Inventorier ses usages de l’IA : la cartographie en 2 heures

1. Pourquoi commencer par l’inventaire plutôt que par la formation

On ne forme personne à un usage qu’on n’a pas identifié

Quand un dirigeant de très petite entreprise découvre l’article 4 du règlement européen sur l’intelligence artificielle, son premier réflexe est presque toujours le même : chercher une formation, la payer, cocher la case. Le réflexe est compréhensible. La séquence est mauvaise. Le texte ne vous demande pas d’acheter un stage. Il vous demande de prendre les mesures nécessaires pour garantir un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent des systèmes d’IA pour votre compte. Suffisant par rapport à quoi ? Par rapport à ce que ces personnes font réellement, aux données qu’elles manipulent, et aux conséquences des décisions qu’elles prennent avec l’aide de la machine. Tant que vous ignorez ce qui est utilisé, par qui et pour quoi, vous êtes incapable de définir ce qui serait suffisant. Vous achèteriez une formation au hasard.

Le calendrier, en clair

Deux dates gouvernent votre urgence, et il faut les distinguer parce qu’on les confond en permanence.

Entre les deux, une bonne nouvelle est venue s’ajouter : le paquet législatif européen dit « omnibus numérique », adopté par le Parlement le 16 juin 2026 puis par le Conseil le 29 juin 2026, a reporté l’application des obligations les plus lourdes, celles qui pèsent sur les systèmes d’IA dits à haut risque de l’annexe III, du 2 août 2026 au 2 décembre 2027. Un dirigeant pressé en conclut que tout est repoussé et referme le dossier. C’est faux, et c’est le contresens le plus coûteux du moment. Ce report ne touche ni l’article 4, qui reste applicable depuis février 2025, ni la mise en place de la gouvernance nationale et des sanctions au 2 août 2026, ni les obligations de transparence de l’article 50, celles qui vous imposent d’indiquer à un visiteur qu’il parle à une machine.

Retenez la formule : ce qui a été repoussé, c’est la partie qui ne vous concernait probablement pas. Ce qui reste au 2 août 2026, c’est exactement la partie qui vous concerne.

Deux heures, vraiment ?

Oui, à une condition : que vous ne cherchiez pas la perfection au premier passage. L’inventaire d’une TPE de trois à quinze personnes tient en deux heures de travail effectif si vous respectez un déroulé et si vous acceptez de laisser des cases vides que vous remplirez plus tard. Voici le découpage que nous utilisons en accompagnement.

2. Ce que vous devez recenser : le périmètre exact de l’article 4

Fournisseur ou déployeur : vous êtes probablement le second

Le règlement distingue plusieurs rôles. Deux vous concernent potentiellement.

Le déployeur utilise un système d’IA sous sa propre autorité, dans le cadre d’une activité professionnelle. C’est vous, dès que quelqu’un dans votre entreprise se sert d’un outil d’IA pour travailler. Il n’existe aucun seuil d’effectif, aucun seuil de chiffre d’affaires, aucune exemption pour les petites structures. Une entreprise d’une personne qui utilise un assistant conversationnel pour rédiger ses devis est déployeur au sens du règlement, exactement comme un groupe de dix mille salariés.

La nuance qui compte : l’obligation est proportionnée. Une approche fondée sur les risques est explicitement encouragée. Vous adaptez l’effort à l’enjeu. Le boulanger qui fait relire ses publications sur les réseaux sociaux par une IA et le cabinet comptable qui laisse un logiciel noter la solvabilité de ses clients ne portent pas la même charge. Mais ils portent tous les deux la même obligation de départ : savoir ce qu’ils utilisent.

Qui est couvert : la question du « pour votre compte »

Les questions-réponses de la Commission sont limpides sur ce point, et c’est là que beaucoup de dirigeants sous-estiment leur périmètre. Sont visées toutes les personnes qui traitent de l’exploitation et de l’utilisation des systèmes d’IA en votre nom. La formule couvre :

• vos salariés, en CDI, CDD, temps partiel, sans distinction ;
• vos apprentis et stagiaires, qui sont souvent les plus gros utilisateurs d’IA de l’entreprise et les moins interrogés ;
• vous-même, le dirigeant, qui êtes fréquemment l’utilisateur d’IA numéro un et qui vous excluez spontanément de votre propre inventaire ;
• votre conjoint collaborateur, très présent dans l’artisanat auvergnat, qui gère souvent la facturation et la relation client ;
• vos prestataires et sous-traitants lorsqu’ils opèrent un système pour votre compte : le community manager freelance qui produit vos visuels, l’agence qui administre votre site, le cabinet qui traite votre paie ;

Ce qui compte comme « système d’IA » dans une TPE

La définition juridique est large et technique. Traduite pour votre usage : est un système d’IA un logiciel qui, à partir de ce qu’on lui donne, produit lui-même un résultat — un texte, une image, une note, une prédiction, une recommandation — au lieu d’appliquer une règle que quelqu’un a écrite à la main. Un tableur qui additionne une colonne n’est pas de l’IA. Un tableur qui vous propose une formule parce qu’il a deviné ce que vous vouliez faire, si.

Pour l’inventaire, oubliez la subtilité juridique et adoptez un critère opérationnel bien plus simple : si le résultat change alors que vous avez saisi la même chose, ou si personne dans l’entreprise ne sait expliquer précisément comment le résultat a été obtenu, inscrivez la ligne. Vous trierez ensuite. Un inventaire trop large se dégonfle en dix minutes. Un inventaire trop étroit ne se découvre qu’au moment de l’incident.

Trois familles à distinguer dès le départ

Ces trois familles demandent trois méthodes de détection différentes. C’est pour cela qu’un inventaire réussi combine toujours trois gestes : on regarde les factures, on ouvre les paramètres, et on parle aux gens. Sauter le troisième geste est l’erreur la plus commune, et c’est celle qui vide l’exercice de son intérêt.

