Charte d'usage et registre des cas d'usage

Pourquoi une gouvernance dédiée ?

Sans cadre, on observe souvent deux dérives opposées : l'interdiction totale (qui pousse vers des outils non maîtrisés, voir leçon suivante) ou l'absence de règles (qui expose l'entreprise). La gouvernance cherche un chemin entre les deux : des usages autorisés clairs, un circuit de validation proportionné au risque.

Le NIST AI RMF place d'ailleurs la fonction Govern au centre des trois autres (Map, Measure, Manage) : sans rôles, politiques et suivi, les mesures techniques s'érodent.

flowchart LR
  G["Govern : charte, rôles, registre"] --> MAP["Map : décrire le cas d'usage et son contexte"]
  MAP --> MEA["Measure : évaluer les risques, tester (red teaming)"]
  MEA --> MAN["Manage : traiter, surveiller, réviser"]
  MAN --> G

La charte d'usage : courte et concrète

Une charte efficace tient sur une à deux pages et répond aux questions que se posent vraiment les salariés.

Le registre des cas d'usage

Le registre est l'inventaire vivant des usages d'IA. Il ne remplace pas le registre RGPD (article 30) mais s'y articule : chaque cas d'usage qui traite des données personnelles doit y renvoyer.

id: UC-007
nom: "Assistant support client — suivi de commandes"
porteur_metier: "Direction relation client"
responsable_technique: "Équipe plateforme IA"
statut: "pilote"            # idée | pilote | production | retiré
utilisateurs: "Clients authentifiés du site"
plateforme: "Gemini Enterprise"   # ou watpilot, etc.
donnees:
  personnelles: true
  categories: ["identité", "commandes", "échanges"]
  sensibles_art9: false
outils_agent: ["get_my_orders", "propose_refund (plafonné, confirmation)"]
classification:
  ai_act: "transparence (art. 50)"
  criticite_interne: "élevée"
conformite:
  registre_rgpd: "TRT-042"
  aipd: "en cours"
  mention_transparence: "oui"
securite:
  derniere_revue_risques: 2026-09-30
  red_teaming: "RT-2026-09, 8 cas, 2 constats ouverts"
revue_suivante: 2027-03-31

Un circuit de validation proportionné

flowchart TD
  N["Nouveau cas d'usage"] --> F["Fiche registre remplie par le porteur"]
  F --> T{"Triage : données personnelles, outils à impact, public externe, catégorie AI Act ?"}
  T -->|"Risque faible"| V1["Validation simplifiée : équipe IA"]
  T -->|"Risque moyen ou élevé"| V2["Revue des risques : sécurité, DPO, juridique, métier"]
  V2 --> D{"Décision"}
  D -->|"Go avec plan d'actions"| P["Pilote puis production"]
  D -->|"Non"| R["Refus motivé ou redesign"]
  V1 --> P
  P --> S["Revue périodique et après incident"]

Exercice : fiche registre pour un assistant interne

Rédigez la fiche registre (format YAML ci-dessus) d'un assistant interne qui répond aux questions des commerciaux à partir des contrats-cadres et des grilles tarifaires, déployé sur watpilot, sans outil d'action.

id: UC-011
nom: "Assistant commerciaux — contrats et tarifs"
porteur_metier: "Direction commerciale"
responsable_technique: "Équipe plateforme IA"
statut: "pilote"
utilisateurs: "Commerciaux internes (environ une centaine, par exemple)"
plateforme: "watpilot"
donnees:
  personnelles: true          # noms des interlocuteurs dans les contrats
  categories: ["contacts professionnels", "conditions commerciales"]
  sensibles_art9: false
outils_agent: []              # lecture seule, RAG uniquement
classification:
  ai_act: "risque minimal"
  criticite_interne: "moyenne (confidentialité commerciale)"
conformite:
  registre_rgpd: "à créer ou rattacher"
  aipd: "non requise a priori, à confirmer avec le DPO"
  mention_transparence: "interne, via la charte"
securite:
  controles: ["filtrage RAG par portefeuille du commercial (LLM08)", "réponses avec sources citées (LLM09)"]
  derniere_revue_risques: null
  red_teaming: "à planifier avant production"
revue_suivante: "avant passage en production"

Je sais faire

• Rédiger une charte d'usage d'une page, avec des règles actionnables
• Tenir une fiche de registre de cas d'usage reliée au registre RGPD
• Définir un circuit de validation proportionné au risque
• Relier la gouvernance aux fonctions du NIST AI RMF