Les six arbitrages sur l’IA que votre DSI n’a pas mandat pour prendre

Le comité ne tranche pas la technique, il tranche ce qu’elle engage

Une seule question sépare un sujet de comité de direction d’un sujet de direction des systèmes d’information : la réponse engage-t-elle quelqu’un d’autre que l’informatique ? Le choix d’un fournisseur de modèle, l’architecture d’un connecteur, le paramétrage des droits d’accès sont des décisions techniques, et un DSI les prend mieux qu’un comité. La phrase affichée au-dessus d’un agent conversationnel qui répond aux clients engage la marque. Le refus de déployer un outil qui analyse le ton de voix des collaborateurs engage le droit du travail et le dialogue social. Le périmètre de ce que l’entreprise accepte de livrer avec de l’IA à l’intérieur engage sa responsabilité contractuelle. Ces décisions-là ne descendent pas d’un cran, et un DSI qui les prendrait seul le ferait sans mandat.

Le désalignement au sommet a été mesuré, et par deux sources indépendantes. Dans l’enquête annuelle Microsoft-LinkedIn menée auprès de vingt mille actifs du tertiaire sur dix marchés dont la France, un utilisateur professionnel de l’IA sur quatre seulement — 26 % — déclare que sa direction est clairement et constamment alignée sur le sujet^[1]. Interrogés directement, les dirigeants portent le même jugement sur leur propre instance : 31 % seulement estiment que leur équipe dirigeante possède des compétences et des connaissances en IA suffisantes pour en comprendre les risques et les opportunités^[2]. Un dirigeant qui a l’impression d’ouvrir le sujet trop tard décrit donc une situation générale, et non une faiblesse propre à son organisation.

Le plus instructif tient à la structure du désaccord. Dans une enquête américaine conduite auprès de 950 dirigeants de haut niveau, 39 % des DSI et directeurs techniques jugent leurs équipes pleinement prêtes à adopter l’IA, contre 10 % des directeurs financiers et 7 % des directeurs des opérations^[3]. Ce que cette enquête documente, c’est que le désaccord sur l’IA se structure par fonction à l’échelle d’une population de dirigeants américains. Elle ne dit rien de la composition d’un comité en particulier, et surtout pas de celui qui lira ces lignes. Elle éclaire en revanche pourquoi un ordre du jour intitulé « point IA » n’aboutit à rien : tant que les décisions qui appartiennent au collectif ne sont pas nommées une par une, chaque direction lit le sujet depuis son périmètre et le tranche dans son coin. L’entreprise se retrouve alors avec autant de politiques IA que de directeurs.

Six arbitrages remontent au comité. Pour chacun, trois choses comptent : pourquoi il ne peut pas être délégué, ce que coûte le fait de le laisser ouvert, et la forme sous laquelle il devient une décision opposable.

Arbitrage 1 — Par quel compte passe le travail

Le comité croit arbitrer l’entrée de l’IA dans l’entreprise. Il arbitre en réalité sa régularisation. Parmi les actifs français qui utilisent l’IA au travail, 42 % passent surtout par un compte personnel et 21 % autant par un compte personnel que professionnel ; 29 % seulement utilisent un accès fourni par l’employeur^[4]. Dans le même temps, 14 % des salariés français déclarent que leur entreprise a mis en place une politique interne d’usage de l’IA, 60 % affirment qu’il n’y en a pas et 25 % l’ignorent^[4]. L’écart entre ces deux séries dit tout : l’usage est là, le cadre n’y est pas.

Cet arbitrage remonte au comité parce que sa portée dépasse l’informatique. Décider par quel compte transitent les documents de travail, c’est décider quelles données sortent du périmètre contractuel de l’entreprise, quelle preuve on pourra produire si un client le demande, et quelle promesse on tient dans un contrat de sous-traitance. La direction juridique et la direction commerciale sont engagées autant que la DSI.

Laissé ouvert, cet arbitrage ne produit pas l’immobilité : il installe une politique implicite, celle du compte personnel, décidée collaborateur par collaborateur. L’option « interdire » est déjà factuellement dépassée, et elle recule aussi dans les intentions : la part des employeurs qui découragent l’usage de l’IA est passée de 10,3 % à 8,4 % entre 2024 et 2026, sur un échantillon de professionnels du numérique qui n’est pas représentatif de l’ensemble des entreprises, mais dont la tendance est nette^[5]. Le sujet mérite d’être traité pour lui-même, ce que détaille l’analyse du shadow AI et de ses parades.

La décision prend une forme simple : une liste nominative d’outils autorisés, une règle de compte, une catégorie de données exclue, une date d’effet. Une page. Elle n’a de valeur que signée par la direction générale, parce qu’elle engage l’entreprise vis-à-vis de ses clients et pas seulement ses salariés entre eux. Le cadrage complet du sujet est traité dans le dossier BYOAI et conformité AI Act.