3. La grille d’inventaire, colonne par colonne

Le principe : une ligne par usage, pas par outil

Erreur de conception numéro un : construire la grille avec une ligne par logiciel. Le même outil peut porter deux usages dont la criticité n’a rien à voir. Un assistant conversationnel utilisé pour reformuler une annonce d’emploi et le même assistant utilisé pour rédiger une lettre d’avertissement à un salarié, ce sont deux lignes, deux niveaux de risque, deux réponses. Une ligne = un outil + une personne ou un groupe + une tâche. Vous aurez plus de lignes que d’outils, c’est normal et c’est le signe que la grille fonctionne.

Colonne 1 — L’outil

Le nom commercial, tel qu’il apparaît à l’écran. Pas « l’IA », pas « le truc de rédaction ». Si la personne interrogée ne connaît pas le nom, demandez-lui de vous montrer l’écran et notez ce que vous lisez dans la barre de titre ou sur l’icône. Précisez la version ou la formule quand elle existe : la version gratuite et la version payante d’un même service n’ont pas les mêmes réglages de confidentialité, et c’est parfois toute la différence.

Colonne 2 — L’éditeur et le pays d’hébergement

Qui édite l’outil, et où sont traitées les données. Cette colonne sert à deux choses : identifier votre interlocuteur en cas de question, et repérer les transferts de données hors de l’Union européenne. Vous n’avez pas à mener une enquête juridique. Notez ce que dit la page de tarification ou les conditions du service, et mettez un point d’interrogation quand vous ne trouvez pas. Un point d’interrogation dans cette colonne est en soi une information : cela signifie qu’un outil traite peut-être des données de vos clients sans que personne ne sache où.

Colonne 3 — Qui l’utilise

Un nom ou une fonction. Pas « l’équipe ». Si trois personnes utilisent le même outil pour la même tâche, une ligne suffit avec les trois noms, mais nommez-les. Cette colonne détermine directement votre plan de formation : c’est la liste des personnes à former. Écrire « tout le monde » revient à écrire « je ne sais pas ».

Colonne 4 — Pour quelle tâche

Une phrase avec un verbe d’action, la plus concrète possible. Comparez :

• Mauvais : « communication ».
• Correct : « rédiger les publications hebdomadaires sur les réseaux sociaux ».
• Excellent : « rédiger les publications hebdomadaires sur les réseaux sociaux à partir des photos de chantier, sans citer de nom de client ».

Colonne 5 — Quelles données y passent

La colonne la plus importante de la grille, et celle qu’on remplit le plus vite et le plus mal. Ne vous contentez pas de « aucune donnée sensible » : c’est ce que tout le monde répond, et c’est presque toujours inexact. Posez la question autrement : qu’est-ce que vous copiez-collez dans l’outil ? Puis reprenez les catégories une par une.

La CNIL, dans ses questions-réponses sur l’usage des systèmes d’IA générative, recommande de ne jamais partager d’informations confidentielles — données personnelles, données de l’entreprise ou de l’administration — dans les services grand public où le fournisseur peut réutiliser les contenus. Cette recommandation est le fil rouge de la colonne 5. Chaque fois que vous cochez « élevé » ou « très élevé » sur une ligne où l’outil est un service grand public, vous venez d’identifier un point à traiter en priorité.

Colonne 6 — La criticité de la décision assistée

La question à poser est simple et il faut la poser exactement dans ces termes : si l’outil se trompe et que personne ne s’en aperçoit, que se passe-t-il ? Pas « est-ce que l’outil est fiable ». Pas « est-ce que je fais confiance ». La conséquence de l’erreur non détectée.

Le niveau C4 mérite un traitement à part, et pas seulement pour des raisons de bon sens. Les usages d’IA en matière de recrutement, de gestion de carrière et d’évaluation des salariés relèvent de la catégorie des systèmes à haut risque de l’annexe III du règlement. Leurs obligations spécifiques ont été repoussées au 2 décembre 2027 par l’omnibus numérique, mais deux choses restent vraies dès aujourd’hui : l’article 4 s’applique quand même, et le RGPD n’a jamais cessé de s’appliquer. Une ligne C4 dans votre grille est un signal fort : c’est là que vous mettrez votre effort de formation en premier.

Colonne 7 — Le statut du compte

Trois valeurs possibles, et il faut les distinguer sans ambiguïté.

• Pro — compte ouvert avec une adresse professionnelle, payé par l’entreprise, dont vous pouvez récupérer l’accès si la personne part demain.
• Perso — compte ouvert avec une adresse personnelle, souvent gratuit, sur lequel l’entreprise n’a aucun droit et aucune visibilité.
• Intégré — pas de compte séparé : la fonction d’IA vient avec un logiciel déjà en place et suit les droits de ce logiciel.

La CNIL recommande, pour les usages professionnels, de privilégier des adresses électroniques professionnelles dédiées en évitant la création de comptes avec des adresses personnelles. Cette colonne est donc un indicateur de conformité à elle seule. Chaque « perso » de votre grille est une ligne à régulariser, et nous verrons en section 5 que la régularisation n’est presque jamais une interdiction.

Colonne 8 — Le niveau de formation actuel de la personne

C’est la colonne qui transforme l’inventaire en plan d’action, et c’est celle qu’on oublie systématiquement. Ne notez pas une impression, évaluez sur une échelle courte que vous pourrez justifier.

Le croisement des colonnes 6 et 8 est le moteur de toute la suite. Une personne N0 sur un usage C1 ne pose aucun problème urgent. Une personne N0 ou N1 sur un usage C3 ou C4 est votre priorité absolue. Nous développerons ce croisement en section 8.

Un tableur suffit. Évitez le document partagé si votre grille contient des noms de salariés associés à des jugements de niveau : c’est un traitement de données personnelles, et il mérite les mêmes précautions d’accès que vos fiches de paie. Un fichier sur le poste du dirigeant, sauvegardé, avec accès restreint, est parfaitement suffisant pour une TPE.

