Reprendre le contrôle, sans casser ce qui marche

L'erreur classique est de commencer par la règle. La règle arrive en troisième position.

1. Cartographier avant de décider

Un questionnaire anonyme, dix questions, deux semaines. Qui utilise quoi, pour quelle tâche, avec quelles données. Ne cherchez pas à identifier les personnes : vous obtiendrez des réponses fausses et vous perdrez la confiance dont vous aurez besoin à l'étape 4.

Cet audit révèle presque toujours deux choses inattendues : des usages que personne n'imaginait, et des compétences réelles déjà présentes dans les équipes. Les deux sont exploitables.

2. Fournir une alternative officielle

Avant d'interdire quoi que ce soit. Une règle sans outil de remplacement ne produit pas de la conformité, elle produit du contournement — et le contournement se déplace vers le téléphone personnel, où vous ne voyez plus rien.

Cette étape suppose un arbitrage d'outil. Le comparatif est sur claude-ou-chatgpt.fr.

3. Écrire une charte opposable

Outils nommés, catégories de données interdites en saisie, obligation de vérification humaine. Et surtout : consultation du CSE. Une charte qui crée des règles susceptibles de fonder une sanction relève du règlement intérieur. Sans consultation, elle est inopposable et aucune sanction ne peut s'y appuyer.

4. Former, et tracer

C'est ce que l'article 4 de l'AI Act exige, et c'est aussi le levier d'adoption le plus rentable : sans formation structurée, l'usage réel plafonne à 15-20 % ; avec, il dépasse 70 %.

Séparez la direction informatique des équipes métier. Les cas d'usage ne sont pas les mêmes et mélanger les deux publics fait perdre les deux. Des sessions de six à dix personnes par département fonctionnent mieux qu'une plénière.

5. Piloter dans la durée

Attribution des licences conditionnée à la formation. Revue à un, trois et six mois : usage réel, incidents remontés, licences dormantes. Une licence inutilisée à trois mois se réattribue.