Arbitrage 2 — Ce que l’entreprise dit quand une machine répond à sa place

C’est le seul des six qui porte une échéance immédiate et une amende dédiée. L’article 50 du règlement (UE) 2024/1689 devient applicable le 2 août 2026^[6]. Il impose que les systèmes interagissant directement avec des personnes physiques les informent qu’elles s’adressent à une IA, et il encadre le marquage des contenus générés. Le règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet, n’a pas déplacé cette date générale : il accorde quatre mois supplémentaires, jusqu’au 2 décembre 2026, à la seule obligation de marquage de l’article 50, paragraphe 2, et pour les seuls systèmes déjà mis sur le marché avant le 2 août^[7].

Le contraste avec le reste du texte mérite d’être posé devant un comité, parce qu’il inverse l’ordre de priorité que la plupart des directions ont en tête. L’article 50 figure dans la liste limitative de l’article 99, paragraphe 4, qui prévoit des amendes administratives pouvant atteindre 15 000 000 EUR ou 3 % du chiffre d’affaires mondial^[6]. L’article 4, celui de la maîtrise de l’IA, n’y figure pas. La transparence est sanctionnée ; la formation ne l’est pas directement.

Ce curseur relève du comité parce qu’il engage le ton de la marque autant que la conformité. Faut-il signaler l’usage de l’IA sur les visuels, sur les textes de blog, sur les réponses du service client, sur les comptes rendus envoyés au client ? Une règle trop étroite expose ; une règle trop large transforme chaque livrable en avertissement et abîme la perception de l’entreprise. Personne d’autre que la direction générale ne peut arbitrer ce curseur.

Non tranché, il produit une conséquence prévisible : chaque service invente sa mention, ou n’en met aucune, et l’entreprise se retrouve avec des pratiques hétérogènes impossibles à défendre en cas de contrôle. La Commission a publié un projet de lignes directrices sur les obligations de transparence le 8 mai 2026 et un code de bonnes pratiques sur la transparence des contenus générés par IA le 10 juin 2026^[8] : le comité n’a donc aucune doctrine à inventer, il a à décider s’il s’aligne et qui en porte la responsabilité. Ce qui sort de la séance tient alors en une règle de divulgation unique, écrite, appliquée à tous les canaux, avec un nom en face. Le calendrier réglementaire complet est détaillé dans le dossier AI Act 2026 pour l’entreprise.

Arbitrage 3 — Ce que l’entreprise refuse de mesurer chez ses salariés

Voilà l’interdiction la plus tranchante du règlement, et la moins coûteuse à respecter. L’article 5, paragraphe 1, point f) interdit les systèmes d’IA visant à inférer les émotions d’une personne sur le lieu de travail, sous réserve d’exceptions médicales ou de sécurité. Cette interdiction s’applique depuis le 2 février 2025 et relève du plafond de sanction le plus élevé du texte : 35 000 000 EUR ou 7 % du chiffre d’affaires mondial au titre de l’article 99, paragraphe 3^[6]. Les lignes directrices de la Commission sur les pratiques interdites, approuvées le 4 février 2025, précisent que le terme « utilisation » rend l’interdiction opposable aux déployeurs, donc aux employeurs, même lorsque le fournisseur a exclu cet usage au contrat, et que l’exception médicale ou de sécurité ne couvre pas la détection d’aspects généraux du bien-être, ni la surveillance générale du niveau de stress au travail, ni la détection du burn-out ou de la dépression^[9].

Des dispositifs vendus aux directions des ressources humaines sous l’étiquette « qualité de vie au travail augmentée par l’IA » — analyse du ton dans les entretiens vidéo, détection de l’engagement en réunion, score d’humeur sur les échanges internes — tombent dans cet interdit. Un DSI peut techniquement intégrer ces briques ; il n’a aucun mandat pour décider que l’entreprise mesure les émotions de ses salariés.

À l’écrit, cela donne un veto d’achat : la ligne est inscrite dans la politique IA et opposée en amont à tout fournisseur, avant la démonstration commerciale et non après. C’est l’un des points où une gouvernance IA dimensionnée pour une PME montre son utilité immédiate.

Arbitrage 4 — Qui apprend quoi, et sous quelle preuve

L’article 4 du règlement impose aux fournisseurs et aux déployeurs de systèmes d’IA de veiller à un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes s’occupant de son utilisation pour leur compte. Il s’applique depuis le 2 février 2025^[6]. Le règlement omnibus entré en vigueur le 27 juillet 2026 ne l’a pas supprimé : il l’a réécrit en obligation de moyens — prendre des mesures pour soutenir le développement de la maîtrise de l’IA^[7]. La nuance change la nature du sujet pour un comité : la preuve attendue porte désormais sur l’existence d’un dispositif, là où la rédaction initiale pouvait se lire comme une exigence de compétence individuelle vérifiée.

