Registre des usages IA en PME suisse

Registre des usages IA en PME suisse

Un registre des usages IA évite qu’une PME découvre trop tard qu’un collaborateur a connecté un outil de rédaction à la boîte mail, qu’un autre a importé un export CRM dans un assistant public, ou qu’un prestataire traite déjà des données clients. Le registre ne sert pas à interdire l’IA. Il sert à savoir ce qui existe, à décider ce qui est autorisé et à donner un cadre de travail compréhensible.

Pour une PME suisse, le bon point de départ n’est pas une longue politique théorique. C’est une page par usage, tenue à jour, qui répond à des questions simples: qui utilise quel outil, pour quelle tâche, avec quelles données, sous quel contrôle, et que se passe-t-il si le résultat est faux? Cette discipline permet de tester une automatisation sans perdre la trace des décisions prises.

Lapage du PFPDT sur l’IA et la protection des donnéesrappelle que le droit suisse de la protection des données s’applique aux traitements qui recourent à l’IA. La Suisse ne dispose pas encore d’une loi générale propre à l’IA: l’Office fédéral de la justiceindique qu’un projet de réglementation est en préparation. Le registre répond à ce contexte: il aide une entreprise à documenter les usages actuels avec les règles applicables aujourd’hui, sans attendre une règle future.

Réponse courte: ce qu’un registre doit contenir

Un registre des usages IA est un inventaire opérationnel. Chaque ligne décrit un usage réel, pas une idée de projet. La ligne doit permettre à une personne qui ne travaille pas dans l’équipe de comprendre le flux sans deviner les étapes manquantes.

Les champs utiles sont les suivants:

Ce tableau ne remplace pas le registre des activités de traitement lorsqu’il est requis par la LPD. Il le complète. Le registre des traitements répond à une obligation de protection des données. Le registre des usages IA donne aux équipes une vue plus concrète sur l’outil, les prompts, les validations et les changements de fonctionnement. Les deux documents peuvent partager des informations, mais ils ne répondent pas exactement à la même question.

Pourquoi commencer par les usages réels plutôt que par un catalogue d’outils

Un catalogue d’outils ne permet pas de mesurer le risque ni l’utilité. Le même assistant peut être anodin lorsqu’il reformule un texte public et devenir sensible lorsqu’il résume un dossier RH ou classe des demandes liées à la santé. Ce qui compte n’est donc pas seulement le nom du fournisseur. C’est le traitement réellement effectué.

LePortail PME de la Confédérationrecommande d’identifier les cas d’application, de vérifier la base de données disponible et d’établir un cadre d’utilisation clair pour les collaborateurs. Le registre fait précisément ce travail. Il transforme une adoption diffuse en décisions observables.

Commencez par interroger les équipes sur les tâches répétitives qui prennent du temps: préparation de réponses, qualification de demandes, mise en forme de comptes rendus, recherche dans une documentation interne, extraction de champs depuis une facture, traduction d’un premier brouillon. La question n’est pas « utilisez-vous de l’IA? ». Elle est plutôt « quelles informations donnez-vous à un outil pour produire quel résultat, puis qui utilise ce résultat? ».

Cette formulation évite deux erreurs fréquentes. La première consiste à ignorer les usages informels parce qu’ils ne sont pas portés par le service informatique. La seconde consiste à enregistrer un outil sans voir les multiples tâches qu’il couvre. Un même compte peut servir à rédiger, analyser, traduire, classer et répondre. Ces usages doivent être séparés si les données, les personnes concernées ou la validation changent.

Définir le périmètre avant la première réunion

Le registre peut devenir inutile s’il cherche à couvrir toute l’entreprise en une fois. Définissez un périmètre limité pour la première version. Une PME peut commencer par une fonction, par exemple le service client, l’administration, les ventes ou les ressources humaines. Elle peut aussi choisir un processus transversal, comme le traitement des e-mails entrants.

Le périmètre doit préciser quatre éléments:

1. Les équipes concernées et une personne de contact par équipe.
2. Les outils qui entrent dans l’inventaire, y compris les essais gratuits et extensions de navigateur utilisées pour le travail.
3. Les types de données à examiner, notamment les données client, RH, financières, contractuelles ou techniques.
4. La période d’observation, assez longue pour couvrir les activités habituelles et les exceptions.

La première collecte ne doit pas être un contrôle disciplinaire. Expliquez aux collaborateurs que l’objectif est de sécuriser les usages utiles et de supprimer les ambiguïtés. Une personne qui utilise un assistant pour préparer une réponse ne doit pas craindre d’être sanctionnée parce qu’elle le déclare. En revanche, elle doit savoir quand demander une validation avant de copier des informations sensibles dans un outil externe.

