Quand un usage personnel engage l’entreprise

Le BYOAI — Bring Your Own AI — désigne le fait que des collaborateurs utilisent leurs propres outils d’intelligence artificielle dans un contexte professionnel, en dehors de tout cadre défini par l’entreprise. Jusqu’à récemment, le problème était traité sous l’angle de la sécurité informatique ou de la fuite de données. C’était légitime, mais insuffisant.

Avec l’entrée en application progressive du règlement européen sur l’intelligence artificielle (AI Act, règlement UE 2024/1689)[1], le BYOAI n’est plus seulement un risque opérationnel. C’est un risque juridique. Chaque outil d’IA utilisé au sein de l’organisation, même choisi par un collaborateur à titre individuel, peut engager la responsabilité de l’entreprise au regard du règlement.

Le problème est structurel. Les chercheurs Barbara H. Wixom et Nick van der Meulen, du MIT Center for Information Systems Research, le résument ainsi : le BYOAI expose l’organisation à des risques de perte de données, de fuite de propriété intellectuelle, de violation du droit d’auteur et de faille de sécurité[3]. Ajoutez-y un règlement européen assorti de sanctions financières, et le problème change de dimension.

AI Act : les échéances qui changent le niveau d’exposition

L’AI Act avance par seuils. Certaines obligations sont déjà effectives, d’autres deviennent structurantes en 2026, puis sur les systèmes à haut risque selon le calendrier révisé. Pour en donner une lecture partagée au comité de direction, une conférence AI Act pour dirigeants clarifie ces échéances en une intervention.

Déployeur, fournisseur, utilisateur : le rôle réel de l’entreprise

L’une des erreurs les plus fréquentes consiste à penser que l’AI Act ne concerne que les éditeurs de solutions d’IA. En réalité, le règlement distingue trois rôles — et la plupart des entreprises qui pratiquent le BYOAI entrent dans au moins l’un d’entre eux.

Le fournisseur est celui qui développe ou met sur le marché un système d’IA. Le déployeur est celui qui utilise ce système dans le cadre de son activité professionnelle — même via un simple abonnement SaaS. L’utilisateur final est la personne qui interagit directement avec l’outil.

Pour la très grande majorité des PME et ETI françaises, la catégorie pertinente est celle de déployeur[4]. Et c’est précisément le cas de figure BYOAI : un collaborateur souscrit à un outil IA externe, l’utilise sur des données professionnelles, et l’organisation devient déployeur de fait — même si elle n’a jamais validé cet usage.

Autrement dit, l’interdiction ne règle pas le problème. Elle le rend invisible. La seule stratégie viable est d’organiser l’usage pour le rendre conforme. C’est précisément l’objet de la conférence BYOAI proposée par farweb.fr : aider les équipes dirigeantes à comprendre le phénomène et à structurer une réponse.

Ce que le BYOAI oblige à documenter

Selon le niveau de risque, le règlement demande surtout de rendre les usages traçables, qualifiables et supervisables. Pour le BYOAI, quatre points doivent être documentés avant de parler de conformité.

Les sanctions sont calibrées en conséquence : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les manquements aux obligations de haut risque, et 7,5 millions ou 1 % pour les défauts de transparence[1]. Les plafonds sont adaptés pour les PME, mais les obligations, elles, ne sont pas allégées.

Matrice de risque par usage BYOAI courant

Le tableau ci-dessous synthétise les obligations selon le type d’usage. Il ne couvre pas tous les cas — la classification dépend du contexte exact — mais il donne un cadre de lecture immédiatement exploitable.

Source : synthèse farweb.fr d’après le règlement UE 2024/1689, Annexe III et articles 26, 50.

Ce qui doit passer en gouvernance

Jusqu’ici, le BYOAI était un sujet de DSI. Avec l’AI Act, il devient un sujet de direction générale.

Le premier changement est la responsabilité. L’entreprise qui déploie (ou laisse déployer) un système IA sans respecter les obligations du règlement est juridiquement responsable, même si elle n’a pas choisi l’outil, même si elle ne savait pas qu’il était utilisé. L’ignorance n’est pas une défense.

Le deuxième changement est la traçabilité. Documenter quels outils sont utilisés, pour quels traitements, sur quelles données, avec quelle supervision — ce n’est plus une bonne pratique. C’est une obligation. Et pour les systèmes à haut risque, cette documentation doit être prête avant la mise en service, pas après un contrôle.

Le troisième changement concerne la culture de l’organisation. Les chercheurs Anthuvan et al. (2025) ont identifié six profils comportementaux de collaborateurs face au BYOAI et quatre postures de gouvernance organisationnelle[6]. Leur cadre BYOAI-Gov propose de traiter l’usage informel de l’IA non pas comme une infraction, mais comme un comportement organisationnel gouvernable. Cela suppose un changement de posture : passer du contrôle réactif à la gouvernance proactive.

Le plan minimal avant août 2026

Le calendrier révisé ne supprime pas l’urgence de cadrage. Il donne surtout le temps de faire correctement l’inventaire des usages, la classification des risques et la formation des équipes. Voici un plan d’action réaliste, ordonné par priorité.