60 % des entreprises utilisent l'IA sans cadre : la charte d'usage que l'AI Act attend déjà de vous
Le fait nouveau
La troisième édition du Baromètre Data & IA de Coface, réalisée avec Les Echos Études auprès de 900 décideurs et relayée par ActuIA, dresse un constat net. 35 % des entreprises n'ont aucun dispositif d'encadrement de l'IA et n'en prévoient pas ; un quart y réfléchit sans règles formalisées. Au total, 60 % fonctionnent sans cadre. Seules 17 % ont défini, formalisé et communiqué une politique d'usage à leurs collaborateurs.
Les freins cités recoupent le sujet : sécurité des données et conformité réglementaire (41 %), manque de maturité interne (31 %), confiance dans les analyses produites par l'IA (30 %). Paradoxe relevé par l'étude : la confiance dans les données progresse de 18 points en un an, à 67 %, mais 58 % seulement des décideurs les jugent bien intégrées dans leurs outils métiers. Les données s'améliorent, la gouvernance ne suit pas.
Ce que l'AI Act exige réellement
Le règlement européen sur l'IA (règlement 2024/1689) est souvent résumé à ses obligations « haut risque ». Celles-ci ont été reportées au 2 décembre 2027 par le règlement omnibus 2026/1744, publié au Journal officiel de l'UE le 24 juillet 2026, comme le détaille le relevé d'ActuIA. Mais trois blocs s'appliquent déjà à toute entreprise qui fournit ou utilise un système d'IA :
- Les pratiques interdites (article 5), depuis le 2 février 2025. L'une d'elles concerne directement les employeurs : l'inférence des émotions des salariés sur le lieu de travail, par exemple dans un centre d'appels, hors raisons médicales ou de sécurité.
- La maîtrise de l'IA (article 4), depuis le 2 février 2025, supervisée par les autorités nationales de surveillance du marché depuis le 2 août 2026.
- La transparence (article 50), depuis le 2 août 2026 : information des personnes qui interagissent avec un chatbot, marquage des contenus générés.
L'omnibus a réécrit l'article 4 pour alléger la charge des petites entreprises. Les fournisseurs et déployeurs ne doivent plus « garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise, mais « prendre des mesures pour favoriser » son développement, sans obligation de garantir un niveau donné pour chaque individu. L'obligation demeure, et ses critères restent ceux du texte initial : connaissances techniques, expérience, formation des personnes, contexte d'utilisation.
La Commission européenne précise dans sa foire aux questions, mise à jour le 27 juillet 2026, qu'aucun certificat n'est exigé et qu'un registre interne des formations suffit. Aucune amende spécifique n'est attachée à l'article 4 ; le régime de sanctions relève des États membres, qui doivent tenir compte des intérêts des PME. En France, le projet de loi désignant les autorités compétentes était toujours en commission à l'Assemblée nationale au 6 octobre 2026.
Pourquoi une politique écrite est le bon point de départ
Une entreprise dont les salariés rédigent, traduisent ou résument des documents avec un assistant génératif est concernée par l'article 4 : ses équipes doivent connaître les risques propres à l'outil, à commencer par les erreurs factuelles. Sans document écrit ni registre, elle ne pourra pas montrer à une autorité de contrôle quelles mesures elle a prises. Le retard de gouvernance mesuré par Coface est donc aussi un retard documentaire.
Le baromètre France Num 2026 de la DGE confirme l'ampleur du sujet dans les petites structures : 40 % des TPE-PME utilisent l'IA, mais 19 % seulement paient une solution. Autrement dit, une large part des usages passe par des comptes gratuits, individuels, hors de tout contrôle de l'entreprise, avec les risques de fuite de données que cela implique.
La charte d'usage en cinq rubriques
Le règlement n'impose aucun modèle de politique ni de structure de gouvernance particulière. La trame ci-dessous reprend les étapes minimales listées par la Commission et répond aux freins cités par les décideurs.
- Périmètre : liste des outils autorisés, comptes professionnels à utiliser, usages admis par métier, usages interdits.
- Données interdites : données personnelles de clients ou de salariés, informations couvertes par le secret des affaires, documents confidentiels. C'est la réponse directe au premier frein cité (41 %).
- Validation humaine : relecture obligatoire de toute production d'IA avant envoi à un client, publication ou décision engageant l'entreprise.
- Traçabilité : registre des outils déployés et des formations suivies, qui sert de preuve des « mesures » prises au titre de l'article 4.
