Mise en conformité AI Act article 4 et politique d'usage IA

Assureur vie, 450 collaborateurs répartis sur 3 sites. Utilisation spontanée et croissante de Claude, ChatGPT et Gemini dans les équipes — principalement les acteurs commerciaux, les actuaires et le service client. Le DPO avait reçu plusieurs remontées terrain concernant le partage de documents clients dans des interfaces IA en ligne non auditées. La direction souhaitait cadrer sans interdire, en s'appuyant sur l'obligation réglementaire AI Act article 4 comme levier de structuration.

Le shadow AI était omniprésent : un questionnaire anonyme révélait que 60 % des collaborateurs utilisaient des IA génératives au moins hebdomadairement, dont 35 % avec des données potentiellement sensibles (contrats, données médicales pseudonymisées, données financières clients). L'obligation AI Act article 4 — formation IA obligatoire pour le personnel utilisant des systèmes IA dans l'exercice de leur fonction — entrait en application, avec un risque d'amende en cas de non-conformité. Il fallait agir vite et créer une culture IA responsable, pas une liste de règles incomprises.

1. 01.Audit de l'usage IA existant (3 semaines) : 20 entretiens individuels représentatifs + questionnaire anonyme à l'ensemble des collaborateurs. Cartographie des usages réels, des données manipulées, des outils utilisés.
2. 02.Co-rédaction de la politique d'usage IA (2 semaines) : ateliers de travail avec DPO, RSSI et représentants des métiers. La politique distingue 3 niveaux d'usage (libre, encadré, interdit) selon la sensibilité des données et le type de système.
3. 03.Inventaire et classification AI Act : identification de 23 systèmes IA utilisés dans l'organisation, classification selon les catégories de risque AI Act, documentation pour les 6 systèmes classifiés à risque limité ou élevé.
4. 04.Formation AI Act article 4 (3 cohortes) : ½ journée pour les 18 dirigeants (enjeux stratégiques, responsabilité), 1 journée pour 42 collaborateurs métiers (usages pratiques, règles, bonnes pratiques), 1 journée pour 27 collaborateurs IT (conformité technique, gouvernance des systèmes).
5. 05.Documentation et suivi : production des attestations de formation conformes AI Act, plan de mise à jour annuelle, tableau de bord de suivi des usages.

• Le shadow AI est toujours plus répandu qu'on ne le croit initialement — les entretiens qualitatifs révèlent des usages que le questionnaire anonyme ne capte pas.
• La politique d'usage doit être co-construite avec les métiers — pas imposée par la DRH ou le DPO. L'appropriation est la condition de l'efficacité.
• La formation change radicalement la perception de l'IA par les équipes — les collaborateurs formés deviennent des ambassadeurs de l'usage responsable, pas des opposants.