Directeur IA externalisé : sa mission en PME et ce que garde la direction

En 2025, 18 % des entreprises françaises de 10 salariés ou plus déclaraient utiliser au moins une technologie d’IA, selon l’Insee. Parmi celles qui n’en utilisaient pas, 54 % invoquaient le manque d’expertise. Le directeur IA externalisé répond à ce manque : un spécialiste à temps partagé, présent quelques jours par mois.

Sa mission se découpe en trois blocs. Le prestataire inventorie d’abord les usages, y compris ceux que la direction ignore, puis rédige la politique d’usage et organise la formation. Il évalue enfin les fournisseurs d’outils et prépare les exigences de leurs contrats.

La signature, le budget et le pouvoir disciplinaire restent au dirigeant, qui valide chaque livrable. Le volume de jours en découle. Quand le cabinet du prestataire vend aussi des outils, son indépendance s’écrit dans la lettre de mission.

Directeur IA externalisé : une fonction qu’aucun texte n’impose

Transparence : le fondateur d’ExternFlow a aussi fondé LAPLUME.MG, agence de production de contenus et de services externalisés installée à Madagascar. Aucun prestataire n’est recommandé ici, et notre déclaration d’intérêts détaille ce point.

Le règlement européen sur l’IA (AI Act) ne crée aucun poste obligatoire. Son article 4, applicable depuis le 2 février 2025, a été réécrit par le règlement (UE) 2026/1744 du 8 juillet 2026. Fournisseurs et déployeurs doivent désormais prendre des mesures pour développer la maîtrise de l’IA de leur personnel.

Aucun niveau précis n’est exigé pour chaque salarié. Il s’agit d’une obligation de moyens, et la Commission doit publier des exemples pratiques destinés en particulier aux PME.

La CNIL ne demande pas davantage de titre. Dans ses questions-réponses de juillet 2024 sur l’IA générative, elle évoque un comité éthique ou la désignation d’un référent pour les usages sensibles. Le recours à un directeur IA dépend donc du travail à faire dans l’entreprise.

Bloc 1 : cartographier les usages et l’IA fantôme

La statistique publique ne voit qu’une partie des usages. Selon l’Insee, ses réponses n’incluent pas, en principe, l’utilisation ponctuelle de l’IA par des salariés à titre individuel. Ces usages non déclarés, appelés IA fantôme, échappent aussi à la direction.

Leur ampleur est mesurée ailleurs. Le Work Trend Index de Microsoft et LinkedIn a interrogé 31 000 personnes dans 31 pays en 2024. Selon cette étude mondiale, 78 % des utilisateurs d’IA apportaient leurs propres outils au travail, et 80 % dans les petites et moyennes entreprises.

L’inventaire se mène service par service, par entretiens et par la revue des abonnements payés. Pour chaque outil, il relève les données saisies, le compte utilisé (personnel ou professionnel) et le rôle de l’entreprise au sens de l’AI Act. Les risques propres aux pièces comptables sont détaillés dans notre article sur le shadow AI en comptabilité.

L’article 25 de l’AI Act transforme un déployeur en fournisseur dans trois cas, que l’inventaire signale au dirigeant.

• Une marque apposée par l’entreprise sur un système à haut risque.
• Une modification substantielle du système.
• Un changement de destination qui rend le système à haut risque.

Il repère aussi les usages de l’annexe III de l’AI Act, comme le tri de candidatures ou l’évaluation de la solvabilité des personnes. Ces systèmes à haut risque appellent des obligations propres, décrites plus bas.

Bloc 2 : politique d’usage et formation du personnel

La CNIL recommande d’encadrer l’utilisation de l’IA générative par des politiques ou chartes internes qui listent les usages autorisés et les usages interdits. Elle cite aussi des formations obligatoires préalables et des contrôles réguliers.

La politique d’usage compte quelques pages et répond à trois questions par outil : qui l’utilise, avec quelles données, pour quel usage. Elle interdit la saisie de certaines données confidentielles ou personnelles, comme le recommande la CNIL, et prévoit la procédure pour demander un nouvel outil. Le salarié y décrit l’usage envisagé et les données concernées. La demande suit ensuite le circuit de validation de la direction.

La formation découle de l’article 4. Elle vise d’abord les équipes qui utilisent l’IA sur des données de clients ou de salariés, et s’adapte aux outils autorisés par la politique. Le prestataire met à jour la liste des personnes formées, qui sert de preuve des mesures prises.

Les systèmes à haut risque ajoutent une étape à partir du 2 décembre 2027. Avant leur mise en service, l’employeur informe les représentants des travailleurs et les salariés concernés (article 26, paragraphe 7). Un outil de tri de candidatures entre dans ce cas.

Bloc 3 : choisir et contrôler les fournisseurs d’IA

La CNIL conseille de partir de besoins concrets et de demander la documentation de l’outil, voire des évaluations externes. Pour des données de clients ou de collaborateurs, elle privilégie un déploiement sur site. En mode cloud, un contrat de sous-traitance au sens de l’article 28 du RGPD devient nécessaire, avec l’encadrement des transferts hors de l’Union.

La réutilisation des données par le fournisseur, pour entraîner ses modèles par exemple, s’analyse au cas par cas. Le prestataire la vérifie dans les conditions de chaque outil et la consigne dans la grille d’évaluation, qui compare aussi les points suivants. La même grille sert à réévaluer les outils déjà en place, à chaque renouvellement d’abonnement.

• Le lieu d’hébergement des données et les transferts hors de l’Union.
• La durée de conservation des requêtes et des fichiers envoyés à l’outil.
• L’export des données en fin de contrat, dans un format ouvert.
• La documentation fournie sur le fonctionnement et les limites de l’outil.