4. Où chercher : les six gisements d’IA d’une TPE

Gisement 1 — Les relevés bancaires et les factures

Commencez par l’argent, c’est le gisement le plus rapide et le moins contestable. Sortez douze mois de relevés du compte professionnel et de la carte bancaire de l’entreprise, et cherchez les prélèvements récurrents de faible montant. Les abonnements d’IA grand public se situent presque tous entre 10 et 30 euros par mois et par personne, ce qui les rend parfaitement invisibles dans une comptabilité de TPE : ils se noient entre l’abonnement téléphonique et la plateforme de facturation. Vingt minutes de lecture attentive vous donneront trois ou quatre lignes que vous aviez oubliées.

Gisement 2 — Les paramètres des logiciels que vous avez déjà

C’est le gisement le plus riche et le plus ignoré. Nous lui consacrons toute la section 6.

Gisement 3 — Les téléphones

Le téléphone est l’angle mort absolu de l’inventaire. Les fonctions de transcription d’appel, de résumé de notification, de retouche photo générative et de clavier prédictif avancé sont désormais intégrées aux systèmes mobiles récents, souvent activées par défaut. Un artisan qui photographie un chantier, recadre automatiquement l’image et efface un objet gênant avant de l’envoyer au client vient d’utiliser un système d’IA génératif sur une photo qui peut contenir l’adresse et l’intérieur du domicile d’un tiers.

Gisement 4 — Le site internet et les canaux de contact

Regardez votre propre site avec les yeux d’un visiteur. Une bulle de discussion en bas à droite ? Un formulaire qui répond instantanément ? Un moteur de recherche interne qui reformule les questions ? Ces briques sont très souvent fournies et paramétrées par votre agence web ou par l’éditeur de votre site, sans que vous ayez signé quoi que ce soit de spécifique. Elles vous engagent pourtant : c’est votre marque qui parle, et c’est vous qui répondrez du contenu produit.

Depuis le 2 août 2026, l’article 50 du règlement impose d’informer la personne qu’elle interagit avec un système d’IA, sauf lorsque cela est évident. Une bulle de discussion qui porte un prénom humain et ne précise rien est exactement le cas visé. C’est la mise en conformité la plus rapide de tout le dossier : une phrase à ajouter dans le message d’accueil du chatbot.

Gisement 5 — Les prestataires

Listez toutes les personnes extérieures qui produisent quelque chose pour vous : comptable, community manager, agence web, secrétariat téléphonique externalisé, cabinet de recrutement, photographe. Pour chacune, une seule question à poser par courriel : utilisez-vous des outils d’intelligence artificielle dans les prestations que vous réalisez pour nous, et si oui lesquels et sur quelles données ? Vous obtiendrez trois types de réponses : un non franc, un oui documenté, et un silence gêné. Les trois sont informatifs.

Gisement 6 — Les métiers, et leurs logiciels spécialisés

Chaque secteur a ses outils, et chaque éditeur y a ajouté de l’IA ces deux dernières années, généralement sans changer le nom du produit. Quelques exemples de ce qu’on trouve en Auvergne :

• Cabinet comptable — reconnaissance automatique des factures et pré-affectation comptable, détection d’anomalies, scoring de risque client, relance priorisée.
• Agence immobilière — génération d’annonces à partir des caractéristiques du bien, estimation automatisée du prix, retouche et « home staging » virtuel des photos, qualification automatique des demandes entrantes.
• Kinésithérapeute, professionnel de santé — transcription de séance, aide à la rédaction du compte rendu, assistance à la prise de rendez-vous. Attention : données de santé, catégorie particulière du RGPD.
• Restaurateur — réponses suggérées aux avis en ligne, prévision de fréquentation, optimisation des commandes, génération des visuels de menu.
• Plombier, artisan du bâtiment — chiffrage assisté de devis, reconnaissance de pièces à partir d’une photo, planification de tournées, rédaction des comptes rendus d’intervention.
• Boulangerie, commerce de proximité — prévision de production, gestion des invendus, programmation des publications sur les réseaux sociaux, caisse avec suggestion de vente.
• Association sportive — analyse vidéo des séances, génération des communications aux adhérents, tri des inscriptions.

La bonne méthode : ouvrez le logiciel métier, cherchez les mentions « assistant », « intelligent », « automatique », « suggestion », « prédiction », et allez lire la page des nouveautés de l’éditeur sur les dix-huit derniers mois. Vous y trouverez ce que vous utilisez sans le savoir.

5. L’IA clandestine, premier visage : les comptes personnels

Pourquoi les gens ne le disent pas

Un salarié qui utilise son compte personnel d’assistant conversationnel pour son travail ne le cache pas par malveillance. Dans l’immense majorité des cas, il le cache pour l’une de ces cinq raisons, et il est utile de les connaître avant l’entretien parce qu’elles déterminent la façon de poser la question.

1. Il ne pense pas que ce soit un sujet. Pour lui c’est un outil, comme une calculatrice ou un moteur de recherche. Il ne vous déclare pas non plus quel moteur de recherche il utilise.
2. Il craint d’avoir l’air de tricher. C’est la raison la plus fréquente et la plus douloureuse. La personne a l’impression que dire « j’ai fait rédiger ce courrier » revient à avouer qu’elle n’a pas fait son travail. Le silence protège sa valeur perçue.
3. Il craint qu’on lui retire l’outil. Il a gagné du temps, il en est content, il redoute une interdiction.
4. Il craint de se dénoncer sur autre chose. Parler de l’outil, c’est risquer de parler de ce qu’il y a mis.
5. Il a peur d’être remplacé. Montrer que la machine fait une partie de son travail, c’est montrer qu’une partie de son travail est automatisable. C’est la peur la moins souvent exprimée et la plus profonde.

Ce que le compte personnel change vraiment

Il ne s’agit pas de principe, il s’agit de conséquences concrètes. Un compte personnel utilisé pour le travail crée cinq problèmes distincts.

C’est précisément pour ces raisons que la CNIL recommande de passer par des adresses professionnelles dédiées et de désactiver explicitement la possibilité pour le fournisseur de réutiliser les données d’usage lorsque le service le permet. Ce réglage existe dans la plupart des offres professionnelles. Il existe rarement, ou de façon moins protectrice, dans les offres gratuites grand public.

