Cartographier les usages de l'IA, c'est établir qui utilise quels outils, pour quelles tâches, sur quelles données et pour quel gain, avant d'écrire la moindre règle. La méthode CARTE du Cabinet Flourens le fait en cinq étapes sur deux semaines et aboutit à une carte d'une page, avec une décision par usage : garder et encadrer, outiller ou arrêter.
Qu'est-ce qu'une cartographie des usages de l'IA ?
C'est une photographie, prise en deux semaines, de ce que vos équipes font réellement avec l'intelligence artificielle. Elle répond à quatre questions : qui l'utilise, pour quelle tâche, sur quelles données, et pour quel gain. Elle tient sur une page, parce qu'elle sert à décider.
L'unité de la carte n'est pas l'outil, c'est l'usage : une tâche, faite par des personnes, avec un outil, sur des données. « Résumer les tickets du support avec un compte gratuit » est un usage. « ChatGPT » n'en est pas un. Cette différence change tout : le même outil peut servir à traduire une page déjà publiée, ce qui ne pose aucune difficulté, et à analyser un export du CRM avec les chiffres de vos clients, ce qui en pose plusieurs.
La plupart des dirigeants que nous rencontrons partagent la même impression : l'IA est entrée dans l'entreprise par les salariés, pas par la direction. Les moyennes nationales le confirment. Selon le baromètre France Num 2026, 53 % des PME françaises utilisent une solution d'IA. Selon Coface et Les Echos Études, 60 % des entreprises n'ont aucun cadre formalisé d'usage. Ce sont des moyennes : elles ne disent rien de votre entreprise. C'est le rôle de la carte.
Cartographie, audit, inventaire : quelle différence ?
L'inventaire regarde les outils, l'audit compare à une référence, la cartographie regarde les usages. Les trois se complètent, mais ils ne répondent pas à la même question et ne produisent pas le même livrable.
| Inventaire des outils | Cartographie des usages | Audit | |
|---|---|---|---|
| La question | Quels outils payons-nous, qui en est responsable ? | Qui utilise quoi, sur quelles données, pour quel gain ? | Ce qui existe est-il conforme à une référence ? |
| La matière | Relevés bancaires, notes de frais, consoles d'administration | Inventaire, questionnaire anonyme, entretiens | Documents, contrôles, tests |
| L'unité | L'outil | L'usage | L'écart |
| Le livrable | Une liste d'outils et de propriétaires | Une carte d'une page et une décision par usage | Un rapport d'écarts |
| Son angle mort | Les comptes personnels gratuits | La conformité détaillée d'un outil | Les usages que personne n'a déclarés |
La méthode CARTE commence par un inventaire, c'est son étape C. Elle prépare un éventuel audit sans le remplacer : on n'audite bien que ce que l'on a recensé. Si votre besoin est de vérifier la conformité d'un outil ou d'un processus précis, lisez notre guide consacré à l'audit ia entreprise. Si vous voulez d'abord savoir ce qui se passe chez vous, la cartographie vient en premier.
Pourquoi cartographier les usages de l'IA avant de les encadrer ?
Parce qu'une règle écrite sans connaître les usages réels est contournée dès le lendemain. Mesurer avant d'interdire : c'est le principe de la méthode, et la seule façon de faire sortir le shadow AI de l'ombre plutôt que de l'y pousser davantage.
Les risques sont concrets. Selon Okta, 23 % des salariés français partagent des documents confidentiels avec des IA. Selon Okta et EY, 31 à 44 % apportent leurs propres outils au travail. Un salarié qui colle un fichier client dans un compte personnel ne cherche pas à nuire : il a trouvé un moyen de gagner une heure, et personne ne lui a dit comment faire autrement. La CNIL recommande d'éviter de saisir des données personnelles ou confidentielles dans un service grand public, de préférer des comptes professionnels, de désactiver la réutilisation des données quand c'est possible et de définir les usages autorisés dans une charte IA. Aucune de ces recommandations ne s'applique sans savoir d'abord où sont les usages.
Il y a aussi ce que l'on perd à ne pas savoir. Les bonnes façons de faire restent individuelles : une consigne qui fait gagner du temps à un développeur ne profite pas à ses collègues. Les licences payées dorment pendant que des comptes personnels servent. La carte fait apparaître les deux.
Usage IA en entreprise : qu'est-ce qui compte comme un usage ?
