La maturité IA d’une entreprise est sa capacité à faire passer des cas d’usage d’intelligence artificielle en production et à les y maintenir dans la durée, avec des données fiables, des compétences, une exploitation outillée et une gouvernance claire. Elle ne se confond ni avec le nombre de licences achetées, ni avec le nombre de pilotes lancés, ni avec l’enthousiasme des équipes.
Conséquence pratique : une organisation qui a mené dix expérimentations sans en exploiter une seule est moins mature qu’une autre qui fait tourner un seul système, mesuré et maintenu. La grille ci-dessous le révèle en une séance : vingt questions fermées, cinq dimensions, quatre niveaux et une action prioritaire pour chacun.
Qu’est-ce que la maturité IA d’une entreprise ?
La maturité IA désigne le degré auquel une organisation sait choisir, construire, exploiter et encadrer des systèmes d’IA de façon répétable, et non sa seule capacité à expérimenter.
Le mot important est répétable. Réussir un pilote grâce à une personne motivée et des données nettoyées à la main ne prouve pas grand-chose. Être mature, c’est pouvoir recommencer : trouver le cas d’usage suivant, retrouver les données, tester avant de livrer, surveiller en service et savoir qui décide quand le système se trompe.
La maturité ne se juge donc pas à la sophistication des modèles. Un assistant documentaire simple, vérifié par un jeu de tests, témoigne de plus de maturité qu’un agent ambitieux resté en démonstration ; les cinq verrous qui empêchent de sortir du prototype relèvent d’ailleurs rarement du modèle.
Quelles sont les dimensions de la maturité IA ?
Une évaluation de maturité IA utile couvre cinq dimensions : stratégie et cas d’usage, données, compétences, technologie et exploitation, gouvernance et conformité. Une organisation peut être avancée sur l’une et débutante sur une autre.
- Stratégie et cas d’usage : quels problèmes, quel critère de réussite, quel responsable métier.
- Données : localisation, accès stable, qualité mesurée, droits d’accès respectés.
- Compétences : utilisateurs formés à leur rôle, capacité d’évaluation interne, pas de personne unique indispensable.
- Technologie et exploitation : mise en production, tests avant chaque changement, surveillance, coûts connus.
- Gouvernance et conformité : inventaire, qualification réglementaire, règles d’usage, gestion des incidents.
Ces dimensions se conditionnent : le meilleur outillage ne compense pas des données inaccessibles. La grille pose donc quatre questions par dimension, pour repérer d’abord le maillon faible.
Comment évaluer la maturité IA de son entreprise en 20 questions ?
Répondez par oui ou par non à chacune des vingt questions, en ne comptant un oui que si vous pouvez montrer une preuve : un document, une mesure, un outil ou un nom. Une intention ou un projet en cours vaut un non.
Sans cette règle de preuve, une auto-évaluation mesure ce que l’on croit faire plutôt que ce qui existe. La dernière colonne indique ce qu’un non révèle concrètement.
| N° | Dimension | Question | Ce que signifie un « non » |
|---|---|---|---|
| 1 | Stratégie | Existe-t-il une liste écrite des cas d’usage, classés par valeur et faisabilité ? | Les projets naissent d’une envie d’outil, pas d’un problème à résoudre |
| 2 | Stratégie | Chaque cas d’usage en cours a-t-il un responsable métier nommé ? | Personne n’arbitre quand le système se trompe ou qu’il faut l’arrêter |
| 3 | Stratégie | Chaque cas d’usage a-t-il un critère de réussite fixé avant son lancement ? | Impossible de décider s’il faut poursuivre, corriger ou abandonner |
| 4 | Stratégie | Avez-vous déjà arrêté un projet d’IA au vu de ses résultats ? | Les projets ne sont pas jugés, ils s’accumulent |
| 5 | Données | Savez-vous où sont les données de vos cas d’usage prioritaires, et qui en répond ? | Chaque projet commence par une enquête |
| 6 | Données | Ces données sont-elles accessibles par un moyen technique stable plutôt que par extraction manuelle ? | Le pilote marche sur un fichier, la production n’a pas de source |
| 7 | Données | La qualité de ces données est-elle mesurée (complétude, fraîcheur, doublons) ? | Les erreurs du modèle et celles des données sont indiscernables |
