Playbook 5 — Des rôles sans département
Qui fait cela dans une entreprise sans responsable IA, sans DPO ni comité d'éthique
Le problème avec la version des manuels
Un modèle complet de gouvernance de l’IA nomme huit rôles distincts : un responsable IA, l’IT, le métier, le juridique, un délégué à la protection des données, la cybersécurité, l’ESG, la conformité et les achats. À 30–150 personnes, ce n’est pas un département — c’est deux ou trois personnes qui portent plusieurs casquettes chacune. L’objectif ici n’est pas de recruter huit rôles ; c’est de s’assurer que les responsabilités derrière ces huit rôles sont réellement attribuées à quelqu’un, même si une seule personne en porte quatre.
Correspondance des rôles — du rôle théorique à la réalité PME
Les huit rôles théoriques, et qui les porte réellement à 30–150 salariés :
| Rôle théorique | Réalité en PME |
|---|---|
| Responsable IA | Fondateur ou COO |
| IT | Qui possède les systèmes de l’entreprise ou la relation avec le prestataire informatique |
| Métier | Le relecteur métier/opérations nommé ci-dessous |
| Juridique | Contact juridique externe, sollicité au cas par cas |
| Délégué à la protection des données | Le même contact juridique externe, ou qui possède aujourd’hui la conformité RGPD |
| Cybersécurité | IT/opérations, ou un contact sécurité externe pour tout ce qui est de niveau Élevé |
| ESG | Rarement une fonction distincte à cette taille — intégré à l’appréciation du responsable IA |
| Conformité | Contact juridique externe pour les cas d’usage réglementés ; le responsable IA sinon |
| Achats | Qui possède aujourd’hui les contrats fournisseurs — souvent le responsable IA ou les opérations |
Comité de gouvernance minimum viable
Trois personnes suffisent, et pour la plupart des entreprises de 30 à 150 salariés, deux est jouable.
- Le responsable IA (généralement le fondateur ou le COO) — décision finale sur le niveau de risque et le go/no-go.
- Un relecteur métier/opérations — quelqu’un qui n’était pas celui qui poussait pour l’outil, pour avoir un second avis.
- Un contact juridique externe, sollicité au cas par cas plutôt que siégeant dans un comité permanent — pour tout ce qui est de niveau Élevé (playbook 1) ou touche à des données personnelles.
Règle d’escalade
QUAND L’ÉQUIPE N’EST PAS D’ACCORD
La technique veut livrer. Le juridique signale un risque. Le métier n’est pas sûr que ça vaut le coup.
Règle par défaut : le responsable IA prend la décision finale, mais ne peut pas passer outre une objection juridique ou de conformité documentée sans en consigner la raison dans le journal des décisions (playbook 6).
Si la sécurité des personnes, une exposition juridique ou un cas d’usage de niveau Élevé est en jeu et qu’il y a un vrai désaccord — mettez en pause et obtenez un avis juridique externe avant de décider.
Cadence des réunions
- Trimestriel : revoir l’inventaire des systèmes d’IA — tout ce qui est nouveau, tout ce qui devrait être retiré.
- Ponctuel : dès qu’un nouveau cas d’usage de niveau Élevé ou fourni par un tiers apparaît (le triage du playbook 1 le déclenche automatiquement).
- Pas besoin de réunion hebdomadaire permanente à cette taille — la charge n’en vaut pas la peine tant que l’inventaire n’est pas nettement plus grand.
Étapes suivantes
Nommez les deux ou trois personnes ci-dessus par leur fonction, pas par un « on verra plus tard ». Mettez leurs noms dans l’inventaire des systèmes d’IA (playbook 6) comme champ propriétaire pour chaque système utilisé.