Comité IA et Chief AI Officer : qui pilote l’IA en entreprise

Dans beaucoup d’entreprises, l’IA appartient à tout le monde et donc à personne. L’informatique choisit les outils, le DPO s’inquiète des données, les métiers testent de leur côté, la direction demande des résultats. Quand une décision doit être prise, sur un budget, un risque ou une priorité, personne ne sait qui tranche. Un comité IA répond à cette question pour la plupart des organisations. Un Chief AI Officer y répond pour quelques-unes. Cet article explique à quoi servent l’un et l’autre, comment les composer et à partir de quelle taille ils se justifient.

Il complète notre guide stratégie IA en entreprise et s’articule avec notre méthode pour cartographier les cas d’usage IA, dont le comité tient le registre.

En bref

• 76 % des organisations interrogées par IBM déclarent avoir un Chief AI Officer en 2026, contre 26 % en 2025, selon une enquête menée auprès de 2 000 dirigeants (IBM, 4 mai 2026). Le chiffre vient d’un éditeur et ne dit rien de la taille des entreprises interrogées.
• En France, 55 % des DPO ont déjà la conformité au règlement IA dans leur périmètre, d’après l’enquête sur le métier de DPO à l’heure de l’IA publiée par la CNIL le 3 juillet 2026, lancée avec le ministère du Travail et l’AFCDP et réalisée par l’Afpa.
• 85 % de ces DPO n’ont pas suivi de formation spécifique sur l’IA, et moins d’un quart des organisations ont une stratégie ou une politique formelle sur le sujet, selon la même enquête.
• Un comité IA prend cinq types de décisions : priorités, budget, règles, passage en production, arrêt.
• Huit personnes au plus, une réunion mensuelle d’une heure et demie, un pouvoir de décision réel.
• Notre verdict : en dessous de 500 salariés, un comité et un responsable IA à temps partiel suffisent. Le titre de Chief AI Officer n’apporte rien sans équipe ni budget. Voyez notre formation IA générative pour les membres de votre comité IA.

Pourquoi la question du pilotage se pose maintenant

Tant que l’IA se limitait à quelques essais, la question ne se posait pas. Elle arrive avec trois situations concrètes.

Deux services demandent des licences pour deux outils différents qui font la même chose. Qui choisit ? Un pilote donne de bons résultats et il faut un budget pour le généraliser. Qui l’accorde ? Un salarié a collé un fichier clients dans un assistant gratuit. Qui décide de la règle, et qui la fait connaître ?

Faute de réponse, chaque fonction traite sa part du sujet. L’enquête sur le métier de DPO à l’heure de l’IA, à laquelle 2 390 délégués à la protection des données ont répondu entre le 5 et le 21 novembre 2025, donne la mesure du vide : 70 % des organismes répondants utilisent ou prévoient d’utiliser l’IA, et moins d’un quart disposent d’une stratégie ou d’une politique formelle sur le sujet (CNIL, 3 juillet 2026 ; rapport complet). Elle montre aussi où le sujet atterrit souvent : 55 % des DPO indiquent que la conformité au règlement IA entre déjà dans leur périmètre de responsabilité, et 71 % souhaitent que la fonction de DPO soit élargie au contrôle de cette conformité. La même enquête relève que 85 % des DPO déclarent ne pas avoir suivi de formation spécifique sur l’IA. Le sujet est confié à une fonction qui l’accepte, sans toujours en avoir les moyens.

À l’échelle internationale, la réponse passe de plus en plus par un poste. IBM indique que 76 % des organisations interrogées dans son étude annuelle auprès des dirigeants ont un Chief AI Officer en 2026, contre 26 % en 2025 (2 000 dirigeants, 33 zones géographiques, 21 secteurs, enquête menée de février à avril 2026 avec Oxford Economics). Prenez ce chiffre avec prudence : il vient d’un fournisseur de solutions d’IA, le communiqué ne précise pas la taille des entreprises interrogées, et un bond de cinquante points en un an tient, à notre avis, autant à des changements d’intitulé qu’à des créations de poste. Il indique une direction, pas une norme à suivre.

