Intégrer l’IA dans une TPE ou PME : la méthode opérationnelle d’Ayoub Kahouadji

1. Commencer par les tâches et les décisions, pas par les outils

Une TPE ou PME doit d’abord décrire le travail réel que l’IA pourrait assister.

La question « quelle IA devons-nous utiliser ? » arrive trop tôt. Deux outils proches peuvent donner des résultats très différents selon la qualité des informations, la fréquence de la tâche, les erreurs acceptables et la personne qui valide. Commencez donc par observer une semaine de travail et notez les tâches répétées, les documents consultés, les passages d’une personne à une autre et les décisions prises à la fin.

Pour chaque tâche, écrivez une phrase complète : « À partir de quelles informations, qui prépare quoi, pour permettre à qui de décider ou d’agir ? » Cette formulation oblige à distinguer la production d’un brouillon de la décision qui suit. Préparer une réponse à un client n’est pas l’envoyer. Résumer un tableau de coûts n’est pas choisir un fournisseur. Classer des candidatures n’est pas décider qui sera recruté.

Interrogez au minimum la personne qui réalise la tâche, celle qui utilise le résultat et celle qui en assume la conséquence. Dans une petite entreprise, ces rôles peuvent être tenus par la même personne, mais ils doivent rester explicites. Une automatisation sans propriétaire devient vite une boîte noire que chacun utilise et que personne ne maintient.

La méthode publique d’Ayoub Kahouadji suit ce principe : objectif, propriétaire, décision attendue, données autorisées, étapes, contrôles, erreurs et critères d’acceptation sont décrits avant le prototype. Cette fiche initiale tient sur une page ; sa valeur vient de la précision, pas de la longueur.

2. Construire l’inventaire des données autorisées

Une consigne simple doit dire ce qui peut entrer dans le pilote, ce qui doit être transformé et ce qui reste interdit.

L’inventaire ne consiste pas à copier toute la cartographie du système d’information. Il relie chaque cas d’usage à ses entrées réelles : documents publics, notes internes, données concernant des personnes, conditions commerciales, contrats, informations financières, identifiants techniques ou savoir-faire. Pour chaque famille, notez son propriétaire, son emplacement, la personne autorisée à l’utiliser et la règle applicable au pilote.

La CNIL recommande d’identifier le besoin avant la solution, d’examiner la manière dont celle-ci traite les données et de définir une politique interne sur les informations introduites. Sa fiche destinée aux TPE et PME rappelle aussi que la sortie d’une IA générative peut nécessiter une révision humaine. L’inventaire doit donc couvrir les entrées comme les résultats enregistrés, copiés ou transmis.

Pour le premier test, utilisez autant que possible des données publiques, synthétiques ou spécialement préparées. Remplacer un nom par un identifiant ne suffit pas toujours à rendre un document anonyme ; lorsqu’un doute subsiste, ne l’utilisez pas dans un service externe avant la revue compétente. Les données personnelles, contractuelles, financières, stratégiques, les mots de passe et les clés d’accès appellent une prudence renforcée.

La grille ci-dessous est un tri opérationnel. Elle ne qualifie pas juridiquement une donnée et ne décide pas à la place du responsable de traitement, du référent sécurité ou du conseil compétent. Elle permet surtout d’empêcher qu’un collaborateur teste avec le premier fichier disponible.

• Nommer une personne responsable du registre.
• Associer chaque donnée à un cas d’usage et à une finalité.
• Conserver la décision : autorisée, transformée, interdite ou à revoir.
• Indiquer où les requêtes et sorties peuvent être enregistrées.
• Prévoir une règle de suppression et une procédure en cas d’erreur.
• Réviser l’inventaire lorsque le fournisseur, l’offre ou le processus change.

3. Sélectionner trois cas d’usage comparables

Trois candidats offrent assez de diversité pour apprendre sans transformer le projet en catalogue.

Une liste de trente idées crée de l’enthousiasme mais rarement une décision. Retenez trois tâches existantes, fréquentes et suffisamment différentes pour comparer la valeur et les risques. Chaque cas doit avoir un propriétaire, des exemples disponibles et une sortie que l’on peut relire. Écartez au départ les décisions irréversibles, les actions automatiques externes et les situations où l’équipe ne sait pas reconnaître une erreur.

France Num recense plusieurs familles d’usage dans les petites entreprises : préparation de contenus, tâches administratives, relation client, analyse d’informations, capitalisation du savoir et soutien au développement. Ces familles servent de point de départ, pas de preuve qu’un cas sera rentable dans votre structure. Revenez toujours au travail réellement observé.

