Douze questions à faire trancher avant de financer un projet d'IA en ETI
Un comité de direction ne vote pas une architecture, il vote une décision, un propriétaire et une sortie. Douze questions à poser avant d'engager le budget : valeur, corpus, erreur, preuve, droits, exploitation, coût complet, échéances AI Act, cadre de risque et réversibilité.
Note de transparence. Cet article est rédigé conformément à la politique éditoriale d'IgnitionAI. Il s'appuie sur les pages officielles de la Commission européenne sur le règlement sur l'intelligence artificielle et sur le cadre de gestion des risques du NIST, consultées le 5 novembre 2026. IgnitionAI édite un produit RAG, IgnitionRAG. Cette grille s'applique à lui comme à tout autre fournisseur ; l'article ne compare aucune solution et ne contient ni statistique ni estimation chiffrée. Les seules dates citées sont celles des textes officiels. Voir la section Méthodologie et sources.
Dans une ETI, un projet d'IA ne se joue pas au moment du prototype : il se joue au moment où un comité engage un budget, une équipe et un calendrier. À ce moment-là, personne ne vote une architecture. On vote une décision qui doit devenir meilleure, un corpus dont quelqu'un répond, une erreur dont le coût est connu, une preuve qu'on exigera, et une sortie si le résultat n'arrive pas. Les douze questions qui suivent ne sont pas techniques : elles sont celles qu'un comité de direction peut poser sans être spécialiste, et auxquelles un fournisseur sérieux répond sans détour. Elles sont regroupées en quatre temps — décider, prouver, tenir, sortir — parce qu'un projet qui n'a de réponse que dans les deux premiers coûte cher dans les deux derniers.
Ceux qui doivent d'abord documenter la partie technique — périmètre documentaire, droits d'accès avant indexation, évaluation, conditions d'exploitation — trouveront cette grille dans Cadrer un projet RAG d'entreprise : 7 décisions à documenter avant le prototype. Le présent article s'adresse à ceux qui signent, pas à ceux qui construisent : les deux se lisent dans cet ordre.
Décider : ce que le comité engage vraiment
1. Quelle décision devient meilleure, et pour qui ? Un projet d'IA utile améliore une décision identifiable : accorder un crédit, arbitrer une clause, répondre à un client, choisir un fournisseur, prioriser un dossier. Si la réponse est « les équipes gagneront du temps », le comité finance une impression, pas un changement. Une bonne réponse tient en une phrase et nomme la personne dont le travail change, ainsi que le volume concerné. Une réponse encore meilleure nomme la décision qui n'est pas prise aujourd'hui, faute d'information accessible.
2. Qui possède le corpus, et qui répond de sa qualité ? Un système qui répond à partir de documents hérite de leurs défauts : versions périmées, doublons, procédures écrites mais plus appliquées, annexes manquantes. La question n'est donc pas « avons-nous des documents ? » mais « qui est propriétaire de ce corpus, qui décide qu'une version est la bonne, et qui la retire quand elle ne l'est plus ». Sans nom et sans processus, la qualité du système se dégrade dès la première mise à jour, et personne ne s'en aperçoit avant la première réponse fausse donnée à un client.
3. Que se passe-t-il quand le système se trompe ? Il se trompera. La question utile est le coût de l'erreur et son mode de détection : une réponse fausse dans une base de connaissances interne se corrige ; la même réponse lue à un client, dans un courrier ou dans une décision d'octroi, ne se corrige pas. Une bonne réponse dit où l'humain valide, ce qui se passe si la source ne contient pas la réponse, et comment une erreur remonte jusqu'à l'équipe qui peut la corriger. Si la réponse est « le système ne se trompe pas », le comité n'a pas affaire à une évaluation, mais à une promesse.
Prouver : ce qu'on exige avant de croire
4. Sur quel jeu de questions mesure-t-on ? On ne mesure pas un système de réponse par une démonstration. On le mesure sur un ensemble de questions figé avant le projet, avec les réponses attendues et les documents qui les portent, y compris des questions dont la réponse est « le corpus ne le dit pas ». Ce jeu se construit avec les métiers, se conserve, et se rejoue à chaque évolution : il est le seul objet qui permette de dire, six mois plus tard, si le système s'est amélioré ou dégradé.
