réalisés en dehors des outils, processus ou règles officiellement définis par l’entreprise.

Le phénomène peut prendre des formes très simples.

Un collaborateur crée un compte personnel sur un outil d’IA générative pour l’aider à rédiger un document.

Une équipe utilise un service en ligne pour analyser un fichier client.

Un salarié copie une partie d’un document interne dans un chatbot sans savoir précisément comment les informations saisies seront traitées.

Une automatisation est créée localement sans être connue de la DSI ou des autres équipes.

Ces usages ne sont pas nécessairement malveillants.

Ils apparaissent souvent parce que les outils répondent à un besoin réel plus rapidement que l’organisation n’a eu le temps de l’encadrer.

Interdire globalement l’IA ne suffit donc pas toujours à supprimer le problème.

Il faut comprendre pourquoi les usages existent et proposer des alternatives suffisamment simples pour être adoptées.

Quels usages IA faut-il cartographier ?

La cartographie doit couvrir à la fois les outils officiellement déployés et les pratiques plus informelles.

Les assistants généralistes

ChatGPT, Microsoft Copilot, Gemini, Claude ou d’autres assistants peuvent être utilisés pour rédiger, reformuler, traduire, analyser ou rechercher des informations.

L’enjeu est de comprendre ce qui leur est réellement demandé et quelles données sont utilisées.

Les fonctionnalités IA intégrées aux logiciels

L’IA est progressivement intégrée aux CRM, outils marketing, suites bureautiques, plateformes de création, outils RH, logiciels métiers ou solutions de service client.

Un inventaire limité aux outils appelés explicitement « IA » peut donc manquer une partie importante des usages.

Les automatisations intégrant de l’IA

Des workflows peuvent utiliser des modèles pour analyser, classifier, extraire ou générer des informations.

Ces usages méritent une attention particulière lorsqu’ils exécutent automatiquement une action à partir du résultat produit par l’IA.

Les outils spécialisés

Traduction, transcription, génération d’images, analyse documentaire, code, recherche ou production de contenus peuvent faire appel à des solutions différentes selon les métiers.

Les usages expérimentaux

Certaines équipes testent des outils sans qu’ils soient encore intégrés aux processus officiels.

Ces expérimentations sont importantes à identifier.

Elles peuvent révéler de futurs cas d’usage particulièrement intéressants, mais également des pratiques qui nécessitent rapidement davantage de cadre.

Que faut-il analyser dans un usage de l’intelligence artificielle ?

Tous les usages IA ne présentent ni la même valeur ni le même niveau de risque.

L’audit doit donc aller au-delà du simple inventaire.

Le besoin métier

Quel problème l’utilisateur cherche-t-il à résoudre ?

L’IA permet-elle réellement d’améliorer la tâche ou constitue-t-elle simplement une nouvelle manière de l’exécuter ?

Les données utilisées

Quelles informations sont envoyées au système ?

S’agit-il de données publiques, internes, confidentielles, stratégiques ou personnelles ?

Les collaborateurs savent-ils ce qu’ils peuvent ou ne peuvent pas transmettre ?

Cette question est centrale. La CNIL recommande notamment aux organisations d’encadrer les usages de l’IA générative, de définir les utilisations autorisées et interdites et d’être particulièrement attentives aux données personnelles ou confidentielles transmises aux services utilisés.

La solution utilisée

L’outil est-il fourni par l’entreprise ?

Le compte utilisé est-il professionnel ou personnel ?

Quelles sont les conditions appliquées aux données ?

Existe-t-il une solution d’entreprise plus adaptée ?

Deux collaborateurs utilisant le même modèle avec deux types de comptes différents peuvent ne pas bénéficier des mêmes garanties.

Le résultat produit

Que fait le collaborateur de la réponse générée ?

Est-elle utilisée comme brouillon ?

Vérifiée systématiquement ?

Envoyée directement à un client ?

Injectée dans un autre système ?

Utilisée pour prendre une décision ?

Le niveau de risque dépend autant de l’utilisation du résultat que de la technologie elle-même.

Le contrôle humain

Un utilisateur compétent vérifie-t-il le résultat avant qu’il ne soit utilisé ?

