Usage, données, fournisseur, rôles, contrôle et réversibilité : une grille en cinq portes et un pilote de trente jours pour décider.
Pour choisir un outil d’IA en PME, partez d’une tâche précise, réduisez les données au strict nécessaire, vérifiez l’offre et les engagements du fournisseur, définissez un contrôle humain concret puis testez l’usage sur un périmètre limité. La décision doit porter sur un usage et une offre déterminés, avec des conditions et une date de revue.
Commencer par le besoin, pas par la démonstration
Une démonstration optimise presque toujours l’outil sur un exemple favorable. La PME doit faire le chemin inverse : choisir une tâche réelle, décrire les données disponibles, fixer ce qu’est un résultat acceptable et identifier les erreurs qui seraient coûteuses. Ce cadrage permet d’écarter rapidement les fonctions séduisantes mais inutiles.
« L’équipe achats veut comparer des notices publiques pour préparer une synthèse. Le responsable achats vérifie chaque information déterminante dans les documents sources. Aucune donnée fournisseur confidentielle n’est utilisée pendant le pilote. »
Ne mélangez pas trois décisions : choisir un produit, choisir une offre commerciale et autoriser un usage. Une version gratuite, un compte professionnel, une API ou une installation dédiée peuvent présenter des réglages, des responsabilités et des conditions différents. Une autorisation accordée à une offre ne s’étend donc pas automatiquement aux autres.
1. Quel est l’usage précis ?
« Utiliser de l’IA » est trop vague. Décrivez une tâche observable : reformuler un email générique, résumer une notice publique, extraire des champs d’une facture, préparer une réponse client, générer une image ou assister une décision. Indiquez aussi ce que l’outil ne doit pas faire.
| Élément | Question | Exemple PME |
|---|---|---|
| Équipe | Qui utilisera l’outil ? | Deux personnes du service achats |
| Tâche | Quelle action précise sera assistée ? | Extraire les délais annoncés dans des notices |
| Entrée | Quelles données sont nécessaires ? | Notices publiques au format PDF |
| Sortie | Quel résultat sera produit et pour qui ? | Tableau préparatoire interne |
| Limite | Que ne fera pas l’outil ? | Aucune commande ni sélection automatique |
| Validation | Qui vérifie et sur quelle source ? | Responsable achats, notice originale à l’appui |
Si l’équipe, la tâche, les données, le destinataire et le validateur ne peuvent pas être nommés, la décision d’achat arrive trop tôt. Le même produit pourra être examiné plus tard sur une autre ligne du registre pour une autre finalité.
2. Quelles données sont réellement nécessaires ?
Listez les catégories d’informations que l’outil recevra, pourra consulter ou produira, puis cherchez à les réduire. Un cas fictif, une donnée synthétique ou un extrait expurgé permet souvent de tester l’utilité sans transmettre un dossier réel.
| Question | Preuve ou décision attendue |
|---|---|
| Les données sont-elles publiques, internes, confidentielles ou liées à une personne ? | Une classification compréhensible et deux exemples métier. |
| Chaque donnée est-elle indispensable à la tâche ? | Un extrait minimal ou une justification de la nécessité. |
| Peut-on utiliser un jeu fictif ou synthétique ? | Un jeu d’essai sans données réelles pour le pilote. |
| Le résultat peut-il révéler l’entrée ou une information sensible ? | Un test de sortie et une règle de diffusion. |
| Qui peut accéder aux fichiers, historiques et résultats ? | Des comptes nominatifs, rôles et droits d’accès définis. |
| Que se passe-t-il après suppression ou fin de contrat ? | Une réponse documentée sur l’effacement, la restitution et les sauvegardes. |
Pour préparer cette étape avec les équipes, utilisez les douze gestes anti-fuite avant une saisie dans une IA. Une règle de saisie doit couvrir les fichiers joints, les connecteurs et les fonctions intégrées, pas seulement le texte copié dans une fenêtre de conversation.
3. Que vérifier chez le fournisseur et dans l’offre ?
Une page marketing ou la mention d’une certification de sécurité ne suffit pas. Consultez les documents actuels correspondant à l’offre envisagée et demandez une réponse écrite lorsque le fonctionnement n’est pas clair. L’objectif n’est pas d’accumuler des PDF : chaque document doit répondre à une question liée à l’usage.
- Conditions et périmètre. L’usage professionnel prévu, les utilisateurs, les volumes et les intégrations sont-ils compatibles avec l’offre ?
- Réutilisation des données. Les requêtes, fichiers, réponses, retours ou métadonnées servent-ils à améliorer le service ou les modèles ? Quels réglages et engagements existent ?
- Conservation et suppression. Quelles durées sont annoncées pour les entrées, sorties, historiques, journaux et sauvegardes ?
- Localisation et chaîne de prestataires. Quels lieux de traitement et sous-traitants sont documentés pour cette offre ? Comment un changement est-il annoncé ?
- Comptes et accès. L’entreprise peut-elle imposer l’authentification renforcée, gérer les rôles, retirer un salarié et suivre les accès utiles ?
