Le comité IA est l'instance centrale de pilotage. Sa composition typique pour une entreprise de taille moyenne :

• Présidence : un membre de la direction (DG, DAF, DRH, DSI selon les organisations)
• DSI / CTO : aspects techniques, outils, intégration
• DPO : conformité RGPD, AIPD, registre
• RSSI : sécurité, DLP, monitoring
• Direction juridique : AI Act, contrats, contentieux
• DRH : impact sur l'emploi, formation, dialogue social
• Représentants métiers : marketing, commercial, opérations, etc. (rotation possible)
• Communication interne : portage, change management

Pour les grandes entreprises, le comité peut inclure un Chief AI Officer dédié — fonction émergente depuis 2024, en charge de la stratégie IA d'ensemble.

Pour les PME, version allégée : 3-5 personnes (DG + DSI/DPO + responsable métier). Réunions plus rapides.

Rôles du comité :

Stratégie. Définir la vision IA de l'entreprise, les priorités, les budgets globaux. Aligner avec la stratégie business.

Politiques. Approuver la charte IA, les listes blanches d'outils, les politiques de validation. Mettre à jour selon évolutions.

Arbitrage projets. Décider des déploiements significatifs (outils, cas d'usage haut risque). Trancher les conflits entre départements.

Suivi. Examiner les indicateurs (adoption, incidents, coûts, conformité), traiter les retours, ajuster la trajectoire.

Incidents et crises. Coordonner la réponse en cas d'incident IA (fuite, hallucination publique, deepfake dirigé, manquement réglementaire).

Cadence recommandée : trimestrielle en routine, ad-hoc en cas de besoin. Comptes-rendus formalisés, décisions tracées.

Le comité évite l'écueil de la gouvernance IA dispersée entre IT, RH, juridique, métiers sans coordination. Sans comité, les décisions sont prises silos par silos, les outils prolifèrent, les risques s'accumulent.

Le Délégué à la Protection des Données (DPO) joue un rôle central dans la gouvernance IA. Ses missions historiques RGPD (article 39) s'élargissent avec l'AI Act.

Missions classiques RGPD :

• Informer et conseiller le responsable de traitement
• Contrôler le respect du RGPD
• Conseiller sur les AIPD
• Coopérer avec la CNIL
• Être le point de contact pour les personnes concernées

Extensions en environnement IA :

• Tenue du registre des usages IA (complément du registre RGPD)
• Classification AI Act des systèmes (interdit, haut risque, limité, minimal)
• FRIA (analyses d'impact sur les droits fondamentaux) pour les systèmes haut risque, en plus des AIPD RGPD
• Conseil sur les contrats fournisseurs IA (DPA, indemnisation, transferts)
• Coordination avec les futures autorités IA nationales
• Veille : évolutions AI Act, jurisprudence, lignes directrices CNIL et EDPB
• Formation des équipes (contribution au programme IA literacy)

Pour les grandes entreprises, ces missions élargies peuvent justifier un renforcement de l'équipe DPO : juriste spécialisé IA, ou Chief AI Officer assistant le DPO.

Pour les PME sans DPO interne, ces missions sont souvent assurées par :

• Un DPO externalisé (cabinet spécialisé, formules annuelles)
• Un référent IA interne (souvent DSI ou DG) qui s'appuie sur du conseil externe ponctuel
• Une mutualisation au sein d'un groupe ou d'une fédération professionnelle

La fonction DPO/référent IA est de plus en plus stratégique. Les profils combinant droit, technique IA, gestion de projet sont recherchés et fortement rémunérés en 2025-2026. Pour les juristes, c'est une opportunité de spécialisation prometteuse.

Important : le DPO conserve son indépendance (article 38 RGPD) — il ne peut être sanctionné pour l'exercice de ses missions. Cette indépendance est cruciale en environnement IA où il devra parfois s'opposer à des projets que la direction souhaite déployer malgré les risques.

Deux analyses d'impact distinctes mais complémentaires :

AIPD (Analyse d'Impact sur la Protection des Données — RGPD article 35). Obligatoire pour les traitements présentant un risque élevé pour les droits et libertés des personnes. Couvre la protection des données personnelles. Pour la plupart des usages IA en entreprise, requise par défaut.

