Kit pratique : cadrer l’utilisation de l’IA générative dans une TPE-PME
Une charte d’utilisation en une page, une matrice de classification des données, une grille pour choisir un premier cas d’usage, un plan d’expérimentation sur 30 jours, des fiches de validation et d’incident, et dix prompts à adapter.
Avant de commencer
L’IA générative ne commence pas par un abonnement
Dans une petite ou moyenne entreprise, l’intelligence artificielle générative arrive rarement par un grand programme de transformation. Elle entre par un outil testé par un dirigeant, une fonctionnalité ajoutée à un logiciel ou un collaborateur qui cherche à gagner du temps. Cette souplesse est utile, mais elle crée vite trois risques : transmettre des informations qui ne devraient pas quitter l’entreprise, produire des contenus plausibles mais inexacts et multiplier les expérimentations sans objectif commun.
La bonne première étape n’est donc pas de choisir l’outil le plus spectaculaire. Elle consiste à définir les usages autorisés, à sélectionner quelques situations concrètes et à organiser la validation humaine. Ce kit propose une méthode volontairement légère pour passer de la curiosité à une expérimentation utile, mesurable et réversible.
Il s’adresse aux dirigeants, responsables d’équipe, référents numériques et collaborateurs de TPE-PME. Il ne remplace ni une analyse juridique ni les règles de sécurité propres à votre organisation. Il fournit un cadre de travail que vous pouvez adapter à votre activité.
Dans le kit
Neuf outils, utilisables séparément ou dans l’ordre
Charte simple d’utilisation
Une page pour savoir ce qui est autorisé, ce qui est interdit et qui contacter en cas de doute.
Voir l’outilOutil 2Matrice des données
Classer les données en vert, orange ou rouge avant de les confier à un outil.
Voir l’outilOutil 3Grille de sélection
Six critères pour choisir un premier cas d’usage fréquent, vérifiable et sans risque excessif.
Voir l’outilOutil 4Expérimentation de 30 jours
Cadrer, tester, intégrer, décider : une tâche, quatre semaines.
Voir l’outilOutil 5Fiche de validation humaine
Sept questions à poser avant toute diffusion ou décision.
Voir l’outilOutil 6Dix prompts professionnels
Dix demandes à adapter, compatibles avec votre charte.
Voir l’outilOutil 7Tableau de suivi
Mesurer le temps réellement gagné, relecture et corrections comprises.
Voir l’outilOutil 8Fiche d’incident
Arrêter, documenter et décider en cas d’erreur grave ou de fuite potentielle.
Voir l’outilOutil 9Décisions avant déploiement
Six questions à trancher avant de généraliser l’usage de l’IA.
Voir l’outilOutil 1
Commencer par une charte simple d’utilisation
Une charte efficace tient sur une page. Elle ne doit pas chercher à prévoir tous les cas possibles : elle doit permettre à chacun de savoir ce qu’il peut faire, ce qui lui est interdit et qui contacter en cas de doute.
Modèle de charte interne
Objectif. Nous utilisons les outils d’IA générative pour assister certaines tâches de recherche, de synthèse, de préparation, de rédaction et d’idéation. Ils ne prennent pas seuls une décision engageant l’entreprise, un client, un salarié ou un partenaire.
- Ne jamais saisir de mot de passe, clé d’accès, donnée bancaire ou secret d’affaires.
- Ne pas transmettre de donnée personnelle, confidentielle ou contractuelle sans autorisation et sans environnement adapté.
- Vérifier les faits, calculs, citations, références et dates avant toute utilisation.
- Faire relire par une personne compétente tout contenu destiné à un client, au public ou à une décision importante.
- Identifier clairement les documents produits avec une assistance de l’IA lorsque le contexte l’exige.
- Respecter le droit d’auteur, les licences, les règles sectorielles et les engagements de confidentialité.
- Signaler rapidement toute réponse problématique, divulgation accidentelle ou comportement inattendu de l’outil.
Responsable interne : [nom ou fonction]. Outils autorisés : [liste]. Usages nécessitant une validation préalable : [liste]. Date de révision de la charte : [date].
Outil 2
Classer les données avant de les confier à un outil
Le niveau de risque dépend moins de la formulation du prompt que des données qu’il contient. Une classification simple permet d’éviter la plupart des erreurs.
Données publiques
Contenus déjà publiés, informations institutionnelles, documentation librement accessible.
Règle d’usage. Usage généralement possible après vérification des conditions de l’outil.