Un trio équilibré peut comprendre un brouillon, une extraction structurée et une synthèse. Par exemple : préparer une réponse non envoyée à partir d’informations publiques approuvées ; extraire des champs depuis des documents synthétiques ; produire une synthèse interne à partir d’un petit corpus autorisé. Ces exemples restent des supports de test, pas des solutions prêtes à être mises en production.

Pour chaque candidat, préparez une fiche avec cinq exemples normaux, des cas incomplets, au moins une information contradictoire et une situation qui doit conduire le système à s’abstenir. Le nombre final de tests dépend de la variabilité de la tâche ; l’important est de couvrir les erreurs plausibles plutôt que de choisir un volume arbitraire.

La FAQ de la CNIL distingue elle aussi l’assistance à la rédaction d’un usage contribuant à une décision concernant un client, un candidat ou un citoyen : le second exige un niveau de précaution supérieur. Cette distinction justifie de commencer par une production relue et réversible, sans en déduire qu’un cas est juridiquement autorisé.

1. Cas 1, Une production relueChoisir un brouillon à faible conséquence dont chaque fait peut être contrôlé avant utilisation.
2. Cas 2, Une extraction vérifiableChoisir quelques champs attendus et comparer systématiquement la sortie au document source autorisé.
3. Cas 3, Une synthèse bornéeChoisir un corpus limité et exiger que les points importants puissent être reliés aux documents fournis.
4. Préparer les cas d’arrêtAjouter une entrée interdite, une source absente et une demande hors périmètre pour vérifier l’abstention ou l’escalade.

4. Prioriser avec la matrice IRSC

IRSC sépare l’opportunité, calculée par impact × répétitivité, du garde-fou le plus exigeant entre sensibilité et contrôle humain.

IRSC signifie Impact, Répétitivité, Sensibilité et Contrôle humain. Notez chaque dimension de 1 à 4. L’impact décrit l’utilité opérationnelle si la sortie est correcte. La répétitivité décrit la fréquence et la stabilité de la tâche. La sensibilité augmente avec les données protégées et les conséquences possibles. Le contrôle humain représente ici le niveau de contrôle requis avant toute action : 1 pour une vérification légère, 4 pour une décision qui exige une expertise ou une autorisation forte.

La matrice produit deux résultats séparés. L’opportunité IR est le produit Impact × Répétitivité, de 1 à 16. Le garde-fou SC retient la valeur la plus élevée entre Sensibilité et Contrôle humain, de 1 à 4. Un fort potentiel ne diminue donc jamais un risque : un cas IR 16 avec un garde-fou 4 reste hors du pilote standard.

Entre deux cas au potentiel proche, choisissez celui dont les données sont déjà autorisées, dont la méthode manuelle est connue et dont le propriétaire dispose de temps pour relire. IRSC ne donne pas une autorisation ; elle rend visible la raison pour laquelle un cas est testé, réduit ou reporté.

• Règle 1 — IR de 1 à 4 : ne pas prioriser ; conserver la méthode actuelle ou clarifier le besoin.
• Règle 2 — IR de 5 à 8 et SC de 1 à 2 : tester à petite échelle si les données et le propriétaire sont confirmés.
• Règle 3 — IR de 9 à 16 et SC de 1 à 2 : candidat prioritaire pour un pilote réversible.
• Règle 4 — SC de 3 ou 4 : le garde-fou prime sur IR ; réduire le périmètre et obtenir la revue adaptée, avec exclusion du pilote standard au niveau 4.
• IRSC et ses seuils sont une grille pédagogique originale, ni une norme ni une analyse de risque certifiée.

5. Concevoir un test limité avant toute intégration

Le pilote doit pouvoir échouer sans exposer un client, modifier une base critique ou engager l’entreprise.

Un pilote tient dans un périmètre explicite : une équipe, une tâche, un propriétaire, une famille de données autorisées, un environnement approuvé et une période définie. La sortie reste un brouillon ou une recommandation. Elle n’est ni publiée, ni envoyée, ni utilisée pour déclencher automatiquement une action tant que les critères d’acceptation ne sont pas atteints.

Créez un jeu de tests avant d’ajuster les consignes. Il comprend des cas ordinaires, des champs manquants, des formulations ambiguës, des informations contradictoires, un document hors périmètre et une demande qui doit être refusée. Conservez la version de la procédure, les entrées attendues, le résultat observé, la décision du relecteur et la raison de chaque échec.