Un usage de l'IA en entreprise est une tâche de travail réalisée avec un outil d'IA, par une ou plusieurs personnes, sur des données identifiables. Il se décrit par un verbe et un objet, et se rattache à un pôle, un outil et un type de compte.
Comptent comme des usages :
- les assistants génératifs utilisés pour rédiger, résumer, chercher, analyser, traduire ou coder, avec un compte personnel ou fourni par l'entreprise ;
- les fonctions d'IA ajoutées par une mise à jour dans des logiciels déjà payés : CRM, outil de support, suite bureautique, outils de développement ;
- les extensions de navigateur qui lisent ce qui s'affiche à l'écran ;
- les outils de transcription de réunions, de génération d'images ou de présentation ;
- les essais ponctuels qui se répètent chaque semaine.
Ne comptent pas comme des usages distincts : deux personnes qui font la même tâche avec le même outil (c'est un usage, avec deux utilisateurs), ni un outil installé que personne n'utilise (c'est une ligne de l'inventaire, à garder ou à résilier). Pour chaque usage, la carte retient le nombre approximatif d'utilisateurs, les données engagées et le gain déclaré. Si un usage touche des données sensibles ou des informations sur des personnes identifiables, le RGPD s'applique en plus de l'AI Act.
Comment cartographier les usages de l'IA : la méthode CARTE
La méthode CARTE tient en cinq étapes, une par lettre, sur deux semaines. C'est la méthode nommée du Cabinet Flourens, et la première étape d'Ardoise, notre accompagnement de six semaines pour mettre l'IA en ordre de marche.
| Étape | Ce que l'on fait | Ce que l'on obtient | Quand |
|---|---|---|---|
| C · Compter les outils | Relever ce qui se voit sans demander à personne | La liste des outils, des comptes et des propriétaires | Semaine 1 |
| A · Anonymement, demander | Diffuser un questionnaire anonyme centré sur les tâches | Le nombre d'utilisateurs, la part de comptes personnels, les types de données | Semaine 1 |
| R · Rencontrer | Mener 8 à 12 entretiens de 30 minutes | Ce qui marche, ce qui inquiète, les usages cachés | Semaines 1 et 2 |
| T · Trier | Placer chaque usage sur deux axes : données engagées et gain | La matrice qui dit où regarder d'abord | Semaine 2 |
| E · Établir la carte et décider | Une décision par usage, un propriétaire, une échéance | La carte d'une page | Fin de semaine 2 |
Côté entreprise, l'effort reste mesuré : le dirigeant participe au lancement et au jalon de fin de deuxième semaine, chaque manager rencontré donne 30 minutes, un référent interne ouvre les portes environ deux heures par semaine.
C · Comment compter les outils sans demander à personne ?
En regardant cinq sources qui existent déjà dans vos comptes et vos logiciels : les abonnements payés par l'entreprise, les comptes créés avec l'adresse de l'entreprise, les extensions de navigateur, les notes de frais et les fonctions d'IA activées dans les logiciels déjà payés. Une demi-journée avec la personne qui gère les accès suffit souvent à les rassembler.
Pour chaque outil, notez six informations : comment vous l'avez repéré, qui le paie, combien de comptes sont connus, qui en est le propriétaire interne, ce que l'outil fait des données (réutilisation désactivée, active ou à vérifier) et une remarque. Notre modèle d'inventaire des outils et abonnements suit la même logique pour l'ensemble des logiciels.
Deux limites à connaître. L'étape C regarde les outils, jamais le contenu des échanges : nous ne lisons ni historique ni conversation, et c'est ce qui rend crédible le questionnaire qui suit. Surtout, elle ne voit pas les comptes personnels gratuits ouverts avec une adresse personnelle. Pour eux, il faut demander.
A · Comment interroger les équipes anonymement ?
Par un questionnaire de dix minutes, centré sur les tâches et pas sur les fautes, diffusé par la direction et réellement anonyme. Personne n'avoue une faute dans un formulaire ; tout le monde décrit volontiers son travail.
Le questionnaire couvre six blocs : le pôle (regroupé assez largement), les outils et leur fréquence, le type de compte, les tâches, les données saisies (documents internes, de clients, données personnelles, chiffres, code, informations sur des collègues, de « jamais » à « souvent »), le temps gagné et la relecture, enfin le cadre connu et ce qui aiderait. Cinq conditions font un anonymat réel :
- un outil de formulaire qui n'enregistre ni nom, ni adresse e-mail, ni adresse IP, option vérifiée avant l'envoi ;
- une restitution regroupée : aucun résultat pour un groupe de moins de cinq personnes ;
- une mention d'information qui précise la finalité, la base légale, la durée de conservation et le contact pour exercer ses droits ;
- la phrase « aucune conséquence » écrite noir sur blanc ;
- le CSE informé avant la diffusion, s'il existe.