La bonne réponse n’est presque jamais l’interdiction

Le réflexe du dirigeant qui découvre trois comptes personnels est d’interdire. C’est la pire décision possible, pour une raison simple : l’interdiction ne supprime pas l’usage, elle supprime la visibilité sur l’usage. Le salarié qui gagnait quarante minutes par jour ne va pas renoncer à quarante minutes par jour. Il va simplement arrêter de vous en parler, et passer sur son téléphone personnel où vous n’aurez plus aucune prise.

La réponse utile tient en trois mouvements, dans cet ordre.

1. Reconnaître l’usage sans le sanctionner. « Vous avez trouvé quelque chose qui vous fait gagner du temps, c’est une bonne chose, on va le sécuriser. » Cette phrase désamorce les cinq peurs d’un coup.
2. Basculer sur un compte professionnel. Une adresse de l’entreprise, une offre professionnelle si le budget le permet, le réglage de non-réutilisation des données activé. Le coût est de l’ordre de vingt à trente euros par mois et par utilisateur, à comparer au temps réellement gagné.
3. Écrire deux règles, pas quinze. Ce qui ne doit jamais être saisi, et ce qui doit toujours être vérifié avant envoi. Une charte de deux pages qu’on lit vaut mieux qu’un règlement de vingt qu’on ignore.

6. L’IA clandestine, second visage : celle que vos logiciels ont activée sans vous

Le renversement à comprendre

Pendant deux ans, la question a été « faut-il adopter l’IA ? ». Cette question est aujourd’hui périmée pour la plupart des TPE, parce que la décision a été prise ailleurs. Les éditeurs ont intégré des fonctions d’IA dans des produits que vous utilisiez déjà, par mise à jour automatique, sans changer le nom du logiciel, sans nouveau contrat, et le plus souvent avec l’option active par défaut. Vous n’avez rien adopté. On a adopté pour vous.

Ce n’est pas un scandale, c’est le fonctionnement normal du logiciel en abonnement. Mais cela a une conséquence juridique directe : au sens du règlement, vous êtes déployeur d’un système d’IA que vous n’avez jamais choisi, et l’obligation de maîtrise pèse sur vous exactement comme si vous l’aviez choisi.

La messagerie et la bureautique

C’est le premier endroit où regarder, parce que c’est le logiciel que tout le monde utilise tous les jours.

Du côté de Microsoft 365, Copilot est désormais intégré dans Word, Excel, PowerPoint, OneNote et Outlook, ainsi que dans Microsoft Designer pour la création graphique et la retouche photo assistée. L’assistant aide à rédiger et reformuler dans Word, résume les fils de discussion dans Outlook, génère une présentation complète depuis une diapositive vide dans PowerPoint, analyse un tableau de budget dans Excel. Ces fonctions sont présentes dans les offres Microsoft 365 Personnel, Famille et Premium, avec un système de crédits IA qui plafonne l’usage selon la formule. Point important pour l’inventaire : beaucoup de TPE utilisent une offre Personnel ou Famille pour un usage professionnel, ce qui signifie que ces fonctions sont là, actives, sans qu’aucun paramétrage d’entreprise ne les encadre.

Du côté de Google Workspace, Gemini est intégré dans l’ensemble des applications. Dans Gmail, vous trouverez « M’aider à écrire », « Relecture », les « Réponses suggérées », l’« Aperçu IA pour la recherche Gmail » et l’« Aperçu IA pour les fils de discussion ». Dans Docs, « M’aider à écrire », « Résumer un document » et « Générer une image ». Dans Sheets, la « Fonction AI » et le « Smart Fill amélioré ». Dans Drive, les « Aperçus IA » et « Demander à Gemini dans Drive ». Ces fonctions sont incluses sans supplément dans les éditions Business Standard, Business Plus, Enterprise Standard et Enterprise Plus, avec des variations selon le plan.

Le test de trente secondes : ouvrez un courriel long dans votre messagerie professionnelle. Si un bouton vous propose de le résumer, vous êtes déployeur d’un système d’IA. Inscrivez la ligne.

La visioconférence

Le résumé automatique de réunion est la fonction d’IA la plus banalisée et la plus sous-estimée en matière de risque. Dans Google Meet, la fonction s’appelle « Prendre des notes pour moi », complétée par « Demander à Gemini dans Meet », la traduction vocale et les sous-titres traduits. Dans Zoom, l’AI Companion produit un résumé de réunion et joue le rôle de preneur de notes automatique. Microsoft Teams propose un dispositif équivalent de récapitulatif intelligent.

Pourquoi c’est plus sensible qu’il n’y paraît ? Parce qu’une réunion contient tout : des noms de clients, des chiffres, des jugements sur des personnes, des propos informels, parfois des informations sur la santé ou la situation familiale d’un collègue. Ce contenu est transcrit, traité, stocké et diffusé dans un compte rendu qui circule ensuite par courriel. Et surtout : les participants n’ont pas toujours été informés. Enregistrer et transcrire une réunion sans en informer les participants pose un problème de RGPD indépendamment de toute question d’IA.

La règle à inscrire dans votre charte est courte : on annonce la transcription au début de la réunion, on la coupe pour les sujets sensibles, et on relit le compte rendu avant de le diffuser.

Les outils de création

Les suites de création graphique ont massivement intégré la génération et la retouche automatiques. Chez Canva, l’ensemble regroupé sous le nom Magic Studio comprend notamment Magic Write pour la génération de texte, ainsi que des fonctions de retouche, de suppression d’arrière-plan et de génération d’images, dont une partie est accessible dès les comptes gratuits. Les outils de retouche photo professionnels proposent des fonctions de remplissage et d’extension d’image génératives. Sur mobile, la retouche générative est intégrée aux galeries photo des systèmes récents.

Le risque ici n’est pas la fuite de données, il est ailleurs et il est double. D’abord la représentation trompeuse : une photo de réalisation retouchée au point de ne plus correspondre au chantier réel, sur le site d’un artisan ou dans une annonce immobilière, peut relever de la pratique commerciale trompeuse. Ensuite l’obligation de marquage : l’article 50 impose le marquage des contenus générés ou manipulés artificiellement, avec un marquage lisible par machine. Pour l’immobilier, où le « home staging » virtuel est devenu banal, c’est un point à traiter sérieusement.