Entre le DPO qui hérite du sujet et le dirigeant dédié, beaucoup de PME et d’ETI ont besoin d’autre chose : un lieu où les décisions se prennent, et une personne qui les prépare.

Trois modèles selon la taille de l’entreprise

La bonne organisation dépend de l’effectif, et tout autant du nombre de cas d’usage en cours. Les seuils qui suivent sont des repères que nous proposons, sans valeur de norme.

Dans une petite structure, créer un comité revient à réunir les mêmes personnes sous un autre nom. Un point fixe à l’ordre du jour de la réunion de direction suffit, à condition qu’il soit tenu chaque mois et qu’une personne le prépare.

C’est le modèle intermédiaire que la suite de l’article détaille.

Le comité IA : cinq décisions, pas une de plus

Un comité utile se définit par ce qu’il décide. Cinq sujets lui reviennent.

1. Les priorités : quels cas d’usage lancer ce trimestre, lesquels attendent, lesquels sont écartés. Il s’appuie sur le registre des cas d’usage et sur leur notation.
2. Le budget : licences, formation, intégration. Il arbitre entre les demandes des services et vérifie que le budget de la suite existe avant d’autoriser un test.
3. Les règles : la charte d’usage, la liste des outils autorisés (à établir avec notre grille d’audit en 12 points), les données que l’on ne saisit pas. Notre modèle de charte d’usage de l’IA fournit une base de travail.
4. Le passage en production : il tient la revue de passage décrite dans notre article sur le POC IA et tranche entre déployer, prolonger une fois et arrêter.
5. L’arrêt : il met fin aux cas qui ne tiennent pas leurs promesses, sur la base des indicateurs.

Tout le reste se traite ailleurs. Le comité ne valide pas chaque usage individuel, ne choisit pas les consignes à la place des équipes et ne remplace ni le DPO ni la direction informatique dans leurs responsabilités propres. Un comité qui veut tout voir devient un guichet d’autorisation. Les demandes s’y empilent, les équipes le contournent, et le shadow IA repart.

Composer le comité : huit personnes au plus

La direction générale préside. Sa présence donne au comité son pouvoir : sans elle, les arbitrages de budget et de priorité remontent ailleurs et le comité se réduit à un groupe de travail.

Les métiers occupent deux sièges, tenus par des responsables de services qui ont un cas d’usage en cours. Ces sièges tournent tous les six mois, pour que le comité entende des services différents et ne devienne pas le club des premiers convaincus.

L’informatique répond de la faisabilité, de la sécurité et de l’état des données. Le DPO, ou le juriste dans les structures qui en ont un, porte les questions de données personnelles et de règlement européen sur l’IA. Les ressources humaines tiennent la formation et le dialogue social, que nous détaillons dans notre article sur la conduite du changement IA. La finance valide les hypothèses de coût et de gain, selon la méthode de notre article sur le ROI de l’IA générative.

Le responsable IA prépare les dossiers, anime la séance et suit les décisions. Il ne préside pas.

À plus de huit, les réunions s’allongent et les décisions se diluent. Les experts dont on a besoin ponctuellement, un fournisseur, un représentant du personnel, un chef de projet, viennent sur invitation pour le point qui les concerne.

L’ordre du jour type

Une heure et demie, une fois par mois, toujours dans le même ordre.

Chaque point de décision arrive avec une fiche d’une page envoyée trois jours avant. Une demande présentée en séance sans dossier est reportée. Cette discipline paraît rigide. Elle évite que le comité passe son temps à découvrir les sujets.

Le compte rendu tient en une page : les décisions, leur responsable, leur date. Il est diffusé aux managers et, dans les entreprises qui en ont un, communiqué au CSE.

Le tableau de bord que le comité regarde chaque mois

Une page, une ligne par cas d’usage. Six colonnes suffisent : le service, le statut (proposé, retenu, en test, déployé, arrêté), l’indicateur principal avec sa valeur de départ et sa valeur du mois, le coût cumulé, le prochain jalon et le nom du responsable.