À la lecture, trois chiffres d'abord : le taux de participation (la photo est-elle fiable ?), le nombre d'utilisateurs (quelle ampleur ?), la part de comptes personnels (quelle urgence ?). Dans l'exemple fictif du guide, un éditeur de logiciel de 55 salariés obtient 41 réponses, 31 utilisateurs et 48 % de comptes personnels. Exemple illustratif, entreprise fictive : vos chiffres seront les vôtres.
R · Qui rencontrer, et que leur demander ?
Huit à douze personnes, en entretiens de 30 minutes, choisies pour couvrir les métiers plutôt que la hiérarchie. Le questionnaire dit combien ; les entretiens disent comment et pourquoi.
La liste se fixe avec le dirigeant au lancement : trois à cinq managers (un par pôle au moins), deux à quatre utilisateurs avancés qui se proposent eux-mêmes, une ou deux personnes qui utilisent peu ou pas l'IA, le référent interne et la personne qui gère les outils et les accès. On demande des volontaires : on ne lève jamais l'anonymat du questionnaire pour choisir qui rencontrer.
Les 30 minutes suivent une grille simple : ouvrir en rappelant que ce n'est pas une évaluation, décrire le poste, montrer un usage réel, parler des données (ce qu'on n'y mettrait jamais, ce qu'on y met sans hésiter), du gain, puis du cadre. Une question fait toujours parler : « si demain cet usage était interdit, que se passerait-il dans votre équipe ? ». La fiche d'entretien ne porte aucun nom, seulement un numéro. Le temps gagné déclaré sert à trier, pas à promettre.
T · Comment trier les usages : données engagées et gain ?
Chaque usage se place sur deux axes : les données qu'il engage (publiques, internes, confidentielles ou personnelles) et le gain qu'il apporte au travail (faible, réel ou fort). La case obtenue propose une décision ; le dirigeant tranche ensuite.
| Données engagées | Gain faible | Gain réel | Gain fort |
|---|---|---|---|
| Personnelles | Arrêter, avec une alternative | Outiller | Outiller |
| Confidentielles | Arrêter, avec une alternative | Outiller | Outiller |
| Internes | Garder et encadrer | Garder et encadrer | Garder et encadrer |
| Publiques | Garder et encadrer | Garder et encadrer | Garder et encadrer |
Deux règles évitent les erreurs. En cas de doute sur les données, prenez toujours le niveau le plus élevé. Et un usage qui touche un domaine sensible (tri de candidatures, évaluation de salariés, accès à des services essentiels, biométrie) ne se trie pas comme les autres : il relève potentiellement d'un système d'IA à haut risque au sens de l'annexe III de l'AI Act, et s'examine avec votre conseil.
E · Comment établir la carte et décider ?
En donnant à chaque usage une décision parmi trois, un propriétaire et une échéance, sur une seule page. Garder et encadrer : l'usage continue avec des règles écrites (données autorisées, relecture, référent). Outiller : un compte professionnel, des réglages vérifiés, parfois une automatisation de la tâche. Arrêter : l'usage cesse, avec une alternative proposée le jour même, faute de quoi il continue dans l'ombre.
Un écart entre la position proposée par la matrice et la décision retenue est possible : il se justifie par écrit. Dans l'exemple fictif du guide, douze usages donnent cinq décisions « garder et encadrer », cinq « outiller » et deux « arrêter », dont la présélection de candidatures, arrêtée et remplacée par une grille de lecture humaine en attendant l'avis du conseil.
État des lieux IA entreprise : que contient la carte finale ?
Un état des lieux de l'IA en entreprise, au sens de la méthode CARTE, tient sur une page et se lit en cinq minutes. Il contient trois blocs.
En haut, ce que l'on sait : le nombre d'outils recensés et d'outils sans propriétaire, le taux de participation au questionnaire, la part de répondants qui utilisent l'IA, la part de comptes personnels, la part d'utilisateurs qui y mettent des documents de clients, le nombre d'entretiens. Au milieu, la liste des usages, chacun avec ses données engagées, son gain, sa décision, son propriétaire et son échéance. En bas, le décompte des trois décisions et les points à examiner avec votre conseil.