Les logiciels qui notent, trient et prédisent

C’est la catégorie la plus critique de tout l’inventaire, et la plus invisible parce qu’elle ne ressemble pas à de l’IA. Il n’y a pas de zone de conversation, pas de bouton magique. Il y a une colonne, un score, un code couleur, un ordre de liste. Cherchez :

• Un score de risque client dans votre logiciel de facturation ou de recouvrement, qui trie vos relances ou signale les mauvais payeurs.
• Un classement de candidatures dans votre outil de recrutement ou sur la plateforme d’annonces que vous utilisez, qui remonte certains CV en haut de la pile.
• Une prédiction de rendez-vous manqué dans votre logiciel de prise de rendez-vous.
• Une estimation automatisée de prix dans un outil immobilier.
• Un indicateur de performance individuelle calculé automatiquement dans un logiciel de planning ou de suivi d’activité.

Ces usages relèvent de la criticité C4 de votre grille dès qu’ils produisent un effet sur une personne. Ceux qui touchent au recrutement, à l’évaluation ou à la gestion de carrière entrent dans la catégorie haut risque de l’annexe III du règlement, dont les obligations spécifiques s’appliqueront au 2 décembre 2027 après le report décidé par l’omnibus numérique. Deux points à ne pas perdre de vue : le report ne suspend ni l’article 4 ni le RGPD, et un score qui influence une décision sur une personne relève déjà des règles sur la décision automatisée.

Comment vérifier, concrètement

1. Dans chaque logiciel, ouvrez les paramètres d’administration et cherchez une rubrique « IA », « Intelligence artificielle », « Assistant », « Fonctionnalités intelligentes » ou « Expériences connectées ».
2. Lisez la page « Nouveautés » ou « Notes de version » de l’éditeur sur les dix-huit derniers mois. C’est là que les fonctions ajoutées sans annonce sont listées.
3. Regardez si l’éditeur propose un réglage de non-réutilisation des données pour l’entraînement, et vérifiez sa position actuelle.
4. Notez la date de votre vérification. Ces réglages changent, et un inventaire sans date n’a plus de valeur au bout de six mois.

7. Mener l’entretien avec l’équipe sans installer un climat de suspicion

Le cadrage, en une minute

Tout se joue dans les soixante premières secondes. Si l’équipe comprend « audit », vous récupérerez des réponses défensives et un inventaire faux. Si elle comprend « on organise quelque chose qui existe déjà », vous récupérerez tout. Annoncez donc trois choses, dans cet ordre, et de préférence à l’oral et collectivement avant les entretiens individuels.

1. Pourquoi. « Une réglementation européenne nous demande de savoir quels outils d’IA on utilise et de s’assurer que chacun sait s’en servir correctement. Ce n’est pas une lubie de la direction. »
2. Ce que ce n’est pas. « Ce n’est pas un audit disciplinaire. Personne ne sera sanctionné pour ce qu’il déclare aujourd’hui. Si vous utilisez quelque chose, je préfère mille fois le savoir. »
3. Ce que ça va changer. « À l’arrivée : des outils payés par l’entreprise plutôt que par vous, des règles claires sur ce qu’on peut y mettre, et une formation adaptée. »

Les questions à poser, et celles à éviter

Les cinq questions de l’entretien type

Sept minutes par personne suffisent si vous vous tenez à cette trame.

1. « Racontez-moi votre semaine type. Sur quelles tâches vous vous faites aider par un logiciel, quel qu’il soit ? »
2. « Montrez-moi. » — Faites ouvrir l’outil. C’est la question la plus rentable des cinq : vous verrez l’historique, les autres outils ouverts, et le nom exact.
3. « Qu’est-ce que vous mettez dedans, en pratique ? »
4. « Comment vous y accédez ? Compte de la boîte, compte perso, ou c’est intégré au logiciel ? »
5. « Est-ce qu’il vous est déjà arrivé qu’il se trompe ? Qu’est-ce que vous avez fait ? »

La cinquième question remplit à elle seule la colonne 8. Une personne qui raconte spontanément une erreur détectée et corrigée est au minimum N2. Une personne qui dit « non, jamais » est N0 ou N1, quel que soit son niveau de diplôme ou d’ancienneté.

Ce que vous devez au salarié en retour

L’inventaire crée des obligations dans les deux sens, et les tenir est ce qui rendra le second inventaire possible.

• Pas de sanction sur le déclaratif. Vous l’avez promis, tenez-le, y compris si la déclaration vous déplaît. Une seule entorse et plus personne ne parlera.
• Une information écrite. Si vous consignez des noms associés à des usages et des niveaux, vous traitez des données personnelles de salariés. Informez-les de l’existence du fichier, de sa finalité et de sa durée de conservation.
• Un retour. Dites ce que vous avez décidé, même partiellement, dans le mois. Un inventaire sans retour est vécu comme une collecte à sens unique.

8. Hiérarchiser : classer par criticité pour savoir qui former en priorité

Le croisement criticité × niveau

Vous avez maintenant une grille remplie. Elle ne sert à rien telle quelle : il faut la trier. Croisez la colonne 6, criticité de la décision, avec la colonne 8, niveau de la personne. Le résultat se lit immédiatement.

Lecture du tableau : votre plan de formation, c’est la liste des cases rouges, puis orange. Rien d’autre. Une TPE de huit personnes sort typiquement une à trois lignes rouges, trois à cinq oranges, et le reste en jaune ou vert. Le chantier devient soudain d’une taille raisonnable.

Les trois piles

Traduisez le tableau en trois piles physiques, parce qu’un dirigeant agit sur des piles, pas sur une matrice.