Deux lignes s’ajoutent en bas de page. La première compte les incidents du mois : réponse fausse partie chez un client, donnée saisie à tort, outil non autorisé repéré. La seconde suit la formation : nombre de personnes formées, sessions à venir.

Ce tableau se lit en dix minutes. S’il en faut trente, il contient trop de choses, ou le comité suit trop de cas à la fois.

Le responsable IA : le rôle qui fait tourner le comité

Avant de parler de Chief AI Officer, il faut parler du rôle que l’on retrouve, sous des intitulés variés, dans les organisations qui avancent : la personne qui tient le sujet au quotidien.

Ses missions sont au nombre de six : tenir le registre des cas d’usage, préparer les dossiers du comité, suivre les pilotes et leurs indicateurs, animer le réseau des référents, organiser la formation avec les ressources humaines, et faire le lien avec le DPO et l’informatique.

Dans une entreprise de 50 à 500 salariés, cette charge représente un à deux jours par semaine (repère indicatif). Elle se confie à quelqu’un qui connaît les métiers de l’entreprise et qui sait conduire un projet. La compétence technique compte moins que la capacité à faire travailler ensemble des fonctions qui ne se parlent pas. Un contrôleur de gestion, une responsable qualité, un chef de projet de la direction des opérations font de bons candidats.

La lettre de mission tient en six lignes : le périmètre (quels services, quels types de cas), le temps alloué chaque semaine, le rattachement hiérarchique pour cette mission, les décisions que le responsable peut prendre seul, celles qui remontent au comité, et la date du premier bilan. La quatrième ligne compte plus qu’il n’y paraît. Un responsable qui doit attendre le comité pour autoriser l’essai d’une fonction déjà sous licence perd un mois à chaque fois.

Faut-il confier ce rôle au DPO ? L’enquête citée plus haut montre qu’une majorité de DPO souhaitent élargir leur fonction dans ce sens. La solution a une logique pour le volet conformité. Elle a une limite : le DPO a pour mission de contrôler, et le responsable IA a pour mission de développer les usages. Réunir les deux dans une même personne crée une tension entre le frein et l’accélérateur. Si vous retenez cette option, séparez clairement les deux casquettes dans la lettre de mission et formez la personne à l’IA, puisque 85 % des DPO interrogés disent ne pas l’avoir été.

Le Chief AI Officer : pour qui, et à quelles conditions

Le Chief AI Officer, ou CAIO, est un membre de la direction chargé de l’ensemble de la politique d’IA de l’entreprise : stratégie, portefeuille de projets, gouvernance, compétences. Il siège au comité de direction ou y rapporte directement.

Quatre conditions justifient le poste. Elles se cumulent.

• L’IA touche l’offre de l’entreprise ou son cœur de métier, et pas seulement ses fonctions support.
• Le portefeuille dépasse la vingtaine de cas d’usage actifs, répartis sur plusieurs entités (repère indicatif).
• Des budgets importants sont en jeu, avec des choix d’architecture et de fournisseurs qui engagent l’entreprise pour plusieurs années.
• Les risques réglementaires sont élevés, par exemple parce que l’entreprise utilise des systèmes classés à haut risque. Notre article sur les niveaux de risque de l’AI Act aide à le vérifier.

Tant qu’elles ne sont pas toutes réunies, un responsable IA rattaché à un membre de la direction fait le travail.

Un Chief AI Officer sans moyens est un titre. Trois éléments distinguent le poste réel de l’affichage : un budget propre, une équipe, même réduite à deux ou trois personnes, et un rattachement à la direction générale. Sans eux, le CAIO passe son temps à convaincre des directions qui gardent la main sur les projets.

À notre connaissance, aucun texte applicable aux entreprises privées en France n’impose de nommer un Chief AI Officer. Le règlement européen sur l’IA fixe des obligations selon le rôle de l’entreprise et le niveau de risque des systèmes, sans prescrire d’organigramme. Faites confirmer ce point par votre conseil juridique si votre secteur est réglementé.

