Face à l’IA, beaucoup de dirigeants se retrouvent coincés entre deux réflexes. Fermer la porte pour protéger les données de l’entreprise, au risque de passer à côté des gains de productivité. Ou l’ouvrir en grand, au risque de perdre le contrôle sur ce qui sort de l’entreprise.
Pour Ère IA, notre podcast consacré au déploiement de l’IA en entreprise, nous avons interrogé dix scale-ups françaises qui dépassent 80 % d’adoption. Toutes se sont posé cette question. Dans cette Séquence, notre format court qui rassemble des extraits de plusieurs épisodes autour d’un même sujet, trois d’entre elles expliquent comment elles y ont répondu :
- Cyril Allard, responsable IA chez Pennylane, la plateforme de gestion financière pour experts-comptables et dirigeants (1 000 collaborateurs) ;
- Valentine Rondel, Strategic Project Manager en charge du déploiement de l’IA chez Alma, le spécialiste français du paiement fractionné (400 collaborateurs) ;
- Olivier Cauvin, VP Tech chez Skello, la solution SaaS de gestion des plannings et des ressources humaines (400 collaborateurs).
Dans cet article, nous reprenons leurs retours d’expérience, complétés par ce que nous observons chez les PME que nous accompagnons.
Interdire l’IA ne fonctionne pas
Avant même de parler d’outils, il faut regarder une réalité en face : vos collaborateurs utilisent probablement déjà l’IA. C’est le shadow IA : l’usage d’outils d’IA grand public (ChatGPT, Claude, Gemini…) avec des données de l’entreprise, sans validation ni cadre officiel.
Le phénomène est massif. En janvier 2026, 61 % des salariés français utilisaient l’IA générative chaque semaine via des comptes personnels, selon une étude Microsoft France / YouGov. Et selon le BCG, quand les collaborateurs n’ont pas accès aux outils dont ils ont besoin, plus de la moitié disent qu’ils trouveront une alternative de toute façon.
Interdire ne règle donc pas le problème, cela le rend invisible. Cyril Allard l’observe chez les clients de Pennylane, des experts-comptables pourtant très sensibilisés à la confidentialité : « Même quand on bride, les gens y vont quand même. Je vois très bien des gens qui font du ChatGPT perso et qui vont anonymiser un petit peu avant de parler à ChatGPT. »
Ces collaborateurs ne cherchent pas à mettre l’entreprise en danger. Ils veulent gagner du temps, avec les outils qu’ils ont sous la main. Nous faisons le même constat dans la plupart des entreprises que nous accompagnons : la question n’est plus de savoir s’il faut autoriser l’IA, mais comment l’encadrer.
Sécuriser la donnée en premier
Chez Alma, la sécurité des données a été le premier chantier, avant toute réflexion sur les usages. « Nous sommes une entreprise de paiement. La sécurité de nos données, de nos utilisateurs, de nos marchands et de nous-mêmes, c’est vraiment notre priorité », explique Valentine Rondel.
Sa démarche est partie d’une question simple : si je branche mes données dans cet outil, qu’est-ce qui se passe concrètement ? Pour y répondre, l’outil a été audité sur trois points :
- La rétention des données : les conversations des collaborateurs sont-elles conservées par le fournisseur ?
- L’entraînement des modèles : les données de l’entreprise servent-elles à entraîner les modèles ?
- L’hébergement : les données peuvent-elles être hébergées en Europe ?
La plupart des entreprises disposent déjà d’un questionnaire de sécurité pour leurs nouveaux prestataires logiciels. Nous recommandons d’y soumettre chaque outil IA, sans exception, avant de l’ouvrir aux équipes.
Reste à décider à quelles données l’IA pourra accéder. Alma a choisi de s’appuyer sur l’existant : les accès de l’outil IA reproduisent ceux des outils déjà en place. « On ne voulait pas non plus être plus royaliste que le roi. Le fichier business plan dans le Drive, qui y a accès normalement ? On essaie de répliquer ce jeu de permissions. » Un collaborateur ne peut donc pas obtenir via l’IA une information qu’il ne pourrait pas consulter directement.
Dans les environnements très réglementés, ce travail prend du temps, et c’est normal. Pennylane est certifiée ISO 27001 et manipule les données des experts-comptables. « Il y a plein de choses qui sont bridées. On a des standards de sécurité tellement exigeants que l’équipe IT sécurité fait son rôle et met plein de protections », reconnaît Cyril Allard. Connecter Salesforce à leur plateforme IA a été « un combat ». Dans une structure de 1 000 personnes qui travaille sur des données sensibles, il n’y a pas d’autre option.
Encadrer les usages avec une charte IA
Une fois l’outil sécurisé, une autre question arrive vite : à quoi sert une IA qui n’a accès à rien ? Valentine Rondel prend l’exemple de l’équipe revenue d’Alma : « Elle est très contente qu’il y ait Dust chez Alma, mais s’il n’y a pas Salesforce et Gong reliés à Dust, pour eux, ça n’a pas d’intérêt. » Alma a donc fait le tour des équipes pour savoir quels outils chacune utilisait et lesquels connecter.