La définition du déployeur ferme l’objection habituelle.

La Commission traite explicitement ce cas dans sa foire aux questions officielle : les collaborateurs doivent être informés des risques spécifiques, l’hallucination étant citée en exemple, et aucun certificat n’est exigé^[10]. Elle indique par ailleurs que les autorités nationales de surveillance du marché commencent à superviser l’application des règles à compter du 2 août 2026^[10].

L’état des lieux français rend l’arbitrage concret : 21 % des salariés déclarent avoir reçu une formation professionnelle à l’IA, 30 % dans les ETI et grandes entreprises, 16 % dans les micro-entreprises^[4]. Le comité doit donc décider trois choses que personne ne peut décider à sa place : quelles populations sont prioritaires, quel niveau on vise pour chacune, et quelle trace on conserve. La preuve attendue est un registre interne — qui a été sensibilisé, à quoi, quand, et quelles consignes d’usage ont été diffusées. Aucun certificat n’est exigé, et aucun prestataire agréé n’est imposé.

Faute d’être tranché, ce point ne déclenche pas d’amende dédiée, et c’est précisément ce qui le rend dangereux : il disparaît des ordres du jour. Il ressort en revanche dans les questionnaires de sous-traitance, dans les audits clients et dans les appels d’offres. Le sujet est développé dans l’article consacré à la formation professionnelle à l’IA générative. Ce que le comité laisse derrière lui : un plan daté, nominatif par population, et un registre tenu par une fonction identifiée.

Arbitrage 5 — Ce que l’entreprise accepte de livrer sous sa signature

Cette échéance échappe aux ordres du jour construits autour de l’AI Act, pour une raison simple : elle n’y figure pas. La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux, publiée au Journal officiel de l’Union européenne le 18 novembre 2024, intègre explicitement les logiciels et les systèmes d’IA dans la définition du produit et retient la capacité d’apprentissage du produit parmi les critères d’appréciation de la défectuosité ; sa transposition est attendue pour le 9 décembre 2026^[11]. Une entreprise qui incorpore de l’IA dans un produit ou un service livré change de terrain de risque, indépendamment de sa qualification au regard de l’AI Act.

Il faut, dans le même mouvement, corriger une idée qui circule largement. La proposition de directive sur la responsabilité en matière d’IA, qui devait alléger la charge de la preuve pour les victimes, a été retirée par la Commission, avis de retrait publié au Journal officiel de l’Union européenne le 6 octobre 2025^[12]. À ce jour, aucun texte européen spécifique à l’IA n’allège donc la charge de la preuve : le contentieux se juge sur le droit national et sur le régime de responsabilité du fait des produits.

L’arbitrage appartient au comité parce qu’il porte sur l’offre. Jusqu’où l’entreprise met-elle de l’IA dans ce qu’elle vend ? Avec quelle mention au contrat, quelle garantie, quelle réserve de résultat ? La direction commerciale a un intérêt à dire oui, la direction juridique à dire non, et aucune des deux n’a le mandat pour trancher seule. Laissée ouverte, la question se règle au fil des propositions commerciales, c’est-à-dire au pire endroit possible.

La décision prend la forme d’une règle d’engagement contractuel : ce qui peut être assisté par IA dans une livraison, ce qui ne peut pas l’être, ce qui doit être relu par un humain nommé avant envoi, et ce qui doit apparaître dans les conditions. À noter pour les comités qui envisagent du recrutement ou du scoring assistés : l’article 26, paragraphe 2, impose que le contrôle humain des systèmes à haut risque soit confié à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires^[6] — une exigence désormais applicable au 2 décembre 2027 pour les systèmes de l’annexe III, l’omnibus ayant reporté ce volet de seize mois^[7].

Arbitrage 6 — À quelle condition un projet s’arrête

Le sixième arbitrage est le plus impopulaire, et c’est celui qui protège le budget. Gartner prévoit que plus de 40 % des projets d’IA agentique seront abandonnés d’ici fin 2027, en raison de coûts croissants, d’une valeur métier mal définie ou de contrôles de risque insuffisants^[13]. Cette prévision est un exercice d’analyste, et non le décompte d’une population de projets. Le communiqué qui la porte rapporte bien un sondage, mais celui-ci mesure autre chose : le niveau d’investissement en IA agentique déclaré par 3 412 participants à un webinaire, en janvier 2025^[13]. Un comité peut s’appuyer sur cette prévision pour justifier une règle d’arrêt, pas pour estimer le sort de ses propres projets.