- Sécurité et incidents. Quelles mesures sont décrites, quel canal d’alerte existe et dans quels délais l’entreprise est-elle informée ?
- Qualité et limites. Les performances annoncées correspondent-elles à la langue, aux documents et aux erreurs importantes pour la PME ?
- Évolution du service. Comment les changements de modèle, de fonction, de prix, de conditions ou de sous-traitants sont-ils notifiés ?
- Réversibilité. Peut-on exporter les données utiles, supprimer les comptes et continuer l’activité si le service change ou s’arrête ?
- Assistance. Qui répond à une question de sécurité, de données ou d’incident, avec quel niveau de service ?
Archivez la date, le lien et la version des documents examinés : conditions, notice de confidentialité, annexe sur le traitement des données, liste des sous-traitants, politique de sécurité et engagement de service. Cette trace ne remplace pas l’examen du contrat, mais elle évite de fonder une décision sur une page ou un souvenir qui a changé.
Quels rôles jouent la PME et le fournisseur ?
Les mots « client » et « fournisseur » ne suffisent pas à déterminer les rôles. Au sens de l’AI Act, une PME qui utilise un système sous son autorité est généralement déployeur ; une entreprise qui développe un système ou le met sur le marché sous son nom peut devenir fournisseur. Au regard du RGPD, la qualification de responsable du traitement, sous-traitant ou responsable conjoint dépend des décisions réellement prises sur les finalités et les moyens.
| Situation à examiner | Question à poser | Conséquence documentaire |
|---|---|---|
| Service SaaS utilisé tel quel | La PME choisit-elle la finalité et les données, tandis que l’éditeur fournit le service ? | Décrire le rôle de chacun pour l’usage et vérifier les clauses applicables. |
| Réutilisation par l’éditeur | Le fournisseur utilise-t-il certaines données pour ses propres finalités ? | Identifier cette finalité distincte, les informations fournies et les options disponibles. |
| Intégration ou personnalisation | La PME modifie-t-elle la destination, le comportement ou la marque du système ? | Demander une analyse plus poussée des rôles avant diffusion. |
| Chaîne de sous-traitance | Quels autres prestataires interviennent et sur quelles données ? | Conserver la liste pertinente et le mécanisme d’information en cas de changement. |
Cette analyse est menée au cas par cas. Une clause qui affirme un rôle ne suffit pas si le fonctionnement réel montre autre chose. Pour un usage sensible ou une intégration complexe, associez les personnes compétentes avant le lancement.
4. Comment organiser un contrôle humain réel ?
Un contrôle humain existe seulement si une personne identifiée dispose du temps, des sources, des compétences et de l’autorité nécessaires pour corriger ou refuser le résultat. « Le salarié relit » est trop vague, surtout si la production est volumineuse ou si l’outil paraît fiable.
| Résultat produit | Contrôle concret | Critère d’arrêt |
|---|---|---|
| Texte commercial | Vérifier faits, promesses, droits, ton et adéquation avec l’offre. | Source absente ou affirmation non vérifiable. |
| Synthèse documentaire | Comparer les points déterminants avec le document original. | Omission d’une condition ou contradiction entre sources. |
| Calcul ou extraction | Reproduire un échantillon et confronter le résultat aux données de référence. | Taux d’erreur supérieur au seuil fixé pour le pilote. |
| Recommandation concernant une personne | Escalade et analyse approfondie ; aucune décision finale déléguée à l’outil. | Critère inexplicable, biais observé ou recours impossible. |
| Contenu destiné au public | Validation éditoriale et métier avant diffusion ; transparence lorsque le contexte l’exige. | Contenu trompeur, non sourcé ou impossible à corriger à temps. |
5. Quand revoir la décision ou préparer la sortie ?
Les modèles, réglages, intégrations, conditions et prix évoluent. Fixez une date de revue et des événements qui imposent une vérification anticipée : nouvelle finalité, nouvelle catégorie de données, connexion à une messagerie ou une base documentaire, changement de sous-traitant, incident, hausse du volume ou automatisation supplémentaire.
Préparez aussi la réversibilité dès le départ : données à exporter, formats disponibles, comptes à fermer, connecteurs à désactiver, délai de suppression et solution de continuité. Un outil peut rester techniquement performant tout en devenant inadapté à cause de son prix, de ses conditions ou de sa dépendance au processus métier.
Comment comparer trois offres sans score trompeur ?
Un total sur 100 masque parfois un point bloquant. Utilisez plutôt des portes de décision : une offre ne passe à l’étape suivante que si les questions essentielles reçoivent une réponse acceptable pour l’usage.
| Porte | Condition minimale | Si la réponse manque |
|---|---|---|
| Utilité | Le cas d’usage et les critères de succès sont définis. | Reformuler le besoin avant de comparer. |
| Données | Les catégories nécessaires, accès et règles de réutilisation sont compris. | Limiter aux données fictives ou arrêter l’examen. |
| Fournisseur | Les documents de l’offre, la chaîne de prestataires et le canal d’incident sont identifiés. | Demander des éléments écrits avant le pilote réel. |
| Contrôle | Un validateur, des sources et des critères d’arrêt existent. | Réduire l’automatisation ou renoncer à l’usage. |
| Sortie | La PME peut exporter, fermer et remplacer le service sans bloquer une activité critique. | Préparer une solution de continuité ou négocier le contrat. |
Une fois ces portes franchies, comparez le coût total : licences, intégration, sécurisation, formation, contrôle humain, corrections, support et sortie. Le produit le moins cher par utilisateur peut devenir le plus coûteux si les erreurs ou les tâches de vérification sont nombreuses.