Contenu AIPD :

• Description systématique du traitement et finalités
• Évaluation de la nécessité et proportionnalité
• Évaluation des risques pour les droits et libertés
• Mesures envisagées pour atténuer les risques (techniques, organisationnelles, juridiques)

FRIA (Fundamental Rights Impact Assessment — AI Act article 27). Obligatoire pour les déployeurs publics ET certains déployeurs privés de systèmes IA haut risque (annexe III). Couvre les droits fondamentaux au sens large, pas seulement la protection des données.

Contenu FRIA :

• Description des processus dans lesquels le système est utilisé
• Période et fréquence d'utilisation
• Catégories de personnes physiques susceptibles d'être affectées
• Risques spécifiques d'atteinte aux droits fondamentaux
• Mesures de supervision humaine
• Mesures à prendre en cas de matérialisation des risques (mécanisme de plainte, recours interne)

Articulation pratique. Pour un système RH (haut risque + traitement de données personnelles), AIPD et FRIA sont toutes deux requises. Elles peuvent être combinées dans un document unique d'analyse d'impact, sous condition de couvrir tous les éléments des deux référentiels.

Méthode CNIL. La CNIL propose un outil gratuit en ligne (PIA software) qui aide à structurer l'AIPD. Plusieurs cabinets et éditeurs proposent des solutions complètes intégrant AIPD + FRIA (OneTrust, TrustArc, Privacy Tools, etc.).

Une AIPD/FRIA typique demande 2-5 jours de travail coordonné DPO + métier + IT, plus les itérations. Coût conseil externe : 5 000-25 000 € selon complexité.

L'AIPD/FRIA doit être réalisée AVANT le déploiement. Une AIPD a posteriori est juridiquement de moindre valeur. Conservation : pendant toute la durée du traitement + 5 ans en archive.

L'article 14 de l'AI Act impose la supervision humaine effective des systèmes haut risque. L'article 22 RGPD impose une intervention humaine effective dans les décisions affectant les personnes. Concrètement, comment matérialiser ?

Cinq dimensions à concevoir :

1. Qui supervise ? Désigner nommément les superviseurs. Profils qualifiés, formés au système, ayant l'autorité pour décider. Pas de stagiaire ou d'opérateur en surcharge.

2. Quoi superviser ? Définir les sorties IA qui doivent passer par validation humaine, par type d'usage. Pour les usages très volumiques (filtrage spam, suggestions auto-complétion), supervision par échantillonnage. Pour les décisions individuelles affectant les personnes, supervision systématique.

3. Comment superviser ? Outillage : interfaces de revue des décisions IA, accès aux données sources, indicateurs (score, confidence), traçabilité des modifications humaines. Workflow informatique structuré.

4. Avec quels moyens ? Temps alloué, formation, support métier. Si le superviseur a 2 minutes par dossier IA, ce n'est pas effectif. Calibrer les volumes et les ressources.

5. Avec quelle redevabilité ? Reporting régulier des décisions humaines : combien d'acceptations, de modifications, de rejets ? Analyse des écarts. Formation continue.

Trois modèles de supervision selon le contexte :

Modèle « Human in the loop ». L'humain est dans la boucle décisionnelle : chaque sortie IA passe par lui avant action. Adapté aux décisions individuelles à fort enjeu (recrutement, scoring crédit, décision médicale).

Modèle « Human on the loop ». L'IA agit en autonomie sur le volume, l'humain supervise par échantillonnage et alertes. Adapté aux usages volumiques où l'attente humaine bloque (modération de contenu, détection de fraude).

Modèle « Human in command ». L'humain ne supervise pas chaque décision mais peut à tout moment reprendre la main, arrêter le système, ajuster les paramètres. Adapté aux systèmes globaux (recommandeurs, marketing automatisé).

Le choix du modèle dépend de l'enjeu individuel : plus l'impact sur la personne est fort, plus la supervision doit être en boucle (modèle 1). Pour les usages haut risque AI Act, le modèle 1 est généralement obligatoire.

Conserver la traçabilité de la supervision : qui, quand, sur quelle décision IA, avec quelle issue (acceptée, modifiée, rejetée). Cette trace est opposable en cas d'audit ou de contentieux.

