Verdict factuel. Les entreprises parlent davantage de gouvernance de l’IA, mais le passage aux règles opérationnelles reste incomplet. Dans l’AI Index 2026 de Stanford, la part des organisations sans aucune politique d’IA responsable tombe de 24 % à 11 % en 2025. Dans le même temps, les postes ou fonctions explicitement consacrés à cette gouvernance n’augmentent que de 17 %. Le signal est net : une charte ne remplace ni un propriétaire du risque, ni un contrôle sur les données, ni une procédure d’incident.
Ce n’est pas une mesure de « sécurité » parfaite, ni la preuve que 89 % des entreprises ont déployé une IA sûre. C’est une photographie d’organisations interrogées, à lire avec la méthode et le périmètre du rapport. Elle aide toutefois à poser une question concrète aux équipes qui achètent ou déploient des outils génératifs : qui valide les usages, et avec quelles preuves ?
Les trois points à retenir
- Les politiques se diffusent vite : 11 % des répondants déclarent n’en avoir aucune en 2025, contre 24 % l’année précédente.
- La capacité humaine progresse moins vite : les rôles dédiés à l’IA responsable ont progressé de 17 % sur la même période.
- Le frein n’est pas seulement juridique : le rapport cite les lacunes de connaissances (59 %), le budget (48 %) et l’incertitude réglementaire (41 %) parmi les principaux obstacles déclarés.
Le chiffre qui change la lecture des « politiques IA »
La baisse de 24 % à 11 % est une baisse de 13 points de pourcentage, pas une baisse de 13 %. Dit autrement, une politique écrite devient plus fréquente dans l’échantillon. Mais le même chapitre du rapport ne dit pas que toutes ces politiques ont été auditées, appliquées à tous les fournisseurs ou testées face à une fuite de données. C’est la distinction utile pour une PME comme pour une direction métier : disposer d’un document est un début, pas un indicateur de maîtrise.
| Indicateur (année 2025) | Valeur | Ce qu’il mesure | Ce qu’il ne mesure pas |
|---|---|---|---|
| Organisations sans politique d’IA responsable | 11 % (24 % en 2024) | Déclaration d’absence de politique | Efficacité, couverture ou audit de la politique |
| Rôles de gouvernance IA | +17 % | Évolution des fonctions dédiées | Effectif minimum ou compétence réelle |
| Obstacle : manque de connaissances | 59 % | Frein cité par les organisations | Un taux d’échec de projet |
| Obstacle : budget | 48 % | Frein cité | Le coût total d’une conformité |
| Obstacle : incertitude réglementaire | 41 % | Frein cité | Une obligation identique dans tous les pays |
Source des cinq indicateurs : Stanford HAI, AI Index Report 2026, chapitre Responsible AI. Les pourcentages d’obstacles sont des réponses déclaratives ; ils ne s’additionnent pas.
Pourquoi l’écart entre règle et exécution compte
Une politique répond généralement à des questions de principe : quels outils sont autorisés, quelles données ne doivent pas être collées dans un chatbot, quand signaler une erreur. L’exécution demande autre chose : inventaire des usages, paramètres de conservation des données, revue des accès, contrôle des sorties, traces et personne habilitée à couper un flux. Un outil grand public peut être acceptable pour reformuler un texte public et inadapté pour résumer un contrat client.
Le rapport ne permet pas de conclure qu’un poste de « responsable IA » est nécessaire partout. Il suggère plutôt que l’organisation doit rendre ces décisions attribuables. Dans une petite structure, ce peut être un binôme DSI/métier avec un registre simple. Dans une entreprise qui branche un modèle sur un CRM ou une base documentaire, l’enjeu devient plus large : fournisseurs, droits d’accès, tests de récupération et traitement d’un incident.
Ce que les données prouvent — et ce qu’elles ne prouvent pas
Elles prouvent une évolution des déclarations recueillies et publiées par Stanford pour 2025 : moins d’organisations répondent « aucune politique », et les fonctions de gouvernance deviennent plus visibles. Elles mettent aussi en regard des freins très concrets, au premier rang desquels les connaissances.
Elles ne prouvent pas que 89 % des entreprises disposent d’une gouvernance mature, que leurs employés respectent la règle, ou qu’elles sont conformes à toutes les réglementations. Le rapport agrège des jeux de données et des enquêtes externes ; il faut donc éviter d’en déduire un niveau de conformité juridique, notamment pour une entreprise française soumise à ses propres contrats, traitements et obligations.