Pour être utile, l’IA doit accéder aux outils métier. Mais pas n’importe comment. Dès que l’IA peut agir dans Gmail ou Salesforce, l’entreprise doit décider jusqu’où elle la laisse aller.
Alma a fait un choix clair : un humain valide toujours en bout de chaîne. L’agent prépare un brouillon de mail, mais c’est un collaborateur qui appuie sur « envoyer ». Il suggère une modification dans Salesforce, mais c’est un collaborateur qui enregistre. Pour un même outil, Alma a même configuré deux niveaux d’accès : un pour les utilisateurs aguerris, un autre pour l’ensemble des collaborateurs.
Cela pourrait passer pour une contrainte. Valentine Rondel y voit plutôt un confort : « Les gens sont aussi contents de savoir que même s’ils font une erreur, ça n’aura pas de répercussion dramatique. »
Qu’est-ce que l’entreprise autorise ? Avec quels outils, quelles données, quel niveau de contrôle ? Les réponses à ces questions forment le contenu d’une charte IA. La charte n’est que le résultat de cette réflexion : un document qui dit aux collaborateurs ce qui est autorisé, ce qui est interdit et ce qui doit être validé.
Elle remplit deux fonctions. Elle protège l’entreprise, en encadrant les outils, les données et les responsabilités. Elle accompagne aussi l’adoption : sans règles claires, beaucoup de collaborateurs préfèrent ne rien faire, par peur de mal faire. Chez Skello, Olivier Cauvin a par exemple posé quelques règles simples, qu’il détaille dans le guide Ère IA : seuls les comptes entreprise financés par Skello sont autorisés, et pour analyser un document, il faut partager ce document et pas tout le Drive. Le principe est de partager le minimum nécessaire.
Cette réflexion a aussi une dimension réglementaire. Depuis l’entrée en vigueur de l’AI Act en août 2024, toute entreprise qui utilise l’IA en Europe est « déployeur » au sens du règlement, quelle que soit sa taille, et porte une responsabilité propre sur ses usages. Mais au-delà de la conformité, la charte oblige l’entreprise à se poser une question qui lui appartient : qu’est-ce que nous sommes prêts à permettre à nos collaborateurs ?
Ce cadre doit rester évolutif. Cyril Allard met en garde contre une approche trop figée : « La structure que j’aurais mise en place il y a deux ans aurait empêché l’innovation aujourd’hui. Il faut de la structure, il faut un cadre, mais il faut quand même laisser pas mal de liberté. Si on cadre tout dès le début, on freine tout le monde. »
Faire vivre le cadre dans la durée
Rédiger une charte et la faire signer ne suffit pas. Olivier Cauvin le dit sans détour : « On a fait une charte que tous les collaborateurs doivent signer. Mais si tu fais que ça, en fait tu ne l’as pas fait, parce que tout le monde l’a signée sans même la lire. »
Chez Skello, le déploiement a été porté par le CODIR, avec des champions identifiés et formés dans chaque équipe. C’est au moment où tout le monde s’y met que le cadre devient indispensable, « parce que ça peut très vite partir ».
Pour que les règles soient connues et appliquées, Skello mise sur la répétition. À chaque réunion mensuelle, l’équipe rappelle les bonnes pratiques à suivre pour utiliser l’IA ou automatiser une tâche. L’entreprise recrute régulièrement, il y a donc chaque mois de nouveaux arrivants à embarquer. Les managers prennent le relais au quotidien pour veiller au respect des règles.
C’est aussi ce que nous recommandons à nos clients. Une charte IA se révise régulièrement, en particulier les premiers mois, à mesure que les usages et les outils évoluent. Et elle ne vit que si quelqu’un la porte : un référent IA, des champions, des managers qui la rappellent au bon moment.
En résumé : 6 bonnes pratiques pour sécuriser le déploiement de l’IA
- Encadrer plutôt qu’interdire. Vos collaborateurs utilisent déjà l’IA. Leur donner un outil validé est le seul moyen de reprendre la main sur le shadow IA.
- Auditer chaque outil avant de l’ouvrir. Rétention des conversations, entraînement des modèles, hébergement des données : soumettez chaque outil IA au même questionnaire de sécurité que vos autres prestataires.
- Reprendre les permissions existantes. Les accès de l’IA doivent refléter ceux de vos outils actuels, sans être plus restrictifs ni plus permissifs.
- Connecter les outils métier, et garder l’humain en bout de chaîne. Une IA sans accès aux outils des équipes ne sert à rien. Ouvrez ces accès progressivement, en laissant la validation finale des actions sensibles à un collaborateur.
- Formaliser vos choix dans une charte IA évolutive. Outils autorisés, données utilisables, usages interdits : la charte traduit ce que l’entreprise est prête à permettre, en conformité avec l’AI Act, et se révise à mesure que les usages évoluent.
- Faire vivre le cadre. Une charte signée ne suffit pas. Rappelez les règles régulièrement, embarquez chaque nouvel arrivant et appuyez-vous sur vos managers et vos champions.
Retrouvez les épisodes complets avec Pennylane, Alma et Skello sur la chaîne YouTube d’ERIA. Le guide ÈRE IA, synthèse des dix entretiens, détaille aussi les décisions à prendre pour passer du shadow IA à un usage sécurisé et structuré.