L’opérateur public français publie de son côté des volumes qui se lisent à des échelles très différentes. Bpifrance indique avoir formé ou sensibilisé plus de 15 000 entreprises entre 2023 et 2025 via ses dispositifs IA, et fait état de 460 diagnostics Data IA et de 205 missions de conseil stratégique^[14]. Ces trois chiffres relèvent de dispositifs distincts et ne portent pas sur les mêmes entreprises : ils ne décrivent aucun parcours et ne mesurent aucun taux d’abandon. Ils situent seulement un ordre de grandeur — la sensibilisation se compte en dizaines de milliers, l’accompagnement approfondi en centaines.

C’est au comité qu’il revient de décider à l’avance ce qui autorise un projet à continuer. Le critère utile est métier avant d’être technique : quel processus doit être mesurablement plus rapide, plus fiable ou moins coûteux en charge de travail, à quelle date, et qui constate. Le corollaire est une règle d’arrêt : ce qui n’a pas atteint le seuil à la date convenue s’arrête, sans procès d’intention.

Si l’arrêt remonte au comité, c’est que la décision d’arrêter est politique. Un directeur métier n’arrête pas volontiers un projet qu’il a porté ; un DSI qui l’arrête à sa place se met en défaut vis-à-vis d’un pair. Seule l’instance qui a validé le lancement peut prononcer l’arrêt sans coût relationnel. Et un critère d’arrêt qui n’a pas été fixé au départ ne s’invente pas rétroactivement : les projets s’étirent, et le budget IA se dépense en pilotes qui ne meurent pas.

L’intérêt de cette décision dépasse le contrôle de gestion. Dans l’étude annuelle du BCG conduite auprès de 11 749 salariés sur quatorze marchés, la clarté de la stratégie IA est associée à un écart de 25 points de pourcentage sur l’impact business mesurable, quand la dotation en meilleurs outils est associée à 5 points^[15]. L’écart se joue donc davantage sur la clarté de la direction donnée que sur l’outillage. Les critères d’évaluation projet par projet sont détaillés dans le guide de décision sur les agents IA.

Ce qui se passe quand aucun des six n’est tranché

Rien de spectaculaire, et c’est le problème. L’entreprise ne subit pas d’incident visible : elle accumule des positions par défaut. Le compte personnel devient la norme d’accès, la mention de divulgation dépend du service qui publie, un outil d’analyse d’entretiens entre par la porte des ressources humaines, la formation reste à l’état d’intention, une proposition commerciale promet une prestation assistée par IA sans réserve contractuelle, et trois pilotes survivent sans échéance. Chacune de ces situations est défendable isolément. L’ensemble ne l’est plus le jour où un client, un contrôle ou un contentieux demande qui a décidé quoi.

Le décalage entre conviction et exécution s’observe d’ailleurs chez les dirigeants français eux-mêmes. Une enquête Bpifrance Le Lab menée auprès de 1 209 dirigeants de PME et d’ETI, dont le terrain remonte à la fin de l’année 2024, montre que 58 % jugent l’IA vitale pour leur survie à trois ou cinq ans, alors que 43 % seulement ont défini une stratégie^[16]. Ce qui manque n’est pas la conviction : c’est la formalisation.

La forme minimale d’une décision de comité

Une décision de comité de direction sur l’IA tient en peu de choses : une position écrite, une date d’effet, une fonction responsable et une date de réexamen. Sans ces quatre éléments, ce qui a été dit en séance reste une opinion partagée, et une opinion partagée ne se transmet ni à un nouvel arrivant, ni à un auditeur, ni à un client.

Les six arbitrages, l’échéance qui les rend datés, et la forme écrite qui les rend opposables.

Sur la structure, le Cigref publie un guide de gouvernance de l’IA qui articule cinq prérequis — définir une stratégie au niveau managérial, établir une gouvernance de la donnée, cartographier les systèmes et modèles d’IA, mettre en place un comité de gouvernance de l’IA, puis définir des procédures et règles internes — ce comité devant réunir des représentants des départements concernés, par exemple juridique, données, conformité, cybersécurité, informatique et opérations, et rendre compte à un sponsor de haut niveau^[17]. Ce modèle a été conçu pour de grandes organisations, et une PME n’a pas six directions à réunir. Le principe reste transposable en attribuant les six rôles à deux ou trois personnes, à condition que l’attribution soit écrite.

Reste la question de méthode. Ces six arbitrages ne se préparent pas en écoutant une démonstration d’outil, et ils ne se délèguent pas à un prestataire qui vendrait par ailleurs la solution recommandée. Le comité a besoin du matériau — l’état du droit à jour, les chiffres datés, les options réellement ouvertes — pour délibérer lui-même. C’est l’objet d’une conférence de cadrage AI Act destinée aux dirigeants ou d’une séance consacrée à l’usage réel des outils personnels au travail : apporter la matière et les points de décision.

La décision, elle, appartient au comité et s’écrit dans son relevé de conclusions.