Décider et documenter les conditions
Évitez l’alternative entre tout autoriser et tout interdire. La décision porte sur un usage délimité, avec un compte, des données, une équipe, un validateur et une date.
| Orientation | Quand l’utiliser | Exemple de formulation |
|---|---|---|
| Autoriser | Usage défini, données maîtrisées, fournisseur examiné et contrôle concret. | « Autorisé pour préparer des plans à partir de sources publiques sur le compte professionnel approuvé. » |
| Autoriser sous conditions | Usage utile mais nécessitant une limitation, un pilote, un réglage ou une validation spécifique. | « Autorisé sur des extraits expurgés, après validation et sans diffusion automatique. » |
| Approfondir | Données, personnes, contrat, sécurité ou rôle de l’outil insuffisamment compris. | « Suspendu jusqu’à l’examen du fournisseur et du processus de décision. » |
Inscrivez l’usage et la décision dans le registre des usages IA. Pour une finalité susceptible d’influencer une décision importante concernant une personne, utilisez ensuite l’arbre de tri des usages potentiellement à haut risque et mobilisez l’expertise adaptée.
Tester l’outil pendant trente jours
| Période | Action | Trace attendue |
|---|---|---|
| Semaine 1 | Configurer les comptes, les accès et le jeu d’essai fictif ; former les testeurs aux limites. | Périmètre, règles de données et critères de succès. |
| Semaine 2 | Tester vingt à trente cas représentatifs et conserver les erreurs, corrections et temps passé. | Journal d’essai sans données sensibles inutiles. |
| Semaine 3 | Tester les cas difficiles, les refus, la suppression, les exports et le fonctionnement dégradé. | Écarts et conditions nécessaires avant extension. |
| Semaine 4 | Comparer le bénéfice au coût complet puis décider à date fixe. | Autorisation, prolongation limitée, approfondissement ou arrêt. |
Le pilote évalue un usage dans un contexte donné. Il ne démontre pas la sécurité générale du produit ni son adéquation à toutes les équipes et données de l’entreprise.
Préparer une première décision documentée
Le diagnostic gratuit Cap IA Responsable aide à repérer les usages, les données et les contrôles à examiner avant d’autoriser un outil. Vous obtenez une première lecture indicative et jusqu’à trois priorités concrètes.
Questions fréquentes avant de choisir un outil IA
Un outil payant protège-t-il automatiquement les données ?
Non. Le prix ne remplace pas l’examen de l’offre, des conditions, des réglages, de la conservation, des accès, de la chaîne de prestataires et des mesures de sécurité annoncées.
Peut-on se fier à la mention « données non utilisées pour l’entraînement » ?
Cette indication est utile mais insuffisante seule. Vérifiez l’offre concernée, les données visées, les autres finalités, la conservation, les journaux, les réglages et les engagements contractuels actuels.
Une certification de sécurité suffit-elle pour choisir le fournisseur ?
Non. Elle peut constituer un élément utile, mais son périmètre, sa date et les services couverts doivent être compris. Elle ne répond pas à la place du fournisseur sur la finalité, les données, les sous-traitants, les incidents et la réversibilité.
Qui doit participer à la décision ?
Associez le métier utilisateur et, selon le contexte, les personnes responsables de l’informatique, de la sécurité, des données, des contrats ou des ressources humaines. La composition doit suivre l’usage, pas un comité standard.
Quand faut-il refuser ou suspendre un outil ?
Lorsque la finalité reste floue, que des informations sensibles seraient nécessaires sans environnement validé, que le fournisseur ne répond pas aux questions déterminantes ou qu’aucun contrôle humain crédible n’est possible, l’usage doit être approfondi avant autorisation.
Une décision d’autorisation est-elle définitive ?
Non. Fixez une date et des déclencheurs de revue. Un changement de finalité, de données, d’intégration, de modèle, de fournisseur ou de conditions peut conduire à modifier, limiter ou arrêter l’usage.
Sources officielles consultées
- CNIL, France Num et CPME — utiliser l’IA générative dans les TPE et PME.
- CNIL — sécurité : gérer la sous-traitance.
- CNIL — qualifications des acteurs de l’informatique en nuage, 28 mai 2026.
- CNIL — déterminer la qualification des fournisseurs de systèmes d’IA.
- ANSSI — recommandations de sécurité pour un système d’IA générative.
- Commission européenne — Navigating the AI Act.
Sources relues le 27 août 2026. Les offres, fonctionnalités et conditions des fournisseurs évoluent : contrôlez les documents correspondant à l’offre réellement envisagée.
Ce document constitue une aide documentaire et pédagogique. Il ne remplace pas un conseil juridique personnalisé.