Le prestataire spécifie les exigences, et un juriste rédige les clauses. La loi du 31 décembre 1971 encadre la consultation juridique et la rédaction d’actes pour autrui. Exercées à titre habituel et rémunéré, elles sont réservées aux professions qui en ont la compétence. Une profession non réglementée ne peut les pratiquer qu’à titre accessoire.

Le calendrier concerne aussi les contrats en cours. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Celles des déployeurs de systèmes à haut risque s’appliqueront au 2 décembre 2027 pour l’annexe III. Notre article sur le report de l’AI Act et les clauses IA donne la clause type indexée sur l’obligation.

Ce que la direction garde

Le partage suit une règle simple : le prestataire propose et documente, la direction décide et signe. La charte de déontologie de Syntec Conseil pour le secteur public rappelle que le consultant n’a pas à se substituer aux décideurs.

Ce que le directeur IA externalisé propose, ce que la direction décide

Répartition ExternFlow, à recopier dans la lettre de mission.

La sanction d’un salarié qui enfreint la politique reste à l’employeur. Le directeur IA constate le manquement et le rapporte, sans aucune autorité hiérarchique sur le personnel. Le DPO, quand l’entreprise en a désigné un, est associé à chaque analyse d’impact, comme le recommande la CNIL.

La direction désigne enfin un interlocuteur interne. Il reçoit les livrables, organise les entretiens et suit les demandes d’outils entre deux visites du prestataire.

Lettre de mission et livrables à 30, 90 et 180 jours

La lettre de mission décrit le périmètre, les livrables et leurs dates, les accès accordés, le volume de jours et la règle d’indépendance. Les accès se limitent à la lecture des abonnements et aux entretiens, sans droits d’administration sur les outils. Les livrables suivants correspondent aux trois blocs.

Livrables du directeur IA externalisé à 30, 90 et 180 jours

Calendrier type ExternFlow pour une PME sans fonction IA interne.

Le statut du prestataire change la durée possible. En portage salarial, la mission répond à une tâche occasionnelle ou à une prestation ponctuelle et ne dépasse pas 36 mois. Notre article sur le directeur marketing externalisé détaille ces statuts, qui s’appliquent à toute direction à temps partagé.

La lettre prévoit aussi la sortie. Le prestataire remet les inventaires, la politique et les grilles dans un format modifiable, pour qu’un successeur ou un salarié reprenne le travail.

Combien de jours par mois prévoir

Aucune source publique ne donne un volume de jours ou un tarif journalier de référence pour cette fonction. Le volume se calcule donc à partir des livrables, avec les hypothèses du prestataire, poste par poste.

Estimer le volume de jours : la méthode ExternFlow

Hypothèses ExternFlow, sans valeur de marché : à remplacer par les estimations du prestataire, poste par poste.

Pour une PME de 6 services et 8 outils, ces hypothèses donnent 3 jours d’entretiens et 8 jours de revue d’outils au premier trimestre. La rédaction de la politique et 4 sessions de formation ajoutent 4 à 5 jours. Le volume baisse ensuite, et le contrat doit le prévoir. Les entretiens se répartissent sur 2 ou 3 semaines, pour ne pas mobiliser tous les services en même temps.

Un devis à volume constant sur 12 mois ignore ce profil. Demandez le détail par poste, puis comparez les jours proposés aux livrables attendus à chaque échéance. Le prestataire rend compte chaque mois des jours consommés, poste par poste.

Conflit d’intérêts : le cabinet qui vend aussi les outils

Aucun texte ne traite le conseil en IA qui revend des logiciels. Les règles voisines montrent la voie. La charte Syntec Conseil demande au consultant de faire connaître ses liens capitalistiques, financiers ou commerciaux avec ses fournisseurs. Les conflits se traitent par le déport ou par l’étanchéité entre équipes.

Dans le déport, le consultant s’abstient d’évaluer un outil qu’il distribue. L’étanchéité sépare les équipes qui conseillent de celles qui vendent, avec des dossiers distincts et des accès différents aux données du client.

Un arrêt de la Cour de justice de l’Union du 9 février 2023 limite les tâches qu’un délégué à la protection des données peut cumuler. Celles qui le conduisent à fixer les finalités et les moyens d’un traitement lui sont fermées. Notre article sur le DPO externalisé applique ce critère.

Transposé au conseil en IA, ce critère écarte de l’évaluation d’un outil le consultant qui le vend ou en tire une commission. La clause d’indépendance, recommandation ExternFlow, comporte trois engagements. Le prestataire déclare ses partenariats, ne perçoit aucune commission des éditeurs qu’il recommande et se retire de toute évaluation d’un outil qu’il distribue.

Signer la lettre de mission avant le premier outil

Faites signer la lettre de mission, avec la répartition des décisions et la clause d’indépendance, avant l’inventaire. Aucun outil n’est recommandé avant cette signature.

Le choix des activités à externaliser se fait avec notre grille du make or buy.

Sources et références

Cet article s’appuie notamment sur le règlement (UE) 2024/1689 sur l’intelligence artificielle, sur le règlement (UE) 2026/1744 du 8 juillet 2026 et sur les questions-réponses de la CNIL sur l’IA générative. Il repose aussi sur l’Insee Première n° 2120 sur les TIC dans les entreprises, sur le Work Trend Index 2024 de Microsoft et LinkedIn, sur la charte de déontologie de Syntec Conseil, sur l’arrêt X-FAB Dresden de la Cour de justice, sur l’article 54 de la loi du 31 décembre 1971 et sur les articles du Code du travail sur le portage salarial.