5. Quelles preuves le fournisseur accepte-t-il de rejouer devant vous ? Une démonstration est un échantillon choisi par celui qui la montre. La preuve utile est plus froide : le jeu de questions ci-dessus, rejoué sur vos documents, avec les citations affichées et le journal des passages récupérés. Demandez aussi ce qui se passe quand on retire un document : le système doit cesser de s'appuyer dessus. Un fournisseur qui refuse de rejouer un test sur votre corpus, ou qui ne peut pas montrer quels passages ont fondé une réponse, décrit un produit qu'il ne peut pas prouver.
6. Qui a le droit de voir quoi, et comment le vérifie-t-on ? Dans une ETI, un même outil sert souvent plusieurs entités, plusieurs clients ou plusieurs niveaux d'habilitation. La question n'est pas seulement « gérez-vous les droits ? » mais « pouvez-vous démontrer qu'une requête posée dans un périmètre ne ramène jamais un document d'un autre ». Cette démonstration se fait par des questions croisées, pas par une page de documentation : on interroge depuis le mauvais périmètre et on vérifie que le résultat est vide. Si le fournisseur ne sait pas décrire ce test, il n'a pas de preuve d'isolation.
Tenir : ce qui se passe après le pilote
7. Qui exploite le système, avec quelle compétence, à partir de quel jour ? Un pilote réussi est un pilote où quelqu'un, dans l'entreprise, sait réingérer un corpus, relancer une évaluation, lire un journal et répondre à un utilisateur mécontent. Si cette personne n'existe pas au moment du vote, elle n'existera pas davantage six mois plus tard, et le système sera arrêté faute de main. La question à poser est nominative : qui, à quelle date, avec quelle formation, et que se passe-t-il pendant les congés.
8. Comment le corpus reste-t-il à jour, et comment une suppression se propage-t-elle ? Un système de réponse sur documents vieillit par son corpus, pas par son modèle. Il faut donc une réponse claire sur trois gestes : l'ajout, la mise à jour, et surtout la suppression — un document retiré pour raison juridique ou contractuelle doit disparaître des réponses, y compris de ce qui a été indexé. Une bonne réponse décrit la chaîne complète, avec un délai. Une mauvaise réponse parle de « synchronisation automatique » sans dire ce qui se passe quand la source se trompe.
9. Quel est le coût complet, modèles compris ? Les abonnements se comparent facilement ; la consommation des modèles, non. Un projet d'IA a trois postes qui dérivent : les appels aux modèles quand l'usage se répand, le stockage et la ré-indexation quand le corpus grossit, et le temps humain de contrôle. Le comité doit obtenir une fourchette d'usage à trois scénarios — pilote, déploiement sur une équipe, déploiement sur une direction — et non un prix d'entrée. Si le fournisseur ne sait pas décrire la variable qui fait dériver la facture, c'est elle qui décidera du budget.
Sortir : ce que personne n'aime demander
10. Quelles obligations nous concernent, et à quelle date ? Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1er août 2024 et devient applicable le 2 août 2026, avec des exceptions : les pratiques interdites et les obligations de maîtrise de l'IA depuis le 2 février 2025, les règles de gouvernance et les obligations pour les modèles d'IA à usage général depuis le 2 août 2025. Les systèmes à haut risque de l'annexe III ont vu leur échéance repoussée au 2 décembre 2027, et ceux intégrés à des produits réglementés de l'annexe I au 2 août 2028, à la suite de l'accord politique sur l'« AI Omnibus ». Depuis le 2 août 2026, la supervision revient à l'AI Office et aux autorités nationales. Une ETI n'a pas besoin d'être un fournisseur de modèle pour être concernée : elle peut être déployeur. La question à trancher est donc : dans quel rôle sommes-nous, pour quel usage, et à quelle échéance.
11. Selon quel cadre apprécions-nous le risque, et qui le porte ? Il n'existe pas d'obligation unique qui remplacerait une décision d'entreprise sur le risque acceptable. Les cadres publics servent à structurer cette décision : le NIST a publié son AI Risk Management Framework le 26 janvier 2023 comme un cadre volontaire, et un profil dédié à l'IA générative, NIST-AI-600-1, le 26 juillet 2024. Le comité peut donc demander une appréciation du risque selon un cadre nommé, avec un propriétaire nommé, et non une case cochée. Le point à vérifier est la cohérence : un usage jugé à risque élevé en interne ne peut pas être déployé avec les contrôles d'un usage de confort.
