Quand on cherche comment « gouverner l’IA en entreprise », on tombe vite sur des mots assez lourds.
Comité. Politique. Registre. Responsable. Matrice de risque. Processus de validation.
Tout ça peut avoir du sens.
Mais pas forcément de la même façon dans une entreprise de cinq personnes et dans un groupe de 20 000 salariés.
Le 30 septembre, Eurostat rappelait qu’en 2024, 99 % des entreprises de l’Union européenne étaient des micro ou petites entreprises de moins de 50 personnes. Elles employaient presque la moitié des personnes travaillant dans l’économie marchande européenne.
Autrement dit, si la méthode d’adoption de l’IA ne fonctionne que pour les grands groupes, elle rate une énorme partie du terrain.
Une petite entreprise a besoin de règles, pas forcément d’une usine à règles
Imaginons une société de six personnes autour de La Flèche.
Deux personnes utilisent ChatGPT ou Gemini pour préparer des mails. Une troisième résume parfois des documents. Le dirigeant teste un outil pour l’aider sur des devis.
Je ne commencerais pas par créer un comité IA trimestriel avec un ordre du jour de huit pages.
Je commencerais par écrire cinq réponses.
Quels outils sont autorisés ?
Quelles données ne doivent pas être envoyées dedans ?
Pour quels usages faut-il obligatoirement relire ?
Qui décide lorsqu’on veut connecter l’IA à un autre outil ?
À qui signale-t-on un résultat bizarre ou un incident ?
Si tout le monde connaît ces réponses, la petite entreprise a déjà quelque chose que certaines structures beaucoup plus grandes n’ont pas : un cadre utilisable.
La simplicité n’est pas l’absence de gouvernance
Il y a une confusion fréquente.
Soit on fait quelque chose de très formel, soit on laisse chacun se débrouiller.
Entre les deux, il y a pourtant beaucoup de place.
Une règle peut tenir dans une page. Un registre des usages peut tenir dans un tableau de dix lignes. La personne référente peut être le dirigeant ou quelqu’un qui connaît bien les outils. Une revue peut se faire tous les deux mois plutôt que chaque semaine.
Le cadre doit suivre le risque et la taille réelle de l’organisation.
Si l’IA sert uniquement à reformuler des textes non sensibles, le niveau de contrôle peut rester léger.
Si elle commence à accéder à des données personnelles, à agir dans un CRM, à envoyer des messages ou à intervenir dans un processus RH, le niveau monte.
Ça ne veut pas dire qu’une petite entreprise peut ignorer l’AI Act. L’article 4 impose déjà aux fournisseurs et déployeurs de prendre des mesures pour soutenir la maîtrise de l’IA des personnes qui utilisent ces systèmes pour leur compte. En revanche, la Commission précise qu’aucun « AI officer » ni comité de gouvernance spécifique n’est imposé pour satisfaire cet article.
Autrement dit, un cadre proportionné à une TPE est compatible avec la règle. Il doit simplement être réel.
Ce qui compte, c’est que la règle augmente quand le risque augmente.
Pas que le document fasse sérieux.
Le piège du copier-coller des grandes entreprises
Le Baromètre France Num 2026 montre que l’IA progresse fortement dans les TPE-PME françaises.
Ça veut dire qu’un nombre croissant de petites structures va devoir se poser ces questions.
Elles n’ont pas besoin qu’on leur vende une gouvernance dimensionnée pour un groupe international.
Elles ont besoin de savoir ce qu’elles autorisent demain matin.
Je préfère une règle courte qui est comprise et appliquée à une politique parfaite que personne n’ouvre.
Une TPE peut rester légère.
Elle doit juste éviter que « léger » devienne « personne ne sait vraiment comment on fait ».
Sources
- Eurostat, 30 septembre 2026.
- France Num / Direction générale des Entreprises, 28 septembre 2026.
Vous avez un sujet concret à regarder dans votre entreprise ? Parlons-en.