1. Pile 1 — À traiter avant le 2 août 2026. Toutes les lignes rouges. Pour chacune : soit vous formez la personne, soit vous ajoutez une supervision humaine explicite, soit vous suspendez l’usage. Écrivez laquelle des trois options vous choisissez et à quelle date.
2. Pile 2 — À cadrer dans les trois mois. Les lignes oranges. Une règle écrite, une sensibilisation d’une heure, et un point de contrôle.
3. Pile 3 — À documenter et laisser vivre. Le reste. Vous les inscrivez dans la charte, vous les revoyez au prochain inventaire, et vous n’y consacrez pas une minute de plus.

Ce que vous faites de la grille une fois triée

Puis passez à la suite : la charte d’usage. La CNIL recommande explicitement d’encadrer l’utilisation d’un système d’IA générative par des politiques ou chartes internes définissant clairement les usages autorisés et les usages interdits, dans des documents intelligibles et accessibles à tous les utilisateurs. Votre grille contient déjà la matière : les colonnes 4 et 5 vous donnent les usages autorisés, les lignes rouges vous donnent les usages interdits. C’est l’objet de la leçon suivante de ce module.

🧭 Erreurs fréquentes et dépannage

« Personne n’utilise l’IA chez nous »

C’est la réponse la plus fréquente et elle est fausse dans plus de neuf cas sur dix. Le problème vient de la question, pas de la réponse : les gens n’appellent pas « IA » le bouton de résumé de leur messagerie. Dépannage : ne demandez plus si on utilise l’IA. Ouvrez vous-même la messagerie de l’entreprise et cherchez un bouton de rédaction ou de résumé. Vous aurez votre première ligne en deux minutes, et l’entretien changera de nature.

Une ligne par logiciel au lieu d’une ligne par usage

Vous vous retrouvez avec une grille de six lignes très courte et très fausse, où un même outil porte à la fois un usage anodin et un usage critique. Dépannage : reprenez chaque ligne et demandez-vous si tous les utilisateurs font la même chose avec. Si non, coupez la ligne en deux.

Le dirigeant absent de sa propre grille

Une fois sur deux. Or le dirigeant est souvent l’utilisateur le plus intensif, sur les sujets les plus sensibles — courriers difficiles, litiges, questions de personnel — et il travaille sans relecteur. Dépannage : commencez l’inventaire par vous. Cela règle le problème et donne le ton à l’équipe.

Croire que le report du 2 août 2026 vous exonère

L’omnibus numérique a repoussé les obligations des systèmes à haut risque de l’annexe III au 2 décembre 2027. Beaucoup de dirigeants en ont conclu que tout était reporté. Dépannage : retenez que l’article 4 s’applique depuis le 2 février 2025 sans changement, que les pouvoirs de contrôle et les sanctions arrivent bien le 2 août 2026, et que les obligations de transparence de l’article 50 aussi.

📋 Cas pratique 1 — Sanitherm, plomberie-chauffage à Issoire

Le contexte

Sanitherm emploie sept personnes : Pascal, le gérant, quatre plombiers-chauffagistes, un apprenti de dix-neuf ans, et Nathalie, l’assistante administrative à mi-temps. L’entreprise pose et entretient des chaudières et des pompes à chaleur sur le bassin d’Issoire et le Cézallier. Pascal a entendu parler de l’AI Act par sa fédération professionnelle en mai 2026 et pense que le sujet ne le concerne pas : « on ne fait pas d’informatique, nous ».

Le déroulé

Pascal commence par les relevés bancaires. Rien d’évident : pas d’abonnement identifiable. Il en conclut qu’il n’a rien à déclarer, et manque de s’arrêter là. C’est la deuxième étape, l’ouverture des paramètres, qui débloque tout : dans sa messagerie professionnelle, un bouton propose de résumer les fils de discussion et d’aider à rédiger les réponses. Nathalie l’utilise plusieurs fois par jour depuis une mise à jour dont personne n’a le souvenir.

Les entretiens produisent le reste. L’apprenti photographie les chantiers et efface les objets gênants avec la retouche automatique de son téléphone personnel avant d’envoyer les photos pour les comptes rendus. Un chauffagiste utilise un compte gratuit d’assistant conversationnel sur son téléphone pour comprendre des notices techniques de matériel allemand, en y collant parfois des extraits de documentation et des relevés d’installation. Et Pascal lui-même — c’est la ligne qu’il a failli oublier — rédige ses devis complexes en dictant les éléments à un assistant, avec le nom du client, son adresse et la description du logement.

La grille remplie

Le raisonnement de Pascal

Cinq lignes, aucune n’était connue une demi-journée plus tôt. Le croisement criticité × niveau donne deux lignes orange à rouge : les deux usages C3 sur compte personnel, le sien et celui de Karim. Le devis est le point le plus sensible : une erreur de dimensionnement de pompe à chaleur ou un prix inventé engagent l’entreprise contractuellement, et Pascal travaille seul le soir, sans relecteur. Sa propre ligne monte donc d’un cran.

Ce que Pascal décide

• Sous trente jours : deux abonnements professionnels ouverts au nom de l’entreprise pour Pascal et Karim, réglage de non-réutilisation des données activé, et bascule des usages depuis les comptes personnels.
• Sous trente jours : une règle écrite en trois lignes pour les devis — pas de nom ni d’adresse de client saisis, relecture systématique de tout chiffre avant envoi, aucun élément technique de dimensionnement accepté sans vérification dans la documentation constructeur.
• Sous une semaine : courriel à l’agence web pour faire ajouter au message d’accueil de « Léa » la mention qu’il s’agit d’un assistant automatique, et demande écrite de la liste des outils d’IA utilisés dans la prestation.
• Sous quatre-vingt-dix jours : une sensibilisation d’une heure pour toute l’équipe, avec Nathalie et Théo en priorité, sur ce qui ne se colle jamais et sur la retouche de photos prises chez des clients.
• Une décision volontairement non prise : Pascal ne touche pas à l’assistant de la messagerie. C’est du C2, Nathalie relit tout, et la sensibilisation suffira.

La conclusion

Coût total : environ soixante euros par mois d’abonnements, deux heures d’inventaire, une heure de sensibilisation. Pascal n’a interdit aucun usage. Il a transformé quatre usages clandestins en quatre usages encadrés, et il dispose d’un document daté qui prouve sa démarche. C’est très exactement ce que demande l’article 4.