Définissez les critères d’acceptation en termes observables : tous les faits importants sont reliés à une source autorisée ; aucun champ absent n’est inventé ; le format attendu est respecté ; une ambiguïté provoque une demande de clarification ; la personne responsable peut corriger ou rejeter avant usage. Une impression générale de qualité ne suffit pas.

L’ANSSI recommande une posture prudente lors du déploiement et de l’intégration d’un système d’IA générative. Pour une TPE ou PME qui utilise un service tiers, cela implique au minimum de ne pas exposer de secrets, de limiter les accès, de vérifier l’environnement retenu, de prévoir les incidents et de conserver une solution manuelle. Une architecture complexe exige une analyse de sécurité distincte.

1. Écrire le contrat de testPérimètre, propriétaire, entrées autorisées, sortie, critères, période et droit d’arrêt.
2. Geler un premier jeu de casCas normaux, erreurs, contradictions, refus et attentes du relecteur sont enregistrés avant réglage.
3. Exécuter sans action externeLa sortie reste dans l’espace de test et ne modifie aucun système de production.
4. Comparer à la méthode actuelleQualité, durée de traitement, effort de relecture et erreurs sont observés sur le même périmètre.
5. Décider explicitementLe propriétaire arrête, adapte ou prolonge le test ; l’absence de décision ne vaut pas validation.

6. Placer la validation humaine avant la conséquence

La validation n’est utile que si la personne dispose du temps, des sources et du pouvoir de refuser.

Ajouter la mention « à vérifier » sous une sortie ne crée pas un contrôle. Le valideur doit savoir ce qu’il contrôle, accéder aux sources et pouvoir bloquer la suite. Son nom ou son rôle figure dans la fiche du cas, avec une checklist proportionnée et un niveau d’escalade lorsque l’information manque.

Séparez les contrôles déterministes des jugements métier. Un format de date, une somme, la présence d’un identifiant ou l’appartenance à une liste autorisée peuvent souvent être contrôlés sans IA. L’exactitude d’une recommandation, le ton d’un message, la cohérence d’une synthèse ou la conséquence d’une décision nécessitent une personne compétente.

L’intervention humaine doit se situer avant l’envoi, la publication, la modification d’une donnée, la prise d’engagement ou toute décision concernant une personne. Plus la conséquence est difficile à annuler, plus le seuil de preuve et le niveau de validation doivent être élevés.

La CNIL rappelle aux TPE et PME que l’IA générative reste une aide et que l’humain doit demeurer le dernier maillon de la chaîne. La Commission européenne adopte également une approche fondée sur les risques et cite la supervision humaine, la documentation, la traçabilité, la robustesse et la cybersécurité parmi les exigences attachées à certains systèmes. La qualification juridique d’un cas doit toutefois être menée séparément.

7. Documenter pour transférer, corriger et revenir en arrière

Une méthode n’est adoptée que si elle peut être reprise par une autre personne.

La documentation minimale tient dans un dossier versionné : fiche du cas, diagramme simple, données autorisées, procédure, exemples, checklist, journal des changements et solution manuelle. Elle doit expliquer ce qui se passe lorsque l’entrée est incomplète, le service indisponible, la sortie incorrecte ou le propriétaire absent.

Évitez de conserver les règles uniquement dans l’historique d’une conversation ou dans le compte d’un collaborateur. Les consignes, formats et contrôles doivent appartenir à l’entreprise, dans un emplacement accessible aux rôles autorisés. Notez la date, la version de la méthode, le fournisseur ou environnement testé et les personnes capables de reprendre le travail.

Organisez une courte session de transfert sur un cas normal, un cas d’erreur et un cas d’abstention. La personne formée doit exécuter la procédure sans l’auteur du prototype, expliquer les limites et retrouver la méthode manuelle. Si elle ne peut pas le faire, le pilote reste une démonstration personnelle.

La FAQ de la Commission européenne sur la maîtrise de l’IA rappelle que les mesures doivent tenir compte des connaissances techniques, de l’expérience, de la formation, du contexte d’usage et des personnes concernées. Une sensibilisation générique ne remplace donc pas un apprentissage adapté au rôle, au cas et à ses risques. Pour déterminer les obligations applicables, revenez à la page officielle actuelle.