Données internes ordinaires
Procédures non sensibles, brouillons, notes de réunion anonymisées.
Règle d’usage. Usage possible uniquement dans les outils approuvés et après suppression des identifiants inutiles.
Données sensibles
Informations clients, dossiers RH, données financières détaillées, santé, contrats, codes sources privés, mots de passe, secrets commerciaux.
Règle d’usage. Ne pas saisir dans un service grand public.
Données personnelles
Appliquer le principe de minimisation.
Règle d’usage. Retirer noms, e-mails, numéros, identifiants et tout élément permettant de retrouver une personne, sauf cadre juridique et technique validé.
Question réflexe
Si cette saisie était publiée demain, quelles seraient les conséquences pour l’entreprise, le client ou la personne concernée ? Si la réponse est incertaine, ne transmettez pas la donnée.
Outil 3
Choisir un premier cas d’usage
Un bon pilote n’est ni stratégique au point de devenir irréversible, ni anecdotique au point de ne rien apprendre. Il s’agit d’une tâche fréquente, vérifiable et suffisamment chronophage pour que le gain éventuel soit visible.
Grille de sélection
La tâche revient-elle au moins chaque semaine ?
Combien de minutes ou d’heures mobilise-t-elle aujourd’hui ?
Une erreur peut-elle avoir une conséquence juridique, financière, humaine ou réputationnelle ?
Une personne compétente peut-elle contrôler le résultat rapidement ?
Peut-on travailler avec des informations publiques, anonymisées ou fictives ?
Le processus appris pourra-t-il servir à d’autres tâches ?
Pilotes souvent accessibles
Les pilotes les plus accessibles concernent souvent la préparation d’un plan, la reformulation d’un texte interne, la synthèse d’un document public, la création d’une première trame de réunion ou le classement d’idées.
À laisser hors du premier périmètre
Les décisions RH, juridiques, médicales, financières ou de sécurité doivent rester hors du premier périmètre.
Outil 4
Conduire une expérimentation de 30 jours
Un seul cas d’usage, quatre semaines, une décision à la fin.
Semaine 1
Cadrer
- Décrire la tâche actuelle et son résultat attendu.
- Mesurer le temps de référence sur trois occurrences.
- Choisir un outil autorisé et un responsable du pilote.
- Définir les données interdites et le niveau de validation humaine.
Semaine 2
Tester
- Réaliser cinq à dix essais avec des demandes comparables.
- Conserver les prompts, les réponses utiles et les erreurs.
- Modifier une seule variable à la fois : contexte, format, exemple ou contrainte.
Semaine 3
Intégrer
- Transformer le meilleur essai en procédure courte.
- Faire utiliser la procédure par une deuxième personne.
- Vérifier que le résultat reste compréhensible sans l’auteur du prompt.
Semaine 4
Décider
- Comparer le temps total, y compris la relecture et les corrections.
- Évaluer la qualité, la fréquence des erreurs et la satisfaction des utilisateurs.
- Décider de poursuivre, d’adapter ou d’arrêter le cas d’usage.
Un pilote arrêté n’est pas un échec : il évite de généraliser une pratique qui n’apporte pas de valeur ou qui demande trop de contrôle.
Outil 5
Utiliser une fiche de validation humaine
Avant diffusion ou décision, le validateur répond aux questions suivantes :
- Les faits, chiffres, dates et noms ont-ils été contrôlés à partir d’une source fiable ?
- Le résultat répond-il réellement à la demande initiale ?
- Des informations confidentielles apparaissent-elles dans le prompt ou la réponse ?
- Le ton et le niveau de précision sont-ils adaptés au destinataire ?
- Une formulation pourrait-elle être trompeuse, discriminatoire ou excessivement affirmative ?
- Les droits d’utilisation des textes, images, données et marques sont-ils respectés ?
- La personne qui valide est-elle légitime et compétente sur ce sujet ?
Décision : accepté / accepté après correction / rejeté. Validateur : [nom]. Date : [date]. Commentaire : [motif et corrections].
Outil 6
Dix prompts professionnels à adapter
Remplacez les éléments entre crochets et ne fournissez que des données compatibles avec votre charte.
- 1
Transforme ces notes non confidentielles en ordre du jour de 30 minutes. Objectif : [objectif]. Participants : [fonctions]. Termine par trois décisions à prendre.