Plus une erreur peut avoir de conséquences, plus le niveau de supervision doit être important.

La CNIL rappelle notamment que les systèmes d’IA générative peuvent produire des réponses plausibles mais inexactes et qu’une confiance excessive dans leurs résultats peut conduire à des décisions erronées.

La fréquence

Un test effectué ponctuellement ne présente pas les mêmes enjeux qu’un usage quotidien intégré à un processus.

Un usage fréquent peut justifier une solution plus robuste, davantage de gouvernance ou une automatisation correctement cadrée.

Quels sont les principaux risques liés aux usages de l’IA en entreprise ?

Le niveau de risque dépend fortement du cas d’usage.

Plusieurs catégories doivent néanmoins être systématiquement examinées.

Confidentialité des données

Un collaborateur peut transmettre à un outil externe des informations que l’entreprise n’aurait normalement pas communiquées à un tiers.

Documents internes, données clients, informations commerciales ou contenus protégés peuvent ainsi sortir du périmètre prévu.

Données personnelles

L’utilisation de données concernant des clients, collaborateurs ou partenaires doit être examinée au regard des règles applicables en matière de protection des données.

L’IA ne crée pas une exemption au RGPD.

Fiabilité

Un modèle génératif peut produire une information incorrecte tout en la présentant de manière convaincante.

La vérification humaine reste donc essentielle lorsque le résultat doit être utilisé dans un contexte sensible.

Propriété intellectuelle

La génération ou la transformation de contenus peut soulever des questions sur les données fournies au système, les contenus utilisés et les conditions de réutilisation des résultats.

Dépendance

Une équipe peut progressivement intégrer un outil externe dans un processus critique sans avoir évalué les conséquences d’une évolution tarifaire, d’une indisponibilité ou d’un changement des fonctionnalités.

Automatisation excessive

Plus l’IA agit directement dans d’autres systèmes, plus les conséquences potentielles d’une erreur augmentent.

L’émergence des systèmes agentiques accentue cette problématique : la CNIL souligne notamment que leur capacité à agir dans leur environnement crée des chaînes de traitement plus complexes et parfois opaques.

Faut-il interdire ChatGPT et les outils d’IA générative en entreprise ?

Une interdiction générale peut être justifiée dans certains contextes très spécifiques.

Mais elle ne constitue pas nécessairement la meilleure réponse pour toutes les organisations.

Lorsque les collaborateurs perçoivent une forte valeur dans ces outils, une interdiction difficile à appliquer peut favoriser les usages non déclarés.

Une approche plus opérationnelle consiste généralement à définir :

ce qui est autorisé,
ce qui nécessite des précautions,
ce qui nécessite une validation,
ce qui est interdit.

L’entreprise peut également mettre à disposition des solutions bénéficiant de garanties plus adaptées aux usages professionnels.

La CNIL recommande justement d’encadrer l’utilisation de l’IA générative par des politiques ou chartes internes suffisamment accessibles, de définir les usages autorisés et interdits et de former les utilisateurs.

Qu’est-ce qu’une charte IA en entreprise ?

Une charte IA est un document qui définit les principes et règles applicables à l’utilisation de l’intelligence artificielle dans l’organisation.

Elle peut notamment préciser :

• les outils autorisés ;
• les types de données qui peuvent être utilisés ;
• les données interdites ;
• les usages nécessitant une validation ;
• les règles de vérification des résultats ;
• les responsabilités des utilisateurs ;
• les usages prohibés ;
• les personnes à contacter en cas de doute.

Mais produire une charte ne suffit pas.

Une règle qui ne correspond pas aux pratiques réelles sera rapidement contournée ou oubliée.

C’est pourquoi l’audit des usages doit idéalement précéder ou accompagner la création de la politique IA.

Le cadre est ainsi construit à partir de situations réellement rencontrées par les collaborateurs.

Comment construire une politique d’usage de l’IA ?

Une politique IA efficace doit être suffisamment précise pour protéger l’entreprise mais suffisamment simple pour être comprise et appliquée.

Cartographier les usages

Avant de définir les règles, il faut comprendre les pratiques existantes.

Classer les situations selon leur niveau de risque

Toutes les utilisations ne nécessitent pas les mêmes contrôles.