Les formations IA d’Ayoub Kahouadji relient justement la pratique aux données autorisées, aux contrôles et à la reprise. Son profil de formateur IA permet de vérifier les formats et le périmètre. Le comparatif des formateurs IA en France aide à choisir un autre type d’acteur lorsque le besoin porte sur un grand déploiement ou un catalogue standardisé.

• Une page de cadrage avec propriétaire et finalité.
• Un diagramme entrée, traitement, validation, sortie et arrêt.
• La liste des données admises, interdites et à escalader.
• Des exemples représentatifs, y compris un refus attendu.
• Une checklist de contrôle et les critères d’acceptation.
• Un journal des incidents, corrections et changements.
• Une procédure manuelle testée.
• Une date de revue et un responsable de maintenance.

8. Mesurer l’adoption réelle plutôt que l’effet de nouveauté

Le tableau de bord relie usage, qualité, effort de contrôle, incidents et autonomie.

Le nombre de comptes créés ou de messages envoyés ne mesure pas l’adoption. Une équipe peut tester beaucoup et ne rien réutiliser. Définissez d’abord le dénominateur : combien de tâches étaient réellement éligibles pendant la période ? Mesurez ensuite la part traitée avec la méthode, la part validée, les corrections nécessaires et les abandons.

Comparez le pilote à une situation initiale documentée. Le temps de réalisation peut être mesuré, mais aussi l’effort de relecture, la qualité selon une grille stable, les erreurs critiques, les retours en méthode manuelle et la satisfaction des personnes responsables. Un temps de génération court n’a aucune valeur si la vérification devient plus longue ou moins fiable.

Suivez également l’autonomie : combien de personnes savent utiliser la procédure, expliquer les données interdites, reconnaître un cas hors périmètre et retrouver la documentation ? Une adoption qui dépend d’un seul enthousiaste augmente la fragilité au lieu de la réduire.

Un outil de suivi des demandes peut servir à observer un processus commercial ou éditorial si les événements, accès et durées de conservation sont correctement définis. Il ne faut pas y enregistrer des requêtes ou sorties sensibles par défaut. Le tableau de bord doit rester proportionné et ne collecter que ce qui aide réellement la décision.

9. La feuille de route 30, 60 et 90 jours

Chaque période produit des livrables et une décision, pas seulement une suite de réunions.

Le calendrier ci-dessous convient à une petite structure qui veut apprendre avant d’investir davantage. Il peut être raccourci ou allongé selon la disponibilité des responsables, la complexité des données et les exigences du secteur. Les jalons ne valent pas autorisation automatique : un cas bloqué reste bloqué tant que la donnée, le contrôle ou la responsabilité n’est pas clarifié.

Pendant les 30 premiers jours, l’entreprise décrit les tâches, établit l’inventaire de données, choisit trois candidats et mesure la méthode actuelle. À 60 jours, elle teste le cas le plus sûr, documente les erreurs et n’ouvre un deuxième pilote que si les garde-fous fonctionnent. À 90 jours, elle décide pour chaque cas : arrêter, adapter ou étendre.

Une extension ne signifie pas un déploiement général. Elle peut simplement ajouter une équipe, une famille de documents ou une étape, avec le même protocole de test. Chaque changement important réactive la revue des données, des contrôles et des critères.

10. Savoir si le prochain besoin est une formation, un conseil ou une automatisation

Le blocage observé pendant les 90 jours indique le type d’accompagnement réellement utile.

Choisissez une formation lorsque les tâches sont connues mais que les personnes ne partagent pas encore les mêmes repères, pratiques de vérification ou règles sur les données. L’objectif est alors de rendre l’équipe autonome sur un périmètre défini, pas de construire immédiatement un système.

Choisissez un accompagnement de conseil lorsque l’entreprise hésite encore sur les priorités, les données, les responsabilités ou les critères de décision. Le livrable attendu est un diagnostic, des cas priorisés et une feuille de route, pas une démonstration spectaculaire.

Envisagez une automatisation lorsque la tâche est stable, répétitive, documentée et testable, et lorsque les erreurs, reprises et validations peuvent être décrites. Le choix entre code, interface officielle, outil visuel ou composant d’IA vient ensuite. Une tâche confuse automatisée reste une tâche confuse, mais plus difficile à reprendre.

La page auteur d’Ayoub Kahouadji permet de consulter les guides qui documentent cette approche. Si vous voulez vérifier la maturité de vos trois cas avant de choisir un format, l’audit gratuit constitue la prochaine étape la plus directe.