Référent IA en entreprise : rôle, missions et comment le désigner

Le référent IA est la personne chargée de coordonner les usages de l'intelligence artificielle dans l'entreprise : il recense les outils, fait appliquer les règles, organise la formation des équipes et fait remonter les risques. Aucun texte ne vous oblige à le nommer. En revanche, l'AI Act, le RGPD et le Code du travail créent des obligations qu'il faut bien confier à quelqu'un.

Ce guide détaille ce que fait concrètement un référent IA, le profil à privilégier dans une PME, la façon de le désigner et son articulation avec le comité IA. Pour aller plus loin sur chaque outil du référent, consultez nos guides sur le registre des outils d'IA, l'article 4 de l'AI Act et la cartographie des usages IA.

Qu'est-ce qu'un référent IA en entreprise ?

Le référent IA occupe un rôle de coordination, pas un poste d'expert technique. Il n'a pas besoin de savoir coder. Il sait quels outils sont utilisés, par qui et pour quoi faire, et vérifie que ces usages respectent les règles internes et la réglementation.

Dans une PME, la fonction est rarement un temps plein. Elle s'ajoute à un poste existant : DSI, RH, qualité, direction des opérations, parfois assistante de direction. Dans les grands groupes, on parle plutôt de Chief AI Officer. Le principe reste le même : un interlocuteur identifié pour les questions et les signalements.

Ce que le référent IA ne remplace pas

Il ne se substitue ni au délégué à la protection des données (DPO), ni au responsable de la sécurité informatique, ni aux représentants du personnel. Il travaille avec eux.

Le référent IA est-il obligatoire ?

Non. Ni l'AI Act, ni le RGPD, ni le Code du travail n'imposent de désigner un référent IA. Dans sa foire aux questions sur la maîtrise de l'IA, la Commission européenne précise qu'il n'est pas nécessaire de créer une structure de gouvernance particulière ni de nommer un « AI officer ».

Plusieurs obligations concernent pourtant toutes les entreprises qui utilisent l'IA, même pour des tâches courantes :

• AI Act, article 4. Les entreprises qui déploient des systèmes d'IA prennent des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. L'article s'applique depuis le 2 février 2025. Il a été réécrit par le règlement (UE) 2026/1744 du 8 juillet 2026, qui précise qu'aucun niveau de maîtrise précis n'est exigé pour chaque personne.
• AI Act, article 50. Depuis le 2 août 2026, des obligations de transparence s'appliquent. Un déployeur qui diffuse un hypertrucage (deepfake) doit par exemple indiquer que le contenu a été généré ou manipulé.
• RGPD. Dès qu'un outil d'IA traite des données personnelles, le traitement doit figurer dans le registre des activités de traitement et respecter les principes habituels. Notre article IA et RGPD en entreprise détaille ce point.
• Code du travail. Dans les entreprises d'au moins 50 salariés, le CSE est informé et consulté sur l'introduction de nouvelles technologies (article L2312-8). Voir notre article sur le rôle du CSE.

Selon la CNIL, le déploiement d'une IA générative suppose de « mettre en œuvre une gouvernance adaptée », en associant dès le début le DPO, le RSSI et les responsables métiers. Dans une PME, désigner un référent IA est la façon la plus simple de donner une réalité à cette gouvernance.

Le cas des systèmes à haut risque

Pour un système classé à haut risque, comme un outil de tri de candidatures, l'article 26 de l'AI Act impose au déployeur de confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire, de conserver les journaux du système et d'informer les représentants du personnel et les salariés concernés avant la mise en service. Selon la Commission européenne, ces règles s'appliquent aux systèmes de l'annexe III à partir du 2 décembre 2027, après le report décidé en 2026. Voir nos articles sur les obligations des DRH face à l'AI Act et le calendrier de l'AI Act.

Quelles sont les 6 missions du référent IA ?

Les missions varient selon la taille de l'entreprise et le nombre d'outils. Dans une PME, on retrouve en général les six suivantes.

1. Cartographier les usages réels

Avant de fixer des règles, il faut savoir ce qui se pratique. Le référent interroge les services, repère les outils gratuits utilisés avec des comptes personnels et les fonctions d'IA ajoutées aux logiciels déjà en place : messagerie, CRM, suite bureautique, outil de paie. Ce travail fait souvent apparaître de la shadow IA, c'est-à-dire des usages que personne n'a validés. La méthode est décrite dans notre guide de cartographie des usages IA en 4 étapes.