Reformuler un texte public et analyser des données clients sensibles ne peuvent pas être traités de la même manière.

Définir les outils autorisés

L’entreprise doit permettre aux collaborateurs d’identifier facilement quelles solutions ils peuvent utiliser dans quelles conditions.

Définir les règles relatives aux données

Les collaborateurs doivent savoir quelles informations peuvent être transmises à quel type de solution.

Organiser la validation humaine

Le niveau de contrôle doit dépendre de la conséquence potentielle d’une erreur.

Former les utilisateurs

La politique doit être comprise.

Elle doit donc être accompagnée d’un niveau de sensibilisation adapté aux usages des différentes équipes.

Faire évoluer le cadre

Les outils et usages progressent rapidement.

La politique IA doit pouvoir être révisée lorsque de nouvelles pratiques apparaissent.

La gouvernance ne doit pas figer les usages. Elle doit permettre à l’entreprise de les faire évoluer sans perdre le contrôle.

Qu’est-ce que la gouvernance de l’IA ?

La gouvernance IA regroupe les règles, responsabilités et mécanismes permettant à une organisation de décider comment l’intelligence artificielle peut être utilisée, déployée et contrôlée.

Elle répond notamment à des questions simples :

Qui peut utiliser quels outils ?

Qui valide un nouveau cas d’usage ?

Comment les risques sont-ils évalués ?

Qui est responsable d’un système une fois déployé ?

Comment les utilisateurs sont-ils formés ?

Comment les incidents ou erreurs sont-ils remontés ?

Comment les usages sont-ils réévalués ?

Une PME n’a pas nécessairement besoin de créer un comité IA composé de dix personnes.

La gouvernance doit être proportionnée au nombre d’usages, à leur criticité et à la taille de l’organisation.

L’objectif est d’avoir suffisamment de règles pour décider, pas suffisamment de gouvernance pour ralentir chaque initiative.

Audit IA et AI Act : quel lien ?

L’AI Act européen introduit un cadre réglementaire fondé sur le niveau de risque des systèmes et des usages d’intelligence artificielle.

Depuis 2025 et 2026, plusieurs de ses dispositions sont déjà applicables. L’obligation relative à la maîtrise de l’IA par les personnels concernés est notamment applicable depuis février 2025, avec supervision et exécution depuis août 2026. Certaines obligations de transparence prévues à l’article 50 s’appliquent également depuis août 2026.

Cela renforce l’intérêt pour les entreprises de savoir quels systèmes elles utilisent et dans quelles conditions.

Mais l’Audit des usages IA digitalie_ n’est pas un audit juridique de conformité à l’AI Act.

Il permet d’identifier les usages existants, les zones de vigilance et les situations qui peuvent nécessiter une analyse juridique, sécurité ou conformité plus approfondie.

Cette distinction est importante.

digitalie_ aide l’entreprise à savoir où regarder et quoi traiter ; lorsqu’une validation juridique est nécessaire, elle doit être réalisée par l’expertise compétente.

Qu’est-ce que l’AI Literacy et pourquoi devient-elle importante ?

L’AI Literacy — ou maîtrise de l’IA — correspond à la capacité des personnes amenées à utiliser ou exploiter des systèmes d’intelligence artificielle à disposer d’un niveau de compréhension adapté à leur contexte.

Il ne s’agit pas de transformer tous les collaborateurs en experts techniques.

Une personne utilisant quotidiennement un assistant rédactionnel n’a pas besoin des mêmes compétences qu’une équipe déployant un système d’IA intégré à un processus métier.

L’AI Act prévoit que fournisseurs et déployeurs prennent des mesures pour soutenir la maîtrise de l’IA des personnes concernées par l’utilisation de ces systèmes. Cette obligation est applicable depuis février 2025.

La formation doit donc être liée aux usages réels.

Un programme générique de deux heures présentant « ce qu’est l’intelligence artificielle » apporte peu de valeur si les collaborateurs ne savent toujours pas :

quelles données ils peuvent utiliser, comment vérifier une réponse ou quelles tâches peuvent être confiées à l’outil.

Former à l’IA signifie apprendre à l’utiliser correctement dans son métier.

Comment former les collaborateurs à l’utilisation de l’IA ?

