En bref. Pionarius commence chaque audit IA par une cartographie des usages : qui utilise quels outils d’IA, pour quelles tâches, avec quelles données et pour quels résultats. Elle révèle les usages cachés (le « shadow AI »), montre où sont les données sensibles et donne le point de départ qui servira à mesurer les gains. Sans elle, une stratégie IA repose sur des suppositions.
Pourquoi commencer par cartographier les usages
Dans la plupart des organisations, l’IA est déjà là avant toute décision de la direction. Selon le Work Trend Index 2024 de Microsoft et LinkedIn, 56 % des salariés de bureau en France utilisent l’IA au travail, et 78 % des utilisateurs y viennent avec leurs propres outils. Seuls 39 % ont été formés par leur organisation. L’étude Ifop pour Talan (2025) va dans le même sens : 43 % des actifs utilisent l’IA générative au travail, mais seuls 9 % disent que leur employeur leur fournit les outils.
Autrement dit, la question n’est pas « faut-il lancer l’IA ? » mais « que se passe-t-il déjà, et avec quelles données ? ». La cartographie répond à cette question avant de choisir un outil, de rédiger une charte ou de former qui que ce soit.
Les quatre questions de la cartographie
1. Qui utilise l’IA ?
Par direction, par métier et par niveau : les commerciaux, la comptabilité, les RH, la communication, la direction. On distingue les utilisateurs réguliers, les utilisateurs occasionnels et ceux qui n’ont jamais essayé, et on repère les « référents naturels », ces collaborateurs que leurs collègues sollicitent déjà.
2. Avec quels outils ?
Outils fournis par l’entreprise (Microsoft 365 Copilot, Gemini dans Google Workspace, IA intégrée au CRM ou à l’ERP) et outils personnels (versions gratuites de ChatGPT, Claude, Gemini, Perplexity, extensions de navigateur, applications de transcription). Pour chaque outil : version gratuite ou entreprise, compte personnel ou professionnel, lieu d’hébergement des données.
3. Pour quelles tâches et avec quelles données ?
C’est le cœur de la cartographie. Rédiger un courrier client, résumer un contrat, analyser un tableau financier, préparer un entretien annuel : chaque tâche est associée au type de données qu’elle mobilise. Nous classons ces données en trois niveaux : publiques, internes, sensibles (données personnelles, données de santé, données financières, secrets d’affaires, informations couvertes par le secret professionnel).
4. Pour quels résultats ?
Le résultat est-il utilisé tel quel, relu, ou abandonné ? Combien de temps la tâche prenait-elle avant ? C’est cette information qui permettra, à la fin du projet, de mesurer ce qui a réellement changé.
Comment nous recueillons l’information
Une cartographie fiable croise plusieurs sources, car ce que les collaborateurs déclarent ne suffit pas.
- Un questionnaire anonyme, présenté comme une démarche sans sanction. L’objectif est de connaître les usages réels, pas de trouver des coupables. Sans cette garantie, les réponses sont incomplètes.
- Des entretiens par métier, d’environ une heure, sur les tâches de la semaine précédente : c’est là qu’apparaissent les usages que personne ne pense à déclarer.
- Les données techniques, avec la DSI ou le prestataire informatique : applications tierces autorisées dans Microsoft Entra ID ou Google Workspace, extensions installées, abonnements remboursés en notes de frais.
Point d’attention : l’analyse de journaux de connexion individuels touche à la vie privée des salariés. Dans une entreprise dotée d’un CSE, celui-ci doit être informé et consulté avant toute mise en place d’un dispositif de contrôle. Nous travaillons sur des données agrégées chaque fois que c’est possible.
Ce que contient le livrable
La cartographie prend la forme d’un tableau partagé, une ligne par usage :
| Qui | Outil | Tâche | Données | Résultat | Décision |
|---|---|---|---|---|---|
| Service commercial | ChatGPT, compte personnel gratuit | Rédiger les propositions | Sensibles (prix, noms des clients) | Relu, utilisé | Remplacer par un outil entreprise |
| Comptabilité | Copilot dans Excel | Rapprochements | Internes | Gain ressenti, non mesuré | Autoriser, mesurer |
| RH | Extension de transcription | Comptes rendus d’entretiens | Sensibles (données personnelles) | Utilisé tel quel | Suspendre, cadrer |
Exemple illustratif, sans lien avec un client réel.
Chaque usage reçoit une décision parmi quatre : autoriser, autoriser sous conditions, remplacer par un outil validé, ou arrêter. Ce tableau peut ensuite être rattaché au registre des traitements tenu au titre du RGPD.
Ce que la cartographie change pour la suite
La cartographie alimente directement les étapes suivantes de l’audit :
- elle fait apparaître les tâches les plus consommatrices de temps, analysées dans l’étape « repérage des voleurs de temps » ;
- elle montre les données exposées, au cœur de l’analyse des risques ;
- elle fournit le point de départ chiffré sans lequel aucun gain ne peut être démontré.
Elle permet aussi de répondre à une obligation déjà en vigueur : depuis le 2 février 2025, l’article 4 du règlement européen sur l’IA demande aux entreprises qui utilisent des systèmes d’IA de prendre des mesures pour favoriser la maîtrise de l’IA par leur personnel. Le règlement omnibus numérique, publié le 24 juillet 2026, en a fait une obligation de moyens. On ne peut pas former efficacement sans savoir qui utilise quoi.
Questions fréquentes
Comment savoir quels outils d’IA mes salariés utilisent ?
En croisant un questionnaire anonyme, des entretiens par métier et les données techniques disponibles (applications autorisées, extensions, notes de frais). Une seule de ces sources donne une image partielle.
Peut-on surveiller l’usage de ChatGPT par les salariés ?
Un contrôle est possible s’il est justifié, proportionné et annoncé. Les salariés doivent être informés, et le CSE consulté lorsqu’il existe. Une démarche déclarative et sans sanction donne en général des informations plus complètes qu’une surveillance.
Le registre des usages de l’IA est-il obligatoire ?
Le règlement européen sur l’IA n’impose pas de registre général aux entreprises qui utilisent l’IA. En revanche, dès qu’un usage traite des données personnelles, il doit figurer dans le registre des traitements prévu par le RGPD. La cartographie facilite cette mise à jour.
Combien de temps prend une cartographie ?
Elle fait partie de l’audit IA de Pionarius, qui dure au minimum 3 jours. La durée dépend du nombre de directions, de métiers et d’outils étudiés.
Passer à l’action
La cartographie est la première étape de notre audit IA. Si vous voulez savoir ce que vos équipes font déjà avec l’IA, et avec quelles données, parlons-en.
Sources
- Microsoft et LinkedIn, Work Trend Index 2024, résultats France, 7 mai 2024 : news.microsoft.com
- Talan et Ifop, baromètre de l’IA générative, 2025 : talan.com
- Commission européenne, cadre réglementaire sur l’IA : digital-strategy.ec.europa.eu
- ActuIA, « Calendrier AI Act : ce qui s’applique, ce que l’omnibus reporte », 6 octobre 2026 : actuia.com
- CNIL et France Num, « Utiliser l’IA générative dans les TPE et PME », 2025 : cnil.fr