Ce n'est pas un rapport de cinquante pages. C'est le document que vous relisez au jalon, que vous présentez au comité de direction, dont une version regroupée et anonyme peut être partagée avec le CSE, et qui sert de première page quand un grand compte vous envoie son questionnaire fournisseur sur l'IA.
Que faire de la carte : registre, AI Act et article 4 ?
La carte devient le registre de vos usages, le point de départ du plan de formation et la base de l'information du CSE. Elle ne vaut ni certificat ni avis de conformité.
Côté AI Act, une PME qui utilise un système d'IA sous sa propre autorité est « déployeur » au sens de l'article 3 du règlement (UE) 2024/1689. Chaque ligne de la carte gagne deux colonnes : ce rôle, et le niveau de risque de l'usage. Les pratiques interdites (comme la reconnaissance des émotions sur le lieu de travail) s'arrêtent sans discussion. Les usages à haut risque de l'annexe III, dont l'emploi et la gestion des travailleurs, relèvent des obligations du déployeur de l'article 26 à partir du 2 décembre 2027, date fixée par le règlement omnibus (UE) 2026/1744. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Le reste relève du risque minimal : vos règles d'usage suffisent.
Côté maîtrise de l'IA, l'article 4 s'applique depuis le 2 février 2025 et constitue, depuis le règlement omnibus, une obligation de moyens : l'entreprise prend des mesures et doit pouvoir le montrer, sans certification imposée. La carte donne les profils : un socle commun pour tous, un approfondissement pour les utilisateurs quotidiens, un niveau plus poussé pour les référents. Le plan de formation en découle directement.
Faut-il informer le CSE avant de cartographier ?
Oui, s'il existe : informez-le de la démarche avant de diffuser le questionnaire. Dans les entreprises d'au moins 50 salariés, le CSE est informé et consulté sur l'introduction de nouvelles technologies (Code du travail, article L2312-8). Le 21 mai 2026, la cour d'appel de Paris a confirmé la suspension de l'usage d'outils d'IA générative dans une entreprise qui ne l'avait pas consulté, y compris pour un usage facultatif ou déjà pratiqué (n° 25/13234).
La cartographie elle-même ne déploie aucun outil : elle décrit ce qui existe. Elle prépare en revanche la consultation, en donnant au CSE une vision regroupée et anonyme des usages, des outils et des décisions envisagées. La question de savoir si une consultation formelle est requise, et sous quelle forme, relève de votre avocat.
Combien de temps prend une cartographie des usages de l'IA ?
Deux semaines avec la méthode CARTE. La première est consacrée à l'inventaire des outils et au questionnaire, ouvert environ une semaine avec une relance à mi-parcours ; les premiers entretiens commencent. La seconde termine les entretiens, trie les usages et écrit la carte, relue au jalon de fin de semaine.
Dans Ardoise, ce sont les semaines 1 et 2 : la suite (règles d'usage, note au CSE, automatisations, atelier, dossier de preuve) part des décisions prises sur la carte. Vous pouvez aussi conduire la méthode seul : le guide PDF détaille chaque étape et l'outil Excel « La carte des usages IA » suit les cinq lettres, un onglet par étape, avec un exemple fictif pré-rempli. Il calcule la synthèse du questionnaire, la position de chaque usage et le décompte des décisions.
Par où commencer cette semaine ?
Par l'étape C : une demi-journée pour relever les abonnements, les comptes, les extensions, les notes de frais et les fonctions activées. Puis préparez la mention d'information du questionnaire et prévenez le CSE s'il existe.
Téléchargez le guide PDF de 31 pages et l'outil Excel pour suivre la méthode pas à pas. Si vous préférez commencer par une conversation, la Revue des usages IA est un échange offert de 30 minutes en visio avec Clément Marchal : qui utilise l'IA chez vous, sur quelles données, à partir de ce que vous savez déjà. Ce n'est pas la méthode complète, c'est un premier état des lieux ; si Ardoise vous sert, une proposition de deux pages arrive sous 48 heures.
Ce guide est une information générale, à jour au 17 octobre 2026, à compléter par l'avis d'un conseil. Il ne constitue pas un avis juridique : faites valider vos décisions, notamment sur les usages sensibles et la consultation du CSE, par votre avocat.