Comme tout système informatique, l'IA générera des incidents. Une gouvernance qui ne prévoit pas leur gestion est incomplète.

Types d'incidents IA :

• Fuite de données via prompt non maîtrisé
• Hallucination publique (chatbot client, livrable transmis) avec conséquences
• Biais discriminant détecté dans les sorties
• Décision individuelle contestée par une personne affectée
• Deepfake dirigé contre l'entreprise
• Fraude ou tentative de fraude via IA
• Manquement réglementaire détecté (audit interne, contrôle externe)
• Disfonctionnement technique du modèle

Procédure de gestion d'incident type :

1. Signalement via canaux dédiés (mail, ticket, hotline)
2. Qualification : nature, gravité, urgence, parties concernées
3. Mobilisation : cellule de crise IA selon gravité (DPO + DSI + juridique + comm + métier concerné)
4. Mesures conservatoires : suspension du système, retrait du contenu, communication d'urgence
5. Investigation : reconstitution des faits, causes, impacts
6. Notifications obligatoires : CNIL (article 33 RGPD, 72h), personnes concernées (article 34 si risque élevé), futures autorités IA
7. Plan de remédiation : actions correctives, déploiement
8. Retour d'expérience : leçons tirées, mise à jour des procédures et de la charte

L'AI Act (article 73) impose aux fournisseurs de systèmes haut risque le signalement des incidents graves à l'EU AI Office et aux autorités nationales. Pour les déployeurs, le signalement est encadré par les obligations RGPD existantes et par l'article 79 (notification de plaintes).

Bonne pratique : simulation d'incident annuelle. Exercice de crise : « notre chatbot a halluciné publiquement et engage la responsabilité de l'entreprise — que faisons-nous ? ». Permet de tester la procédure et identifier les failles avant le vrai incident.

Documentation : journal des incidents tenu par le DPO, archivé. Sert au reporting interne, à l'audit, et à la jurisprudence interne de l'entreprise.

L'introduction de l'IA générative en entreprise est un sujet structurant de dialogue social. Le CSE doit être :

• Informé en amont de tout déploiement significatif (article L2312-8 CT)
• Consulté sur l'introduction de nouvelles technologies ayant des conséquences sur les conditions de travail (L2312-37) et sur l'emploi (L2312-38)
• Destinataire des AIPD/FRIA concernant le traitement de données salariés (article 35 RGPD)
• Consulté sur la charte IA qui s'impose aux salariés
• Associé à la politique de formation IA literacy (article L2312-13 CT)

Processus type d'information-consultation :

1. Communication au CSE de l'intention de déployer (avec dossier projet : outils, finalités, données traitées, mesures de protection)
2. Délai de consultation : minimum 1 mois (L2312-15), parfois 2-3 mois pour les projets complexes
3. Séance(s) de questions/réponses : expertise technique apportée par l'employeur, réponses aux préoccupations des élus
4. Possibilité de mandater un expert par le CSE (L2315-94 — expert agréé)
5. Avis du CSE consigné au PV
6. Déploiement après recueil de l'avis

L'avis du CSE n'est pas contraignant — l'employeur peut déployer même en cas d'avis défavorable. Mais ignorer la consultation est juridiquement sanctionnable (délit d'entrave) et politiquement risqué.

Bonnes pratiques en dialogue social :

• Anticiper : associer le CSE en amont, dès la réflexion, plutôt que présenter un projet ficelé
• Transparence : partager les analyses (AIPD, FRIA), les contrats fournisseurs (partie pertinente), les pilotes
• Formation des élus : proposer aux représentants du personnel une formation IA pour qu'ils puissent exercer leur rôle
• Engagements : prendre des engagements écrits sur les usages (non-surveillance, supervision humaine, recours, formation)
• Suivi : présenter régulièrement (annuellement) un bilan IA au CSE

Le dialogue social IA est l'un des sujets chauds de 2025-2026 en France. Plusieurs accords d'entreprise ou de branche ont commencé à être signés autour de l'usage de l'IA — annonciateurs d'une nouvelle génération de négociation collective.

Pour les organisations qui investissent dans un dialogue social IA constructif, le bénéfice est double : conformité juridique (consultation effective) et adoption facilitée (collaborateurs associés deviennent ambassadeurs au lieu de résistants).