La formation doit commencer par les situations rencontrées dans le travail quotidien.

Les collaborateurs doivent notamment comprendre :

• ce que le système sait faire ;
• ce qu’il ne sait pas faire ;
• comment les résultats sont générés ;
• pourquoi ils peuvent être inexacts ;
• quelles données peuvent être utilisées ;
• quelles informations ne doivent pas être transmises ;
• quand une vérification humaine est nécessaire ;
• quelles règles internes s’appliquent.

La CNIL recommande de familiariser les utilisateurs avec le fonctionnement et les limites des systèmes, les usages autorisés et interdits, ainsi que les précautions liées aux données utilisées en entrée.

La formation peut ensuite devenir plus spécifique par métier.

Un responsable marketing, un commercial, un juriste et un développeur n’ont ni les mêmes usages ni les mêmes risques.

Comment savoir si un usage IA crée réellement de la valeur ?

Un usage fréquent n’est pas nécessairement un bon usage.

Les collaborateurs peuvent adopter un outil parce qu’il est nouveau ou pratique sans que le gain réel soit mesuré.

L’audit peut donc chercher à objectiver la valeur créée.

Plusieurs critères peuvent être observés :

• temps économisé ;
• qualité du résultat ;
• réduction des tâches répétitives ;
• augmentation du volume traité ;
• diminution des délais ;
• satisfaction des utilisateurs ;
• amélioration de la qualité de service.

Un usage intéressant mais informel peut ensuite devenir candidat à une industrialisation.

Par exemple, plusieurs collaborateurs peuvent utiliser individuellement un assistant pour réaliser la même tâche.

Plutôt que de laisser ces usages se développer séparément, l’entreprise peut décider de construire un processus mieux cadré et partagé.

L’audit ne sert donc pas uniquement à identifier les risques. Il permet également de repérer les usages qui méritent d’être développés.

Comment passer du Shadow AI à une adoption maîtrisée ?

L’objectif n’est pas nécessairement de supprimer tous les usages informels.

Ils peuvent constituer une source importante d’innovation.

Le passage à une adoption maîtrisée consiste à faire évoluer progressivement la situation :

usage individuel → usage identifié → usage évalué → usage encadré → usage éventuellement industrialisé.

Cela peut conduire à mettre à disposition un outil d’entreprise, formaliser une règle, former les utilisateurs, construire une automatisation ou développer un véritable cas d’usage métier.

Le rôle de la gouvernance est précisément de permettre cette progression.

Le Shadow AI devient problématique lorsque personne ne sait qu’il existe. Il peut devenir une opportunité lorsqu’il est identifié, compris et correctement encadré.

Faut-il centraliser tous les usages IA ?

Pas nécessairement.

Une gouvernance excessivement centralisée peut ralentir l’expérimentation et empêcher les métiers d’identifier eux-mêmes les usages les plus pertinents.

À l’inverse, laisser chaque équipe choisir librement ses outils peut multiplier les coûts, les risques et les pratiques incohérentes.

Un modèle équilibré peut définir :

• quelques outils approuvés ;
• des règles communes ;
• un processus simple pour tester de nouveaux usages ;
• une validation renforcée uniquement pour les cas les plus sensibles ;
• des responsabilités clairement identifiées.

Le bon niveau de gouvernance est celui qui réduit les risques sans transformer chaque test en projet de six mois.

Comment prioriser les actions après un audit des usages IA ?

Tous les constats ne présentent pas la même urgence.

digitalie_ distingue notamment plusieurs types d’actions.

Corriger immédiatement

Un usage pouvant exposer des données sensibles ou présentant un risque important peut nécessiter une action rapide.

Encadrer

Un usage pertinent peut simplement nécessiter davantage de règles, de documentation ou de validation.

Former

Certains risques viennent moins de l’outil que d’une mauvaise compréhension de ses limites.

Industrialiser

Un usage individuel particulièrement intéressant peut devenir un véritable projet d’entreprise.

Rationaliser

Plusieurs équipes peuvent utiliser des solutions différentes pour répondre au même besoin.

Une consolidation peut alors réduire les coûts et améliorer le niveau de contrôle.