Cartographier une ligne de registre sans jargon

Prenons une demande client reçue par e-mail. Un usage IA peut résumer le message et proposer une réponse. Une ligne de registre complète décrit le trajet: le message arrive dans une boîte partagée, le contenu est transmis à l’outil, l’outil propose un brouillon, un collaborateur le relit, puis la réponse est envoyée et enregistrée dans le CRM.

Cette description paraît évidente, mais elle révèle vite les zones à décider. Le fournisseur conserve-t-il le contenu? Le brouillon peut-il être envoyé automatiquement? Les pièces jointes sont-elles incluses? Une adresse e-mail est-elle transmise? L’équipe peut-elle retirer un message envoyé par erreur? Quel journal permet de vérifier qui a validé la réponse?

Un registre utile ne prétend pas résoudre chaque point à la première lecture. Il expose ce qui manque. Une colonne « décision à prendre » est préférable à une supposition. Exemple: « Vérifier avec le fournisseur si les pièces jointes sont exclues du traitement ». Cette clarté permet de fermer les sujets un par un.

Classer les données avant de choisir les réglages

La protection des données commence par la minimisation. Pour chaque usage, notez les informations nécessaires au résultat et retirez le reste. Un outil qui prépare une réponse à une demande de disponibilité n’a pas besoin de l’historique complet du client. Un système qui classe des factures peut avoir besoin du numéro de document et du montant, mais pas de tous les commentaires internes.

Une classification simple suffit au départ: données publiques, données internes, données personnelles ordinaires, données sensibles ou particulièrement délicates pour le métier. Cette dernière catégorie dépend du contexte. Un cabinet médical, une fiduciaire, une étude d’avocats ou un prestataire RH ne traitent pas les mêmes informations qu’un commerce qui répond à une question de livraison.

Le PFPDT indique que les personnes doivent recevoir une information transparente sur la finalité, le fonctionnement et les sources de données utilisées dans un traitement basé sur l’IA. Pour les systèmes de langage qui dialoguent avec des utilisateurs, le PFPDT souligne aussi le droit de savoir si une personne échange avec une machine et si les données saisies peuvent être réutilisées. Ces éléments doivent apparaître dans le registre lorsqu’ils concernent l’usage, puis dans les textes destinés aux personnes concernées lorsque cela est nécessaire.Le devoir d’informer détaillé par le PFPDTaide à vérifier l’identité du responsable, la finalité et les destinataires à communiquer.

Examiner le fournisseur et les sous-traitants

Une fiche fournisseur ne se limite pas à une case « hébergement suisse ». Cette indication peut être pertinente, mais elle ne répond pas à toutes les questions. Il faut comprendre le contrat applicable, les rôles du fournisseur, les éventuels sous-traitants, les paramètres de conservation, les accès administrateurs, l’export des données et la manière de signaler un incident.

Pour chaque outil, conservez dans le registre un lien vers la documentation contractuelle ou de confidentialité applicable au compte de l’entreprise. Notez la date de vérification. Une condition commerciale peut changer, tout comme une fonction qui active un historique, une personnalisation ou une connexion à une base documentaire. Un registre sans date donne une impression de contrôle sans permettre de savoir si l’information est encore valable.

Les questions pratiques sont concrètes: les entrées servent-elles à améliorer un modèle? Peut-on désactiver cette utilisation? Quels utilisateurs peuvent connecter une source de données? Les exports peuvent-ils être retirés? Où se trouve le journal d’activité? Comment l’entreprise récupère-t-elle ses données si elle change d’outil? Ces réponses doivent être rattachées à l’usage concerné, pas copiées automatiquement sur tous les usages du fournisseur.

Garder une décision humaine là où elle compte

Le niveau d’automatisation doit apparaître clairement. On peut distinguer l’assistance, la recommandation, l’exécution interne et l’interaction externe. Une assistance qui met en forme un compte rendu n’a pas le même impact qu’un système qui propose d’écarter une candidature, de refuser un client, de modifier une commande ou de déterminer une priorité de traitement.

Le PFPDT précise que les personnes concernées ont un droit à l’information dans le cas de décisions individuelles automatisées et peuvent demander qu’une décision soit examinée par une personne. Dans le registre, indiquez donc ce qui est automatisé, ce qui reste proposé, et le nom ou le rôle de la personne qui tranche. Ne vous contentez pas d’écrire « contrôle humain ». Écrivez où ce contrôle intervient et ce que la personne vérifie.