📋 Cas pratique 2 — Chiffres & Volcans, cabinet comptable à Clermont-Ferrand

Le contexte

Chiffres & Volcans compte douze personnes : deux experts-comptables associés, six collaborateurs, deux assistantes, une responsable de la paie et une alternante. Le cabinet suit environ trois cents dossiers de TPE du Puy-de-Dôme. Contrairement à Sanitherm, l’associée gérante Claire sait que le cabinet utilise de l’IA — le logiciel de production comptable a été mis à jour en 2025. Elle pense que l’inventaire sera vite fait. Il révélera l’inverse.

Le déroulé

La difficulté du cabinet n’est pas de trouver de l’IA, c’est d’en trouver de la critique. Trois découvertes changent l’échelle de l’exercice.

Première découverte : le module de relance clients du logiciel de gestion attribue depuis une mise à jour un indicateur de risque de non-paiement, et l’assistante s’en sert pour décider qui reçoit une mise en demeure et à qui on accorde un délai. Personne n’a décidé de l’utiliser ainsi ; il est apparu, il était pratique.

Deuxième découverte : lors du recrutement d’un collaborateur en avril, la plateforme d’annonces a remonté les candidatures « les plus pertinentes ». Claire a lu les huit premières et n’a jamais ouvert les trente et une autres. Elle ignore sur quels critères ce classement a été produit.

Troisième découverte : les rendez-vous clients en visioconférence sont transcrits et résumés automatiquement par la fonction de prise de notes de l’outil de visio. Les comptes rendus, qui contiennent des situations financières personnelles et parfois des difficultés familiales évoquées par les clients, sont diffusés par courriel dans le cabinet. Aucun client n’a jamais été informé de la transcription.

La grille remplie

Le raisonnement de Claire

Deux lignes C4 croisées avec un niveau N0 : deux cases rouges, à traiter en priorité absolue. Le tri de candidatures relève de la catégorie haut risque de l’annexe III du règlement. Ses obligations propres n’entreront en application que le 2 décembre 2027 après le report de l’omnibus numérique, mais Claire ne s’en sert pas comme d’un délai : le RGPD s’applique déjà, un candidat peut déjà demander sur quelle base il a été écarté, et l’article 4 impose déjà que la personne qui manie l’outil sache ce qu’il fait.

Ce que Claire décide

• Immédiatement : le score de relance devient un indicateur consultatif, jamais un motif de décision. Toute mise en demeure passe par un associé. La règle est écrite et signée par Sophie.
• Immédiatement : annonce systématique de la transcription en début de rendez-vous, coupure de l’enregistrement dès qu’un client aborde sa situation personnelle, relecture avant diffusion, et mention ajoutée dans l’information client du cabinet.
• Sous trente jours : pour le prochain recrutement, lecture de toutes les candidatures indépendamment du classement proposé, et demande écrite à la plateforme sur les critères du classement.
• Sous trente jours : comptes professionnels pour les deux collaborateurs, réglage de non-réutilisation activé, et interdiction écrite de saisir toute raison sociale ou tout montant identifiable.
• Sous quatre-vingt-dix jours : une demi-journée de formation pour les douze personnes, et une charte de deux pages.

La conclusion

Claire pensait avoir deux lignes, elle en a six, dont deux critiques qu’elle n’avait jamais identifiées comme de l’IA parce qu’elles n’y ressemblaient pas. La leçon du cas : dans les métiers du chiffre et du conseil, l’IA la plus risquée n’est jamais celle qui parle. C’est celle qui note, qui trie et qui classe, silencieusement, dans un logiciel que vous utilisez depuis dix ans.

🏋️ Exercices

Exercice 1 — Le test des trente secondes

Ouvrez votre messagerie professionnelle et un courriel de plus de vingt lignes. Cherchez un bouton proposant de résumer, de répondre ou de reformuler. Notez le nom exact affiché à l’écran. Si vous en trouvez un : vous avez votre première ligne d’inventaire. Si vous n’en trouvez pas : vérifiez la version de votre offre, elle vous le dira.

Exercice 2 — Les douze mois de relevés

Sortez douze mois de relevés du compte professionnel. Surlignez tout prélèvement récurrent inférieur à 40 euros que vous ne savez pas nommer immédiatement. Pour chaque ligne surlignée, trouvez à quoi elle correspond. Objectif : vingt minutes, et au moins deux surprises.

Exercice 3 — L’entretien blanc

Choisissez la personne de votre équipe avec qui vous êtes le plus à l’aise. Faites-lui passer les cinq questions de la section 7, chronomètre en main, sans dévier de la trame. Notez le temps réel et ce que la question 2 (« montrez-moi ») a révélé que la question 1 n’avait pas donné.

Exercice 4 — La colonne 5 sans complaisance

Prenez un usage que vous pratiquez vous-même. Ouvrez l’historique de l’outil et lisez vos trois dernières saisies mot à mot. Classez-les dans le tableau des catégories de données de la section 3. Écrivez le résultat même s’il vous déplaît — surtout s’il vous déplaît.

🧩 Adapter à votre activité

Si vous travaillez seul

Auto-entrepreneur, artisan seul, profession libérale : l’article 4 s’applique à vous comme aux autres, sans seuil. Votre inventaire ne prend pas deux heures mais quarante minutes, et il porte sur une seule personne — vous. Votre difficulté propre est l’absence de relecteur : tout usage C3 ou C4 monte automatiquement d’un cran, parce que personne ne rattrapera l’erreur. Compensez par une règle mécanique : tout chiffre, toute date, toute référence de norme produits par un outil sont vérifiés à la source avant envoi, sans exception.

Si vous manipulez des données de santé

Kinésithérapeutes, infirmiers, ostéopathes, mais aussi associations sportives qui collectent des certificats médicaux : les données de santé sont une catégorie particulière du RGPD, dont le traitement est interdit par principe sauf exceptions. Aucune donnée de santé identifiante ne doit être saisie dans un service grand public, quel que soit le réglage. Si vous utilisez un outil de transcription de séance, exigez un hébergement adapté aux données de santé et un contrat écrit avec l’éditeur.

