Au Luxembourg, 48 % des entreprises interrogées par la FEDIL, la Luxembourg AI Factory et Luxinnovation disposent d'une politique de gouvernance de l'IA et 46 % n'en ont pas, d'après le rapport publié le 2 juin 2026 ; la part des entreprises sans politique dédiée à l'IA générative y reste élevée et inchangée depuis 2025, alors que le blocage des outils est devenu marginal. L'article 4 de l'AI Act, applicable depuis le 2 février 2025 et réécrit par le règlement du 8 juillet 2026, demande aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leurs équipes ; les questions-réponses de la Commission précisent qu'aucun certificat n'est exigé et qu'un registre interne suffit à documenter ces mesures. Une politique d'usage écrite est la première de ces mesures. Nous publions ici le modèle en une page que nous utilisons avec les entreprises que nous formons, rubrique par rubrique, et le registre qui l'accompagne. Ce modèle décrit une pratique ; il ne remplace pas l'avis d'un juriste.
Les faits
- Le rapport FEDIL, AI Factory et Luxinnovation (136 répondants, enquête du 27 janvier au 13 mars 2026) décrit l'IA générative comme un outil de productivité devenu standard, que les salariés apportent au travail comme ils l'utilisent chez eux. 48 % des entreprises ont une politique de gouvernance de l'IA, 46 % n'en ont pas et environ 6 % ne savent pas ; le rapport distingue cette gouvernance générale des règles propres à l'IA générative, dont l'absence reste la norme. Les risques qu'il associe à un usage non encadré : protection des données, confidentialité, propriété intellectuelle, conformité, sécurité et supervision humaine.
- L'article 4 de l'AI Act, dans sa rédaction en vigueur depuis le 27 juillet 2026, demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'usage, sans garantir de niveau précis. Les questions-réponses de la Commission (mises à jour le 20 octobre 2026) ajoutent qu'aucun certificat n'est exigé, qu'aucun niveau n'a à être mesuré, qu'aucune structure de gouvernance ni responsable IA n'est imposé, que s'en remettre aux seules notices d'utilisation des outils est en général insuffisant, et qu'une organisation peut tenir un registre interne de ses formations et de ses initiatives. La surveillance relève des autorités nationales depuis le 2 août 2026.
- Deux signaux récents montrent où une politique d'usage s'use en premier. Le projet NTAC (ministère du Travail, SMC et IMS Luxembourg, communiqué du 21 octobre 2026) relève chez les 11 organisations accompagnées un bon niveau sur le traitement des données et la collaboration, et des progrès à faire sur la recherche d'information, l'usage responsable des outils numériques et le partage de documents. Les conditions commerciales de Meta en vigueur depuis le 30 octobre 2026 rendent l'annonceur seul responsable des retouches faites par l'IA de la plateforme sur ses annonces : la supervision humaine des résultats n'est plus seulement une bonne pratique, c'est la position contractuelle des plateformes.
Une politique d'usage en une page : les neuf rubriques
Une politique d'usage tient en une page quand elle répond à des questions concrètes : qui est concerné, avec quels outils, quelles données ne sortent jamais, qui relit, comment on signale un contenu produit par l'IA, à qui on s'adresse. Le tableau ci-dessous reprend les neuf rubriques de notre modèle, avec ce que chacune fixe et un exemple de formulation à adapter. Les exemples citent des outils et des cas courants ; chaque entreprise remplace par les siens.
| Rubrique | Ce qu'elle fixe | Exemple de formulation |
|---|---|---|
| 1. Périmètre | À qui la politique s'applique et pour quels usages | Cette politique s'applique à toute personne qui utilise un outil d'IA générative pour le compte de l'entreprise : salariés, stagiaires, prestataires. |
| 2. Outils autorisés | La liste des outils et des comptes, et l'interdiction des comptes personnels pour les données de l'entreprise | Les outils autorisés sont ceux fournis par l'entreprise, sur abonnement professionnel. Aucune donnée de l'entreprise n'est saisie dans un compte personnel. |
| 3. Données interdites | Ce qui ne sort jamais de l'entreprise, quel que soit l'outil | Ne sont jamais saisis dans un outil d'IA : données personnelles de clients ou de salariés, données de santé, contrats, secrets d'affaires, mots de passe, documents classés confidentiels. |
| 4. Vérification humaine | Qui relit, et ce qui est vérifié à la source avant un usage externe | Tout contenu destiné à un client, à un partenaire ou au public est relu par une personne responsable. Chiffres, citations, références juridiques et noms sont vérifiés à la source. |
| 5. Transparence | Le signalement interne et l'étiquetage des contenus publiés | Les contenus générés ou modifiés par l'IA sont signalés en interne. Les contenus publiés sont étiquetés conformément aux obligations de transparence de l'AI Act. |
| 6. Propriété intellectuelle | Ce que l'on ne reproduit pas, et à qui appartiennent les assistants créés | Aucun contenu protégé n'est reproduit sans autorisation. Les prompts, projets et skills créés pour l'entreprise sont conservés dans ses comptes. |
| 7. Conservation | Où vivent les échanges et ce qu'il en advient au départ d'un collaborateur | Les conversations et les assistants utiles sont conservés dans les comptes de l'entreprise ; l'accès est transféré ou fermé au départ d'un collaborateur. |
| 8. Référent et signalement | À qui s'adresser pour un nouvel outil, une erreur, un doute | Un référent IA est nommé. Toute demande de nouvel outil, toute erreur constatée et tout doute sur une donnée lui sont adressés. |
| 9. Formation et révision | Qui est formé, quand, et à quel rythme la politique est revue | Chaque utilisateur suit une formation avant usage. La politique est revue tous les six mois et à chaque changement d'outil ; les formations sont inscrites au registre. |
Le registre : ce que nous conseillons de documenter
Les questions-réponses de la Commission ne décrivent aucun format : elles indiquent qu'une organisation peut conserver des traces internes de ses formations et de ses initiatives. Dans notre pratique, un tableau suffit, tenu par le référent IA ou par les ressources humaines, avec une ligne par action : la date, le contenu (formation, diffusion de la politique, revue, nouvel outil), les participants et leurs rôles, le formateur ou le responsable, les supports remis, et la preuve de diffusion de la politique, par exemple un accusé de lecture. Une colonne « outils autorisés à cette date » évite de rouvrir le débat à chaque changement de version.