| 8 | Données | Les systèmes d’IA respectent-ils les droits d’accès existants aux documents et aux données ? | L’IA devient un moyen de contourner les habilitations |
| 9 | Compétences | Les utilisateurs d’outils d’IA ont-ils reçu une formation adaptée à leur rôle, et est-elle tracée ? | Usages hétérogènes et obligation de maîtrise de l’IA non documentée |
| 10 | Compétences | Une personne en interne sait-elle évaluer techniquement un système d’IA (tests, métriques, limites) ? | Vous dépendez entièrement du discours du fournisseur |
| 11 | Compétences | Les métiers savent-ils formuler un besoin avec ses données, son critère de réussite et le coût d’une erreur ? | Les demandes arrivent sous forme de solution toute faite |
| 12 | Compétences | Un système en service peut-il être maintenu si la personne qui l’a construit s’en va ? | Le système repose sur une seule mémoire humaine |
| 13 | Exploitation | Au moins un cas d’usage d’IA est-il en production et utilisé régulièrement par ses destinataires ? | Vous êtes en expérimentation, quel que soit le nombre de pilotes |
| 14 | Exploitation | Un jeu de tests versionné vérifie-t-il chaque changement de modèle, de consignes ou de données ? | Chaque mise à jour est un pari |
| 15 | Exploitation | Qualité, coûts et incidents sont-ils surveillés avec des alertes ? | La dégradation est découverte par les utilisateurs |
| 16 | Exploitation | Connaissez-vous le coût de fonctionnement mensuel de chaque système d’IA ? | La facture arrive avant l’arbitrage |
| 17 | Gouvernance | Tenez-vous un inventaire à jour des systèmes d’IA utilisés, outils grand public compris ? | Impossible de savoir quelles obligations s’appliquent |
| 18 | Gouvernance | Chaque système est-il classé selon les catégories de risque de l’AI Act ? | Les obligations sont découvertes au moment d’un contrôle |
| 19 | Gouvernance | Une règle écrite dit-elle quelles données peuvent être transmises à un outil d’IA externe ? | Chaque salarié décide seul de ce qui sort |
| 20 | Gouvernance | Une procédure prévoit-elle signalement, retrait et correction en cas d’erreur grave ? | L’incident sera traité dans l’urgence, sans responsable désigné |
Pour aller plus loin : le filtrage par droits d’accès (question 8), un jeu de tests en une journée (14), l’observabilité (15), ce qu’on peut mettre dans un prompt (19).
Quels sont les niveaux de maturité IA ?
La grille distingue quatre niveaux : découverte, expérimentation, production et pilotage, qui décrivent ce qu’une organisation sait réellement faire avec l’IA plutôt que ce qu’elle prévoit.
Les seuils ci-dessous sont une convention de cette grille, choisie pour sa lisibilité ; ils ne proviennent pas d’un étalonnage statistique ni d’un référentiel officiel.
| Niveau | Nombre de « oui » | Ce que l’on observe |
|---|---|---|
| 1. Découverte | 0 à 5 | Des salariés utilisent des outils d’IA à titre individuel, sans inventaire ni règle commune |
| 2. Expérimentation | 6 à 10 | Des pilotes existent, portés par quelques personnes, mais aucun ne tient seul en production |
| 3. Production | 11 à 15 | Au moins un système est exploité, mesuré et rattaché à un responsable métier |
| 4. Pilotage | 16 à 20 | Les cas d’usage forment un portefeuille arbitré, testé, surveillé et encadré |
Deux règles de plafond corrigent le total : une dimension à zéro ou un oui limite le niveau à 2, car une chaîne casse à son maillon le plus faible ; un non à la question 13 le limite aussi à 2, car sans système en service il n’y a pas de maturité de production.
Comment interpréter le résultat d’un diagnostic de maturité IA ?
Le score total compte moins que la répartition des oui entre les cinq dimensions : c’est la dimension la plus faible qui indique où agir en premier.
Un profil déséquilibré est le plus instructif. Beaucoup de oui en gouvernance et aucun en exploitation : des règles écrites pour des systèmes qui n’existent pas. L’inverse : des systèmes qui tournent sans inventaire ni procédure d’incident, exposés dès la première erreur visible.
Les non se lisent aussi dans leur ordre logique. Un non aux questions 1 à 3 rend les autres secondaires : sans problème défini ni critère de jugement, améliorer les données ou l’outillage revient à optimiser au hasard. La méthode que je recommande : traiter d’abord la dimension la plus faible, puis refaire la grille après chaque changement significatif.