Si vous recrutez, même une fois par an

Dès qu’un outil classe, note ou filtre des candidatures, vous êtes sur la catégorie la plus encadrée du règlement. Le report au 2 décembre 2027 vous donne du temps pour les obligations spécifiques, pas pour l’article 4 ni pour le RGPD. La mesure la plus efficace est aussi la plus simple : lisez toutes les candidatures, et servez-vous du classement comme d’un ordre de lecture, jamais comme d’un filtre.

Si vous êtes une association

Le statut associatif ne change rien : une association qui emploie des salariés ou des services civiques est déployeur. Les usages typiques — génération des communications aux adhérents, tri des inscriptions, analyse vidéo des entraînements — méritent une attention particulière quand ils concernent des mineurs, où le niveau d’exigence monte d’un cran sur tout ce qui touche à l’image et aux données personnelles.

🚀 Aller plus loin

• Les questions-réponses de la Commission européenne sur la maîtrise de l’IA — la source de référence pour comprendre le périmètre exact de l’article 4, le fait qu’aucun certificat n’est exigé, et l’approche fondée sur les risques.
• Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative — les recommandations concrètes sur les données à ne pas transmettre, le choix du compte, le paramétrage de non-réutilisation, la charte interne et la vérification des sorties.
• Les fiches pratiques IA de la CNIL — notamment celles portant sur l’information des personnes concernées et sur la sécurité, utiles au moment de rédiger votre charte.
• La leçon suivante de ce module — rédiger la charte d’usage à partir de votre grille.

🔑 L’essentiel à retenir

• L’inventaire précède la formation. Sans photographie des usages, « niveau suffisant » ne veut rien dire et vous achetez une formation au hasard.
• Une ligne par usage, pas par logiciel. Huit colonnes : outil, éditeur, qui, tâche, données, criticité, statut du compte, niveau de la personne.
• L’IA la plus répandue dans une TPE n’a jamais été achetée : elle est arrivée par mise à jour, activée par défaut, dans la messagerie, la visioconférence, le tableur et le logiciel métier.
• L’IA la plus risquée est celle qui ne parle pas : les modules qui notent, trient et classent — relance client, tri de candidatures, estimation automatique.
• Face à un compte personnel, la bonne réponse est presque toujours de régulariser, pas d’interdire. Interdire supprime la visibilité, pas l’usage.
• La criticité se mesure à une seule question : si l’outil se trompe et que personne ne s’en aperçoit, que se passe-t-il ?
• Article 4 applicable depuis le 2 février 2025 ; pouvoirs de contrôle et sanctions au 2 août 2026 ; report des obligations haut risque de l’annexe III au 2 décembre 2027 — un report qui ne vous exonère de rien de ce qui précède.

📖 Glossaire

• AI Act (règlement 2024/1689) — Le règlement européen sur l’intelligence artificielle, publié au Journal officiel de l’Union européenne le 12 juillet 2024, applicable par étapes.
• Article 4 — Maîtrise de l’IA — L’obligation, pour les fournisseurs et les déployeurs, de garantir un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes pour leur compte. Applicable depuis le 2 février 2025.
• Article 50 — Transparence — L’obligation d’informer une personne qu’elle interagit avec un système d’IA lorsque ce n’est pas évident, et de marquer les contenus générés ou manipulés artificiellement.
• Déployeur — Toute personne ou entreprise qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. Le rôle de l’immense majorité des TPE.
• Haut risque (annexe III) — Catégorie de systèmes soumise aux obligations les plus lourdes, incluant le recrutement, l’évaluation des salariés et la gestion de carrière. Obligations reportées au 2 décembre 2027 par l’omnibus numérique.
• IA clandestine — Terme d’usage, non juridique, désignant tout usage d’IA réel dans une entreprise mais inconnu de sa direction — qu’il vienne d’un compte personnel ou d’une fonction activée par un éditeur.
• Responsable de traitement — Au sens du RGPD, celui qui détermine les finalités et les moyens d’un traitement de données personnelles. Votre entreprise le reste même quand un salarié utilise un compte personnel.

❓ Questions fréquentes

Je suis seul dans mon entreprise. Suis-je vraiment concerné ?

Oui. Le règlement ne prévoit aucun seuil d’effectif ni de chiffre d’affaires pour l’article 4. Ce qui change avec la taille, c’est l’ampleur de l’effort attendu, pas l’existence de l’obligation. Votre inventaire tiendra en quarante minutes.

Faut-il un certificat ou une formation agréée ?

Non. Les questions-réponses de la Commission européenne sont explicites : il n’y a pas besoin de certificat. Ce qui compte est une démarche proportionnée, adaptée à votre contexte, dont vous gardez une trace interne.

Un salarié refuse de me dire ce qu’il utilise. Que faire ?

Ne forcez pas : vous obtiendriez un mensonge. Documentez la ligne comme « usage possible non documenté », traitez le sujet collectivement plutôt qu’individuellement, et remettez la question dans trois mois. Un refus signale presque toujours que le cadrage a été perçu comme un contrôle. Reprenez l’annonce en trois points de la section 7.

Le report du 2 août 2026 me laisse jusqu’en décembre 2027, non ?

Non. Le report concerne les obligations spécifiques des systèmes à haut risque de l’annexe III. L’article 4 s’applique depuis le 2 février 2025, les autorités nationales obtiennent leurs pouvoirs de contrôle et le régime de sanctions devient opérationnel le 2 août 2026, et les obligations de transparence de l’article 50 également.

Combien ça coûte, tout ça ?

L’inventaire lui-même ne coûte que du temps : deux heures. Les décisions qui en découlent coûtent généralement, pour une TPE, quelques dizaines d’euros par mois d’abonnements professionnels remplaçant des comptes personnels, plus une demi-journée de sensibilisation collective. C’est très inférieur à ce que la plupart des dirigeants anticipent avant de commencer.