Chief AI Officer, DSI, DPO : qui fait quoi

Les frontières se brouillent vite. Le tableau qui suit propose une répartition.

Une règle simple évite la plupart des conflits : celui qui développe les usages ne contrôle pas leur conformité, et celui qui contrôle ne décide pas des priorités.

Mettre le dispositif en place en 30 jours

La première semaine, la direction rédige la lettre de mission du responsable IA, sur le modèle en six lignes décrit plus haut. Une demi-page suffit. Sans temps dégagé par écrit, le rôle s’ajoute à un poste déjà plein et s’éteint.

La deuxième semaine, le responsable réunit ce qui existe : les outils déjà sous licence, les usages connus, les règles en vigueur. Il ouvre le registre des cas d’usage, même incomplet.

La troisième semaine, la direction désigne les membres du comité et fixe les douze dates de l’année. Le calendrier se bloque d’un coup : un comité dont on cherche la date chaque mois finit par ne plus se réunir.

La quatrième semaine, le comité tient sa première séance. Trois points à l’ordre du jour : valider son propre fonctionnement en une page, arrêter la liste des outils autorisés, choisir les deux ou trois cas d’usage du trimestre.

Les membres du comité ont besoin d’un socle commun avant cette première séance. Un directeur financier, un DPO et un responsable de production ne parlent pas de l’IA avec les mêmes mots. Une demi-journée de formation partagée évite de passer les premières réunions à s’accorder sur le vocabulaire. C’est aussi une manière de répondre à l’article 4 de l’AI Act sur la maîtrise de l’IA, détaillé dans AI Act et plan de formation, et l’occasion de former les membres du comité à l’IA générative avant qu’ils n’aient à trancher.

Un cadre pour aller plus loin : la norme ISO/IEC 42001

Les organisations qui veulent structurer davantage leur gouvernance disposent d’une norme internationale. Publiée le 18 décembre 2023, l’ISO/IEC 42001 spécifie les exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu un système de management de l’intelligence artificielle. Elle s’adresse aux organisations de toute taille qui développent, fournissent ou utilisent des produits ou des services reposant sur l’IA.

La certification représente un investissement que toutes les PME n’ont pas intérêt à engager. La norme reste utile comme liste de contrôle : politique, objectifs, rôles, évaluation des risques, amélioration continue. Un comité IA qui fonctionne en couvre déjà une partie.

Les erreurs qui vident un comité IA de son utilité

Le comité sans pouvoir

Il émet des avis que la direction suit ou non. Les membres comprennent vite que les décisions se prennent ailleurs et envoient des suppléants.

Le comité pléthorique

Quinze personnes pour ne froisser aucune direction. Les réunions durent, rien ne se décide, les agendas ne s’accordent plus.

Le comité de conformité

Composé du DPO, du juriste et de la sécurité, il sait dire ce qui est interdit. Sans les métiers ni la finance, il ne sait pas dire ce qui vaut la peine.

Le comité sans préparation

Personne ne tient les dossiers entre deux séances. Chaque réunion repart de zéro.

Le titre sans le poste

Un Chief AI Officer nommé pour l’annonce, sans budget ni équipe, rattaché à une direction qui a d’autres priorités.

FAQ sur le comité IA et le Chief AI Officer

Un lieu de décision avant un titre

La gouvernance de l’IA se résume à deux questions : qui décide, et qui prépare. Pour la plupart des PME et des ETI, la réponse tient dans un comité de huit personnes présidé par la direction et dans un responsable IA qui y consacre un à deux jours par semaine. Le Chief AI Officer se justifie quand l’IA touche l’offre, que le portefeuille est large et que les budgets engagent l’entreprise pour longtemps. Notre conviction : un comité modeste qui décide chaque mois vaut mieux qu’un dirigeant dédié qui n’a pas de moyens. Avant la première séance, donnez à ses membres un langage commun avec une formation à l’IA générative pour votre équipe de direction.