12. Comment sort-on si le résultat n'est pas là ? La dernière question est celle qui protège les onze autres : à quelle date réexamine-t-on la décision, sur quels critères, et que se passe-t-il si le critère n'est pas atteint. Sortir suppose de pouvoir récupérer ses données et ses documents indexés dans un format utilisable, et de savoir ce que devient ce qui a été produit pendant le projet. Une clause de réversibilité qui ne mentionne pas les index, les jeux de tests et les journaux est une clause décorative : ce sont eux qui rendent un changement de fournisseur possible sans repartir de zéro.
Ce que ces douze questions changent au vote
Elles ne rendent pas un projet plus sûr par magie. Elles déplacent la discussion du produit vers les décisions que l'entreprise devra tenir : un propriétaire de corpus, un jeu de tests conservé, une preuve rejouable, une personne qui exploite, une date de réexamen. Un comité qui obtient des réponses précises sur ces cinq points peut financer un projet d'IA avec un risque connu. Un comité qui n'obtient que des démonstrations finance une promesse, et découvrira le reste au moment où le pilote s'arrête.
Le comité peut-il se contenter d'un audit de conformité ?
Non, et l'inverse est vrai aussi. Un audit externe vérifie des exigences ; il ne dit pas si la décision visée s'améliore, si le corpus est à jour ni si quelqu'un sait relancer une évaluation. La conformité et l'utilité sont deux questions différentes, et un projet doit répondre aux deux.
Faut-il attendre l'échéance AI Act pour lancer un projet ?
Non. L'échéance n'est pas un feu vert et ne dispense de rien : à partir du 2 août 2026, le règlement est applicable et la supervision est en place. Ce qui change avec la date, c'est la documentation à produire et le rôle à assumer — déployeur ou fournisseur. Un projet qui sait nommer son rôle et son usage n'a pas besoin d'attendre pour commencer à documenter.
Le NIST AI RMF rend-il un projet conforme au RGPD ou à l'AI Act ?
Non. Le NIST présente son cadre comme volontaire : il sert à structurer une démarche de gestion des risques, pas à attester d'une conformité. La conformité au RGPD et au règlement sur l'IA relève de textes distincts et de situations distinctes, appréciées par les autorités compétentes et les conseils de l'entreprise.
Combien de questions faut-il vraiment trancher avant de financer ?
Douze est un format, pas une norme. Ce qui compte est la couverture : décision visée, propriétaire du corpus, coût de l'erreur, preuve rejouable, droits, exploitation, mise à jour, coût complet, obligations, cadre de risque, sortie. Un comité qui tranche ces dix sujets, dans ses mots, a l'essentiel.
Une PME peut-elle appliquer la même grille ?
Oui, en réduisant l'échelle, pas les questions. Une PME n'a souvent pas d'équipe data : la question 7 devient alors une question de dépendance à un prestataire, et la question 12 une question de contrat. Les questions 1 à 6 restent identiques, parce qu'elles portent sur la décision et la preuve, pas sur la taille de l'entreprise.
Méthodologie et sources
- Commission européenne, cadre réglementaire sur l'intelligence artificielle, consulté le 5 novembre 2026. La page donne la chronologie d'application : entrée en vigueur le 1er août 2024, application le 2 août 2026, pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, gouvernance et obligations pour les modèles à usage général depuis le 2 août 2025, annexe III repoussée au 2 décembre 2027 et annexe I au 2 août 2028 après l'accord sur l'« AI Omnibus », supervision par l'AI Office et les autorités nationales à compter du 2 août 2026.
- NIST, AI Risk Management Framework, consulté le 5 novembre 2026. Le cadre est décrit comme volontaire, publié le 26 janvier 2023 ; la page indique qu'il fait l'objet d'une révision dans le cadre du plan d'action américain sur l'IA.
- NIST, AI RMF Generative Artificial Intelligence Profile (NIST-AI-600-1), publié le 26 juillet 2024, consulté le 5 novembre 2026.
Cet article est une grille de décision éditoriale : il ne contient ni donnée client, ni métrique interne, ni promesse de résultat. Les échéances citées sont celles des textes officiels et doivent être revérifiées avant tout usage contractuel, le calendrier du règlement ayant déjà évolué.
Vous préparez un comité qui doit trancher sur un projet d'IA ? Décrivez votre contexte à IgnitionAI. Le premier échange sert à trier ce qui relève de la décision, de la preuve et de la sortie — pas à présenter un produit.