- 2
Résume ce document public en cinq idées, puis distingue les faits, les hypothèses et les points à vérifier. Source : [texte ou URL].
- 3
Propose trois versions de cet e-mail : directe, chaleureuse et très concise. Conserve les faits et n’ajoute aucune promesse.
- 4
À partir de cette procédure, crée une checklist destinée à une personne qui réalise la tâche pour la première fois. Signale toute information manquante.
- 5
Joue le rôle d’un lecteur critique. Identifie les affirmations non prouvées, les ambiguïtés et les risques de mauvaise interprétation dans ce brouillon.
- 6
Classe ces idées selon impact, effort, risque et facilité de mesure. Explique brièvement chaque note sans décider à notre place.
- 7
Prépare cinq questions d’entretien pour comprendre le besoin d’un client, sans supposer sa réponse ni orienter la discussion.
- 8
Crée un plan de formation de 60 minutes sur [sujet] pour [public]. Prévois un objectif observable, une activité pratique et une vérification finale.
- 9
Compare ces deux options à partir des seuls critères suivants : [critères]. Si une donnée manque, écris “information manquante”.
- 10
Réécris ce texte en français clair pour un lecteur non spécialiste. Phrases courtes, vocabulaire concret, aucune information nouvelle.
Outil 7
Mesurer le temps réellement gagné
Ne mesurez pas seulement le temps de génération. Ajoutez la préparation des données, la formulation, la relecture, les corrections et la validation.
Tableau de suivi
| Date | Tâche | Temps sans IA | Temps avec IA | Temps de contrôle | Corrections majeures | Résultat utilisable ? | Commentaire |
|---|---|---|---|---|---|---|---|
Une version imprimable de ce tableau figure dans le kit PDF.
Après dix occurrences, calculez le temps médian plutôt qu’un seul meilleur résultat. Notez aussi la variabilité : une procédure rapide mais imprévisible peut être moins utile qu’un gain modeste et régulier.
Outil 8
Prévoir une fiche d’incident
En cas d’erreur grave, de fuite potentielle ou de réponse dangereuse, arrêter l’usage concerné et documenter l’événement.
Selon la nature de l’incident, sollicitez votre référent sécurité, votre DPO, votre conseil juridique ou le prestataire de l’outil.
Ce que la fiche consigne
- Date, outil, compte et personne concernée.
- Données saisies et niveau de sensibilité.
- Résultat généré et usage qui en a été fait.
- Personnes ou systèmes éventuellement exposés.
- Mesures immédiates : suppression, changement d’accès, information interne, conservation des preuves.
- Décision : reprise avec correction, restriction ou arrêt.
Outil 9
Ce qu’un responsable doit décider avant le déploiement
Quels outils sont autorisés et avec quels réglages ?
Quelles données sont exclues ?
Quels usages nécessitent une validation ?
Qui maintient la charte et forme les équipes ?
Quels indicateurs justifient la poursuite ?
Comment quitter l’outil ou récupérer les données si nécessaire ?
L’objectif n’est pas d’ajouter de l’IA partout. Il est de rendre quelques tâches plus simples sans dégrader la qualité, la sécurité ni la responsabilité.
Pour finir
Repères réglementaires à garder en tête
Ce kit est un cadre de travail, pas un avis juridique. Deux points reviennent régulièrement dans les TPE-PME.
Données personnelles
Le RGPD s’applique dès qu’une donnée permettant d’identifier une personne est saisie dans un outil. La minimisation des données (matrice de la section 2) est la mesure la plus simple.
Maîtrise de l’IA des équipes
Depuis le 2 février 2025, l’article 4 du règlement européen sur l’intelligence artificielle s’applique aux fournisseurs et aux organisations qui déploient des systèmes d’IA. Il leur demande de prendre des mesures adaptées pour développer la maîtrise de l’IA des personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d’utilisation. Le règlement n’impose pas une formation standardisée ni un certificat particulier. Notre page consacrée à l’AI Act présente les actions pouvant être mises en place dans l’entreprise.
Passer à l’action
Passer du kit à votre propre plan d’action
Choisissez une tâche, nommez un responsable et fixez une date de revue à 30 jours. Ce cadre suffit pour commencer de façon sérieuse, à condition de documenter ce qui fonctionne et ce qui doit rester humain.
Marmignon Brothers, organisme de formation certifié Qualiopi, accompagne les TPE et PME dans l’identification des usages, la formation des équipes et la structuration de plans d’action numériques. Profil Activateur France Num.