2. Tenir le registre des outils d'IA

Le registre consacre une ligne à chaque outil : fournisseur, usages autorisés, données qu'on peut y saisir, responsable, niveau de risque, date de validation. L'AI Act n'impose pas ce document en tant que tel, mais il fonde les décisions du comité et laisse une trace en cas de contrôle. Il complète le registre RGPD sans le remplacer. Vous trouverez un modèle dans notre article registre IA : modèle et mode d'emploi.

3. Faire vivre la charte IA

La charte fixe ce qui est autorisé, ce qui est interdit et ce qui demande une validation. Le référent la rédige avec la direction et la met à jour quand un nouvel outil arrive. Si vous voulez rendre la charte opposable aux salariés, elle doit suivre la procédure du règlement intérieur : nous l'expliquons dans notre article sur la charte IA en entreprise.

4. Organiser la montée en compétences

L'article 4 de l'AI Act demande des mesures adaptées aux connaissances, à l'expérience et à la formation des personnes, ainsi qu'au contexte d'utilisation. Le référent identifie les besoins par profil, organise les formations et conserve la trace de ce qui a été fait. La Commission européenne indique qu'aucun certificat n'est exigé et que l'entreprise peut tenir un registre interne des formations et actions de sensibilisation. Notre article sur l'article 4 de l'AI Act détaille les preuves à conserver.

5. Préparer et animer le comité IA

Le référent prépare l'ordre du jour, présente les demandes d'outils et suit le plan d'action. Le comité, lui, décide : le référent ne porte pas seul des arbitrages qui engagent l'entreprise. La mise en place est décrite dans notre guide comité IA en 5 étapes.

6. Assurer la veille et recevoir les alertes

La réglementation bouge : en 2026, le règlement 2026/1744 a réécrit l'article 4 et reporté les échéances du haut risque. Le référent suit ces évolutions, avec l'appui du DPO ou d'un conseil. Il est aussi le point de contact pour les incidents : données confidentielles saisies par erreur dans un outil public, contenu erroné diffusé à un client, outil non validé découvert dans un service. Il qualifie l'incident, prévient le DPO ou le RSSI et en informe le comité.

Quel profil choisir comme référent IA ?

Un ingénieur n'est pas nécessaire. Les qualités utiles sont ailleurs : connaître le fonctionnement de l'entreprise, être légitime auprès des équipes, aimer tester les outils, tenir une documentation à jour et savoir dire non.

Dans une entreprise de taille moyenne, un binôme peut être utile : un profil métier, proche des usages, et un profil technique, proche des systèmes. Une seule personne doit toutefois rester le point d'entrée pour les salariés. Si vous pensez confier le rôle au DPO, vérifiez l'absence de conflit d'intérêts (voir la FAQ en bas de page).

Comment désigner un référent IA en 5 étapes ?

La désignation ne demande aucun formalisme légal. Un minimum d'écrit évite toutefois que le rôle reste théorique.

1. Rédiger une lettre de mission. Elle fixe le périmètre (tous les outils d'IA, ou seulement l'IA générative), les missions, le rattachement hiérarchique, le temps alloué et les moyens. Un rattachement à la direction générale donne plus de poids au rôle.
2. Former le référent. Il doit comprendre le fonctionnement des outils, leurs limites, les bases de l'AI Act et du RGPD, et savoir évaluer un usage.
3. Informer les instances. La nomination d'un référent n'est pas en soi l'introduction d'une nouvelle technologie. Présenter le rôle au CSE dès le départ facilite toutefois les consultations à venir sur les outils eux-mêmes.
4. Annoncer la nomination à toute l'entreprise. Qui est le référent IA, sur quoi on peut le solliciter, comment le joindre, comment signaler un incident.
5. Planifier une revue à 6 mois. Registre, charte, formations, incidents : faites le point et ajustez la lettre de mission.

Référent IA et comité IA : qui fait quoi ?

Les deux sont complémentaires : le référent instruit, le comité tranche. Dans une TPE, le comité peut se résumer à un point mensuel entre le dirigeant et le référent. Au-delà, il réunit direction, DPO, informatique, RH et un représentant des métiers.

• Recensement des outils : le référent le réalise, le comité en prend connaissance.
• Demande d'un nouvel outil : le référent instruit le dossier (usage, données, fournisseur, risques), le comité décide.
• Charte IA : le référent rédige, la direction valide, le CSE est consulté si la charte est intégrée au règlement intérieur.
• Plan de formation : le référent propose et suit, le comité arbitre les priorités et le budget.
• Incidents : le référent reçoit et qualifie, le comité décide des mesures correctives.