Exemple: « le système classe les demandes; le responsable contrôle chaque classement qui entraîne un refus, une modification de contrat ou une transmission à un tiers ». Cette phrase est plus utile qu’une promesse générale, car elle devient testable lors d’un contrôle interne.

Identifier les cas qui demandent une analyse renforcée

Tous les usages IA n’ont pas le même niveau de risque. Un brouillon de communication interne n’appelle pas les mêmes mesures qu’un traitement qui établit un profil, touche à la santé, analyse une voix, surveille un comportement ou contribue à une décision importante pour une personne.

Le PFPDT indique que la LPD exige une analyse d’impact relative à la protection des données personnelles lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Songuide consacré à la sécurité de l’informationrassemble également des ressources sur les mesures techniques et organisationnelles, les violations de données et la journalisation. Le registre peut contenir un indicateur « analyse à examiner » afin de ne pas laisser ces sujets dans une boîte mail ou une conversation orale.

Dans le contexte RH, la prudence doit être renforcée. Le PFPDT rappelle que les employeurs traitent de nombreuses données personnelles et que les outils d’IA peuvent sélectionner des dossiers ou analyser des entretiens. Sa page sur letraitement des données par l’employeurinsiste sur la proportionnalité, l’information des personnes et les obligations qui s’appliquent selon le cas. Pour un usage de recrutement, le registre doit documenter le rôle de l’outil, les données analysées, les critères, les contrôles et la voie de recours humaine.

Tester un usage sans ouvrir toutes les portes

Un test n’est pas une autorisation générale. Dans le registre, marquez le test comme tel et fixez une date de revue. Limitez le nombre de personnes, les données utilisées et le périmètre de l’outil. Une équipe peut, par exemple, tester la synthèse de demandes anonymisées ou de cas fictifs avant d’utiliser des échanges réels.

Le test doit avoir une hypothèse vérifiable. « L’outil réduit le temps de préparation des réponses sans augmenter les corrections demandées » est une hypothèse. « Voir si l’IA est utile » n’en est pas une. Définissez aussi le critère d’arrêt: une erreur répétée, une donnée transmise par inadvertance, l’impossibilité d’expliquer le résultat ou un fournisseur incapable de répondre à une question contractuelle importante.

À la fin du test, conservez une décision courte: autoriser avec des limites, ajuster, suspendre ou abandonner. Cette décision doit être rattachée à une personne responsable. Le registre devient alors un historique de choix, pas une simple liste de logiciels.

Organiser les droits, les journaux et les incidents

Les contrôles techniques ne doivent pas être séparés du registre. Chaque usage sensible doit indiquer qui peut y accéder, quels comptes sont autorisés, où l’activité est journalisée et qui est contacté en cas d’incident. Il ne s’agit pas de créer une bureaucratie lourde. Il s’agit de pouvoir répondre rapidement si un collaborateur quitte l’entreprise, si une connexion est compromise ou si une donnée a été transmise au mauvais endroit.

La documentation du PFPDT sur la sécurité de l’information évoque notamment la journalisation de l’enregistrement, de la modification, de la lecture, de la communication, de l’effacement et de la destruction de données dans certains traitements automatisés. Pour une PME, la traduction pratique est simple: savoir où se trouvent les journaux utiles, vérifier qu’ils sont accessibles aux personnes habilitées, et ne pas conserver indéfiniment des copies qui ne servent plus.

Le registre doit aussi renvoyer à la procédure de gestion des incidents. Si une donnée est envoyée à un outil non autorisé, le réflexe ne doit pas être de masquer le problème. L’équipe doit savoir à qui le signaler, quelles informations conserver et quelles mesures immédiates prendre. Les obligations applicables dépendent du contexte et de la gravité; ce guide ne remplace pas un avis juridique ou une analyse de conformité.

Trois exemples de lignes de registre utiles

Préparation de réponses du service client

L’outil reçoit le texte d’une demande et prépare un brouillon. Les pièces jointes, informations sensibles et historiques complets sont exclus par défaut. Un collaborateur relit chaque réponse avant envoi. Le registre mentionne le fournisseur, le réglage de conservation, le responsable du service et le CRM qui conserve la trace de la réponse validée. Le risque augmente si le système répond seul ou si les messages contiennent des données particulières.

Extraction de données dans l’administration

L’outil lit un document et propose des champs à saisir dans le logiciel de gestion. Le registre indique le type de document, les champs autorisés, le seuil de contrôle humain et le traitement des erreurs. La personne qui valide ne doit pas vérifier seulement que les champs sont remplis: elle doit vérifier que le document source correspond au dossier et que l’outil n’a pas interprété une information ambiguë.