Comment transformer ce constat en contrôle utile
- Listez les usages réels. Pas seulement les licences payées : rédaction, analyse de fichiers, transcription, support, agents et extensions navigateur.
- Classez les données. Public, interne, confidentiel, données personnelles : chaque catégorie appelle une règle de saisie et de partage distincte.
- Attribuez un responsable par usage. Il ne s’agit pas de créer une bureaucratie : une personne doit pouvoir accepter, modifier ou suspendre le flux.
- Testez un cas d’échec. Exemple : réponse erronée envoyée à un client, document sensible injecté dans un prompt, ou droit d’accès trop large.
- Révisez après chaque changement de fournisseur ou de modèle. Les conditions d’usage, la conservation et les connecteurs peuvent évoluer.
Cette liste ne remplace ni une analyse juridique ni une analyse d’impact. Elle donne un seuil minimal plus vérifiable qu’une formulation vague du type « utiliser l’IA avec prudence ».
Le contexte 2026 : des modèles plus présents, des contrôles plus nécessaires
L’édition 2026 de l’AI Index situe cette évolution dans un marché où l’adoption organisationnelle atteint 88 %. Son chapitre Technical Performance relève aussi une progression rapide des performances sur plusieurs tests. Cela explique la diffusion des usages, mais ne mesure pas la qualité d’un déploiement métier. Plus un modèle est capable d’écrire du code, de traiter une image ou de se connecter à des outils, plus les droits accordés et la supervision comptent.
Le chapitre Economy indique de son côté que l’investissement privé mondial en IA a plus que doublé en 2025 et que l’IA générative a capté près de la moitié des financements privés. Ces chiffres décrivent un mouvement de marché, non une recommandation d’achat. Pour une équipe, la décision utile reste de choisir un cas d’usage, un niveau de risque et une preuve de valeur avant d’élargir l’accès.
Les questions à poser avant de connecter un modèle à vos données
La gouvernance devient immédiatement concrète lorsqu’un service IA reçoit des documents, des tickets support ou un accès à une application. Avant d’activer un connecteur, l’équipe peut demander au fournisseur : quelles données sont conservées et pendant combien de temps ? Sont-elles utilisées pour entraîner un modèle ? Dans quelle région sont-elles traitées ? Peut-on désactiver l’historique ou l’entraînement ? Quel journal permet de comprendre une action effectuée par un agent ?
Il faut aussi poser les mêmes questions en interne. Qui peut créer un assistant ? Un assistant peut-il consulter toute la base documentaire ou seulement un espace précis ? Un salarié sait-il qu’une réponse est générée et qu’elle doit être relue ? Le choix n’est pas binaire entre interdire et tout ouvrir : un pilote sur un corpus non sensible, avec des comptes nominatifs et une revue mensuelle, donne souvent plus d’informations qu’une règle théorique.
Pour les usages qui produisent une décision, une recommandation client ou une modification dans un système, gardez une étape humaine et une trace de la version du modèle, des instructions et des sources. Cette traçabilité n’élimine pas les erreurs, mais elle permet de les attribuer et de corriger le processus. C’est précisément là que l’écart observé par Stanford entre l’existence d’une politique et les capacités de mise en œuvre devient opérationnel.
Enfin, documentez la décision de garder, réduire ou arrêter le pilote : la gouvernance sert aussi à éviter qu’un essai temporaire devienne un accès permanent sans revue.
Questions fréquentes
Une politique d’IA responsable suffit-elle ?
Non. Elle fixe un cadre, mais ne vérifie ni les accès, ni la conservation des données, ni les erreurs de sortie. Il faut au minimum un inventaire, un responsable et une procédure d’incident.
Le chiffre de 11 % concerne-t-il toutes les entreprises françaises ?
Non. Il provient du jeu de données utilisé par Stanford pour son rapport 2026. Il ne constitue pas un recensement national français.
Quel est le premier contrôle à mettre en place ?
Cartographier les outils et les données qui y entrent. Sans cette liste, une règle de confidentialité est difficile à appliquer ou à vérifier.
Sources utiles
- Stanford HAI — AI Index 2026, Responsible AI (édition 2026)
- Stanford HAI — AI Index Report 2026
- Stanford HAI — Technical Performance
- Stanford HAI — Economy
Par Vincent Vandegans, pour Minderlist — analyses concrètes des outils, usages et données de l’intelligence artificielle.