Que risque une entreprise qui ne pilote pas ses usages d'IA ?

Le premier risque est opérationnel. Sans règles, chacun choisit ses outils, et des documents clients ou des données RH finissent dans des services en ligne dont personne n'a lu les conditions. La CNIL recommande d'encadrer les usages en listant ceux qui sont autorisés et interdits, par exemple la saisie de données personnelles.

Le deuxième risque est social. Le 14 février 2025, le tribunal judiciaire de Nanterre a suspendu en référé le déploiement d'outils d'IA dans une entreprise qui ne les présentait que comme une phase de test : le juge a estimé que ces outils étaient déjà mis en œuvre sans que le CSE ait rendu son avis. D'autres juridictions ont depuis statué dans le même sens. Un registre à jour permet de savoir quels outils doivent passer devant le CSE.

Le troisième risque est réglementaire. L'AI Act ne prévoit pas d'amende spécifique pour l'article 4 : les sanctions et la désignation des autorités de contrôle relèvent de chaque État membre. Pour la transparence de l'article 50, le règlement prévoit jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus bas s'appliquant aux PME. Voir notre guide AI Act : obligations des PME.

Former votre référent IA et votre comité

Notre formation Comité IA et référent IA se déroule sur 2 jours en intra-entreprise. Le premier jour réunit l'équipe, jusqu'à 10 participants ; le second est consacré au comité IA. Vous repartez avec une charte, un registre des outils et un plan d'action à 6 mois. Le tarif est de 4 600 € HT pour le groupe. Skillevos étant certifié Qualiopi, la formation peut être prise en charge par votre OPCO selon ses critères : voir notre article formation IA et OPCO.

Questions fréquentes

Le référent IA doit-il avoir un profil technique ?

Non. Le référent IA coordonne les usages, il ne développe pas d'outils. Il doit comprendre comment fonctionnent les outils et leurs limites, ce qui s'acquiert par la formation. La connaissance de l'entreprise et la légitimité auprès des équipes comptent davantage que la technique.

Une petite entreprise a-t-elle besoin d'un référent IA ?

Dès que plusieurs salariés utilisent des outils d'IA, il est utile qu'une personne centralise les questions, tienne la liste des outils et garde la trace des formations. Dans une TPE, ce peut être le dirigeant ou un salarié volontaire, avec un mandat simple et quelques heures identifiées dans son emploi du temps.

Faut-il consulter le CSE pour nommer un référent IA ?

La nomination elle-même n'est pas l'introduction d'une nouvelle technologie. En revanche, dans les entreprises d'au moins 50 salariés, le déploiement des outils d'IA peut relever de la consultation prévue par l'article L2312-8 du Code du travail. Présenter le référent IA au CSE dès sa nomination facilite ces échanges.

Le DPO peut-il cumuler la fonction de référent IA ?

Oui, si le cumul ne crée pas de conflit d'intérêts. L'article 38 du RGPD permet au DPO d'exercer d'autres missions, mais il ne doit pas décider lui-même des traitements qu'il contrôle. Dans ce cas, confiez au comité IA le choix et le déploiement des outils.

Nommer un référent IA suffit-il à respecter l'article 4 de l'AI Act ?

Non. L'article 4 demande des mesures concrètes pour favoriser la maîtrise de l'IA du personnel : formation, sensibilisation, consignes adaptées à chaque profil. Le référent IA organise ces mesures et en garde la trace, mais c'est leur mise en œuvre qui compte.

Quelle différence entre référent IA et comité IA ?

Le référent IA est une personne qui instruit les dossiers, tient le registre et répond aux équipes. Le comité IA est une instance qui prend les décisions : validation des outils, adoption de la charte, priorités de formation. Le référent prépare les réunions du comité et suit ses décisions.

Conclusion : un référent IA pour passer des usages dispersés à des règles claires

Nommer un référent IA ne relève d'aucune obligation légale. C'est pourtant un moyen simple de répondre à l'article 4 de l'AI Act, de préparer les consultations du CSE et de garder la main sur les données confiées aux outils. Commencez petit : une lettre de mission, une cartographie des usages, un registre et une charte. Le comité IA prendra ensuite le relais pour les décisions.

Vous voulez cadrer ce rôle avec vos équipes ? Contactez-nous pour organiser la formation Comité IA et référent IA dans votre entreprise.