Ce registre sert à trois choses. Il montre les mesures prises au sens de l'article 4 si une autorité ou un client le demande. Il permet de savoir qui a été formé sur quoi quand une équipe change. Il rend la révision de la politique simple, parce qu'il dit quels outils, quelles règles et quelles formations existaient à chaque date. Ce que l'article 4 n'exige pas, le registre n'a pas à le contenir : ni certificat, ni nombre d'heures, ni score individuel.
Ce que la politique ne règle pas seule
Une page de règles sans formation produit des règles contournées. Les lacunes relevées par NTAC, recherche d'information, usage responsable des outils, partage de documents, sont des gestes du quotidien : savoir qu'un document est confidentiel ne suffit pas si l'on n'a pas appris à travailler avec l'outil sans le lui donner. C'est pour cette raison que la rubrique 9 lie la politique à une formation avant usage, par rôle et sur les cas réels de l'entreprise, et que nos formations intra comprennent un module sur l'usage en sécurité (confidentialité, RGPD, AI Act).
La politique ne règle pas non plus ce que les plateformes décident. Quand une régie publicitaire retouche une annonce avec son IA et en laisse la responsabilité à l'annonceur, comme Meta depuis le 30 octobre, la règle de vérification humaine (rubrique 4) doit aussi couvrir les contenus produits par les outils des plateformes, en plus de ceux produits dans ChatGPT ou Claude. Enfin, une politique ne vaut pas avis juridique : pour les données personnelles, les contrats et les professions réglementées, le texte se relit avec un juriste, et la question des données qui doivent rester en Europe se traite au niveau des outils, par exemple avec un chatbot hébergé en Europe.
Au Luxembourg : ce que les entreprises ont déjà, et ce qui manque
Les entreprises luxembourgeoises ont levé le blocage : le rapport FEDIL note que l'interdiction de l'IA générative est devenue marginale entre 2025 et 2026, et que 53 % des répondants prévoient de développer ou d'héberger des solutions d'IA générative localement, la sécurité et la souveraineté des données en tête des motivations. Ce qui manque est la règle écrite : une entreprise sur deux n'a pas de politique de gouvernance, et la politique propre à l'IA générative reste l'exception. Le cadre de contrôle national n'est pas finalisé non plus : le projet de loi 8476 prévoit que la CNPD soit l'autorité de surveillance par défaut, et le Conseil d'État a émis plusieurs oppositions formelles en juillet, comme nous l'écrivions dans notre article sur la formation à l'IA au Luxembourg, qui recense aussi les dispositifs publics de formation.
Pour une PME luxembourgeoise, l'ordre que nous recommandons est donc celui-ci : la page de règles d'abord, parce qu'elle se rédige en une réunion et qu'elle est la mesure la plus simple à documenter ; la formation ensuite, par rôle ; le registre dès la première session. Les aides à la formation professionnelle continue et le Skills-Plang sont à vérifier auprès de l'INFPC et de l'ADEM ; nous n'affirmons l'éligibilité d'aucune formation sans ce contrôle.
Mettre la politique en place en cinq étapes
Les étapes ci-dessous relèvent de notre pratique ; elles tiennent en quelques semaines pour une PME.
- Inventorier les usages réels. Une semaine de recueil, service par service : quels outils, sur quels comptes, pour quelles tâches, avec quelles données. L'inventaire révèle presque toujours des comptes personnels et des documents déjà partagés.
- Rédiger la page. Direction, un représentant de chaque métier concerné, et un juriste si l'entreprise traite des données sensibles. Une réunion pour remplir les neuf rubriques, une relecture, une validation.
- Diffuser avec accusé de lecture. La politique est remise à chaque personne concernée, et la date de remise est inscrite au registre. C'est la première ligne du registre.
- Former par rôle sur les cas réels. Direction, managers, métiers et profils techniques n'ont pas les mêmes usages ; les exercices partent des dossiers des participants, et chaque session est inscrite au registre.
- Réviser tous les six mois. Nouveaux outils, nouvelles versions, nouvelles obligations : la révision est inscrite au registre avec la liste des outils autorisés à cette date.
Une entreprise qui a fait ces cinq pas dispose de la mesure demandée par l'article 4, de sa preuve, et de règles que ses équipes connaissent parce qu'elles les ont pratiquées.
Le regard d'AIxH
Nous avons écrit ce modèle parce que la question revient à chaque formation : que peut-on mettre dans l'outil, et qui relit ? La réponse se construit avec l'entreprise, à partir de ses propres cas. Nos formations IA au Luxembourg se donnent en présentiel, sur les dossiers des participants, avec un module consacré à l'usage en sécurité ; notre service d'intégration de ChatGPT et Claude configure les assistants avec les règles d'usage et les données exclues écrites noir sur blanc. Le modèle en une page est le point de départ ; la formation et le registre sont ce qui le fait vivre.