Recherche dans une base de connaissances interne

Un assistant interroge des procédures, contrats types ou documentations internes pour proposer une réponse aux équipes. Le registre doit préciser quelles bibliothèques sont connectées, qui peut ajouter ou retirer un document, si les droits d’accès d’origine sont respectés et comment une réponse cite sa source. Sans cette dernière information, une réponse plausible peut être reprise comme une règle alors qu’elle repose sur une version obsolète.

Revoir le registre à un rythme réaliste

Un registre mis à jour une fois puis oublié ne protège personne. La bonne fréquence dépend du volume de changements. Pour une PME, une revue mensuelle au début, puis une revue trimestrielle lorsque les usages sont stabilisés, est souvent plus utile qu’un audit annuel trop large. Chaque revue traite quatre points: les nouveaux usages, les changements de fournisseur ou de réglage, les incidents et les résultats du test.

Ajoutez une date de dernière revue à chaque ligne. Lorsqu’un usage n’existe plus, ne supprimez pas la ligne sans trace. Passez-la à l’état « retiré », notez la date et conservez l’information nécessaire à l’historique interne. Cette pratique évite de perdre la mémoire d’un ancien connecteur ou d’une procédure qui a laissé des données dans un système externe.

Comment faire adopter le registre par les équipes

Le registre ne doit pas vivre uniquement chez la direction ou l’informatique. Les responsables métier connaissent les tâches qui évoluent. L’équipe technique connaît les connexions et les droits. La personne chargée de la protection des données ou le conseil externe peut aider sur les cas sensibles. Chacun a une partie de l’information.

Un format court facilite l’adoption. Demandez à chaque responsable de remplir une première ligne avec un exemple. Reprenez cette ligne ensemble. Si elle est trop difficile à compléter, le processus n’est pas assez clair. Si elle ne révèle aucun choix, elle est trop vague. Après quelques usages, les équipes comprennent ce qu’elles doivent signaler et peuvent proposer des améliorations avant qu’un outil ne se généralise.

Le registre a aussi une fonction commerciale et opérationnelle: il permet de répondre avec précision à un client qui demande si l’IA intervient dans un service, à un collaborateur qui hésite sur une donnée, ou à un fournisseur qui propose une nouvelle intégration. Une réponse documentée inspire davantage confiance qu’une promesse générale de conformité.

Liens utiles pour continuer

Ce guide traite le registre opérationnel. Pour le cadre général, consultez notreguide sur l’IA en PME suisseet la page dédiée à lanLPD et aux obligations IA des PME. Pour passer à l’action, vous pouvez préparer unaudit des données IA, rédiger unecharte d’utilisation de l’IAou bâtir uneroadmap IA sur 90 jours.

Questions fréquentes

Faut-il enregistrer un usage qui ne traite aucune donnée personnelle?

Oui, s’il intervient dans le travail de l’entreprise. Même sans donnée personnelle, l’usage peut concerner des informations confidentielles, un document interne, une décision opérationnelle ou une dépendance fournisseur. La fiche sera simplement plus légère.

Le registre est-il réservé aux grands projets?

Non. Il est particulièrement utile pour les petits essais, car ce sont eux qui échappent le plus facilement aux procédures habituelles. Une ligne courte vaut mieux qu’un outil utilisé sans responsable ni règle de sortie.

Faut-il interdire les outils gratuits?

La réponse dépend de l’usage, des données, du contrat et des paramètres disponibles. Une interdiction générale peut pousser les usages à devenir invisibles. Un cadre clair indique plutôt les données qui ne peuvent pas être transmises, les outils approuvés et la marche à suivre pour demander une évaluation.

Qui valide une nouvelle ligne de registre?

Le responsable métier valide l’utilité. La personne responsable des données, de la sécurité ou le conseil compétent intervient lorsque le traitement est sensible, nouveau ou difficile à expliquer. La décision doit être attribuée à un rôle, pas à une formule vague comme « l’entreprise ».

Que faire si un fournisseur modifie ses conditions?

Mettez à jour la ligne concernée, relisez les réglages qui ont changé et décidez si l’usage reste autorisé. Une modification qui affecte la conservation, les sous-traitants, les accès ou la réutilisation des données mérite une revue avant de poursuivre.

À retenir

Le registre des usages IA donne à une PME suisse une vue fiable de ce qui se passe réellement. Il relie une tâche, des données, un fournisseur, une validation et une responsabilité. Commencez petit, documentez les choix qui comptent, puis révisez le registre à mesure que les usages évoluent. C’est la base la plus simple pour faire de l’IA un outil de travail maîtrisé.