- Formation : contenus adaptés au rôle et au niveau de chacun, du dirigeant à l'opérateur, avec une mise à jour annuelle.
Deux compléments pour les entreprises concernées : l'information des représentants du personnel lorsque l'IA modifie les conditions de travail, et, pour celles qui exploitent un centre de contact ou un service client, la vérification qu'aucun outil n'analyse les émotions des conseillers.
Conséquences pour les décideurs
Réglementaires. L'obligation est déjà applicable ; ce qui manque en France, ce sont les autorités désignées et le barème des sanctions. Attendre leur désignation pour agir reviendrait à prendre le risque d'un contrôle sans aucune pièce à présenter.
Opérationnelles. Une charte sans formation reste lettre morte. L'enjeu n'est pas d'interdire mais de canaliser des usages qui existent déjà vers des outils maîtrisés par l'entreprise.
Humaines. Les salariés utilisent l'IA, souvent sans le dire. Un cadre clair protège l'entreprise et rassure les équipes, qui savent ce qu'elles peuvent faire et avec quels outils.
Points de vigilance et limites
Le baromètre Coface est déclaratif, publié par un assureur-crédit qui commercialise des services d'information, et sa page publique ne précise ni la période de terrain ni la répartition des répondants par taille. Les deux taux de 17 % cités par l'étude ne mesurent pas la même chose : l'un porte sur la gouvernance, l'autre sur la maturité des usages. Enfin, le calendrier de l'AI Act peut encore évoluer : la prochaine échéance, le 2 décembre 2026, concerne le marquage lisible par machine des contenus générés et deux nouvelles interdictions ; les obligations « haut risque » suivent un autre calendrier.
Conclusion
Formaliser une politique d'usage de l'IA n'est ni un projet juridique lourd ni un frein à l'adoption. C'est un document de quelques pages, un registre et un plan de formation, qui transforment des usages dispersés en pratique d'entreprise. Les 17 % qui l'ont fait disposent déjà de ce que l'AI Act attend ; les autres ont intérêt à s'y mettre avant que les autorités françaises soient désignées.
Et maintenant ?
FASEYA Academy conçoit des parcours de formation à l'IA adaptés à chaque métier, avec une validation des acquis qui alimente votre registre. FASEYA Consulting vous aide à rédiger votre charte, à cartographier vos usages et à définir votre gouvernance ; FASEYA BPO applique ces règles dans les équipes de support et de relation client qu'il opère pour vous. Pour faire le point en 30 minutes : demander un diagnostic ou écrire à contact@faseya.com.
Foire aux questions (FAQ)
L'article 4 de l'AI Act concerne-t-il une PME qui utilise seulement un assistant comme ChatGPT ?
Oui. Toute entreprise qui déploie un système d'IA dans un cadre professionnel doit prendre des mesures pour développer la maîtrise de l'IA de son personnel, quel que soit l'outil.
Faut-il une certification ou un organisme agréé ?
Non. La Commission européenne indique qu'aucun certificat n'est exigé. Un registre interne des formations et des outils suffit à documenter les mesures prises.
Quelle est la prochaine échéance de l'AI Act pour les entreprises ?
Le 2 décembre 2026, pour le marquage lisible par machine des contenus générés par les systèmes mis sur le marché avant le 2 août 2026 et pour deux nouvelles pratiques interdites. Les obligations « haut risque » de l'annexe III s'appliqueront le 2 décembre 2027.
Sources et références citées
À lire également
IA en entreprise : seuls 13 % des DSI constatent une valeur significative — la discipline d'investissement fait la différence
L'IA se déploie partout, mais ses bénéfices restent difficiles à prouver : selon une enquête Gartner publiée le 28 octobre, 13 % des DSI seulement estiment que leur organisation en a tiré une valeur significative. Les entreprises qui y parviennent ne sont pas celles qui lancent le plus de projets, mais celles qui savent lesquels arrêter.
Facturation électronique : 30 millions de factures, 3 % de rejets — ce que les PME doivent corriger avant septembre 2027
Un mois et demi après le 1er septembre, l'administration tire un premier bilan de la facturation électronique : 30 millions de factures échangées, mais encore 3 % de rejets entre plateformes agréées. Pour les PME, qui devront émettre à leur tour en septembre 2027, ces chiffres décrivent moins un succès qu'une liste de chantiers à ouvrir dès maintenant.
Vous souhaitez adresser ces enjeux dans votre entreprise ?
Nos directeurs de pôle sont à votre disposition pour un échange diagnostic de 30 minutes afin d'identifier vos priorités.
Vous préférez échanger de vive voix ?