Surveiller

Certains usages nécessitent simplement d’être documentés puis réévalués régulièrement.

L’objectif de l’audit n’est pas de tout verrouiller. Il est de savoir où intervenir en priorité.

Questions fréquentes sur les usages IA en entreprise

Pourquoi auditer les usages IA de son entreprise ?

Un audit permet de savoir quels outils et cas d’usage sont réellement utilisés, quelles données sont manipulées et quels risques ou opportunités existent. Il permet ensuite de définir des règles adaptées et d’identifier les usages qui méritent d’être développés.

Qu’est-ce que le Shadow AI ?

Le Shadow AI désigne l’utilisation de solutions d’intelligence artificielle en dehors des outils ou règles officiellement approuvés par l’organisation. Il peut notamment concerner l’utilisation de comptes personnels ou de solutions non référencées pour traiter des informations professionnelles.

Comment encadrer ChatGPT en entreprise ?

Il faut définir les outils autorisés, les données qui peuvent être utilisées, les usages interdits, le niveau de vérification requis et les responsabilités des utilisateurs. Ces règles peuvent être formalisées dans une politique ou une charte IA et accompagnées d’une formation adaptée.

Qu’est-ce qu’une charte IA ?

Une charte IA définit les règles d’utilisation de l’intelligence artificielle dans l’entreprise : outils autorisés, données, usages, contrôles, responsabilités et pratiques interdites. Elle doit être suffisamment simple pour être réellement comprise et appliquée par les collaborateurs.

Qu’est-ce que la gouvernance IA ?

La gouvernance IA désigne les règles et responsabilités permettant à l’entreprise de décider comment les systèmes d’IA sont sélectionnés, utilisés, contrôlés et suivis. Elle doit être proportionnée au nombre d’usages et au niveau de risque associé.

Peut-on mettre des données d’entreprise dans ChatGPT ?

La réponse dépend du type de données, de l’offre utilisée, de ses conditions contractuelles et de la configuration retenue. Les informations personnelles, confidentielles ou stratégiques nécessitent une attention particulière. L’entreprise doit définir clairement les situations autorisées plutôt que laisser chaque collaborateur décider seul.

L’AI Act oblige-t-il à former les collaborateurs ?

L’AI Act prévoit une obligation de prendre des mesures favorisant la maîtrise de l’IA pour les personnes qui utilisent ou exploitent des systèmes d’IA pour le compte des organisations concernées. Cette obligation est applicable depuis février 2025.

L’Audit des usages IA digitalie_ est-il un audit de conformité AI Act ?

Non. digitalie_ identifie les usages, les risques, les pratiques et les points nécessitant davantage d’encadrement. Lorsqu’une qualification juridique ou une analyse réglementaire approfondie est nécessaire, celle-ci doit être réalisée par une expertise juridique compétente.

Combien de temps dure l’Audit des usages IA ?

L’audit digitalie_ représente 3 jours d’intervention. Le périmètre dépend du nombre d’équipes, d’outils et de types d’usages à analyser.

Combien coûte un audit des usages IA ?

L’Audit des usages IA en entreprise digitalie_ est proposé à partir de 2 400 € HT. Le périmètre définitif dépend notamment du nombre d’équipes interrogées, de la diversité des outils utilisés et du niveau de formalisation déjà existant.

Pourquoi choisir digitalie_ pour auditer vos usages IA ?

digitalie_ aborde l’adoption de l’intelligence artificielle comme un sujet de transformation des usages, et pas uniquement comme une problématique de conformité.

L’objectif n’est donc pas de construire une liste d’interdictions.

Il est de comprendre ce que les équipes font déjà, ce qui leur apporte de la valeur et ce qui doit être mieux maîtrisé.

Cette lecture permet de relier plusieurs enjeux souvent traités séparément : outils, données, pratiques métiers, compétences, gouvernance et transformation des processus.

L’audit peut ainsi faire apparaître un risque nécessitant d’être corrigé, mais aussi un usage particulièrement performant qui mérite d’être structuré et diffusé.

Bien gouverner l’IA ne consiste pas à empêcher les équipes de l’utiliser. Il s’agit de leur permettre de savoir jusqu’où elles peuvent aller — et dans quelles conditions.