Que faire à chaque niveau de maturité IA ?
À chaque niveau correspond une priorité unique : encadrer les usages au niveau 1, choisir et industrialiser un cas d’usage au niveau 2, outiller l’exploitation au niveau 3, arbitrer un portefeuille au niveau 4.
Niveau 1 : découverte
Inventorier les outils réellement utilisés, fixer une règle simple sur les données qui peuvent en sortir, puis former chacun à son rôle en gardant une trace : la maîtrise de l’IA est une obligation passée inaperçue, et une formation à l’IA centrée sur les usages y répond mieux qu’une sensibilisation générale.
Niveau 2 : expérimentation
Réduire les pilotes et en mettre un seul en production, celui dont la valeur, les données et le responsable sont les plus clairs. Savoir combien de cas d’usage abandonner fait partie du travail.
Niveau 3 : production
Outiller ce qui existe : tests versionnés, surveillance de la qualité, suivi des coûts et une fiche du système qui permette à un autre de le reprendre.
Niveau 4 : pilotage
Gérer les cas d’usage comme un portefeuille, avec critères d’entrée et de sortie, évaluation continue et revue régulière des risques et des coûts.
Quels cadres publics utiliser pour un audit de maturité IA ?
Trois références publiques éclairent une évaluation de maturité IA : le NIST AI Risk Management Framework, la norme ISO/IEC 42001 et l’article 4 de l’AI Act ; la grille de cet article s’en inspire sans en être une transposition officielle.
Le NIST AI Risk Management Framework (AI RMF 1.0, publication NIST AI 100-1, janvier 2023) est un cadre d’usage volontaire organisé en quatre fonctions : Govern, Map, Measure et Manage. Il ne définit pas de niveaux de maturité, mais compare un profil actuel et un profil cible pour en déduire les écarts, ce qui est la logique même d’un diagnostic. Plusieurs questions de la grille y font écho : inventaire des systèmes (GOVERN 1.6), surveillance en production (MEASURE 2.4), suivi après déploiement et réponse aux incidents (MANAGE 4.1).
La norme ISO/IEC 42001:2023 spécifie les exigences d’un système de management de l’intelligence artificielle et se prête à la certification. Elle ne fournit pas d’échelle de maturité, mais recoupe la dimension gouvernance.
L’article 4 de l’AI Act impose aux fournisseurs et aux déployeurs de systèmes d’IA d’assurer la maîtrise de l’IA de leur personnel. Selon la Commission européenne, après sa modification par le règlement (UE) 2026/1744, l’obligation demeure, sans niveau précis imposé ni certificat exigé. Pour le reste du texte, voir quatre idées reçues sur l’AI Act.
Quelles sont les limites d’une auto-évaluation de maturité IA ?
Un questionnaire mesure des déclarations, pas des faits : il situe une organisation, mais il ne dit ni si ses systèmes fonctionnent, ni si ses données sont exploitables.
La première limite tient à qui répond : une direction et une équipe technique ne remplissent pas la grille de la même façon. Faire répondre séparément deux ou trois fonctions, puis comparer, réduit une partie du biais.
La seconde est plus profonde : une question fermée ne vérifie rien. Un oui à la question 14 ne dit pas si les tests couvrent les cas qui comptent. Seules des mesures sur les données et les systèmes tranchent : taux d’erreur sur un échantillon représentatif, complétude réelle des sources, coût par requête observé.
C’est l’objet d’un audit IA de maturité : partir de la grille pour cibler, mesurer sur pièces et sur données, puis livrer une feuille de route chiffrée plutôt qu’un score. Pour un projet déjà construit, voir la reprise d’un système existant.
Questions fréquentes
Qu’est-ce qu’un audit de maturité IA ?
C’est l’évaluation de la capacité d’une organisation à mettre des cas d’usage d’IA en production et à les maintenir. Il couvre stratégie, données, compétences, exploitation et gouvernance, et complète le questionnaire par des vérifications sur documents, données et systèmes en service.
Existe-t-il un modèle officiel de maturité IA ?
Non. Le NIST AI Risk Management Framework compare un profil actuel et un profil cible sans définir de niveaux, et la norme ISO/IEC 42001 fixe les exigences d’un système de management de l’IA sans échelle de maturité. Les grilles publiées par des cabinets ou des éditeurs restent des conventions.
Qui doit répondre au questionnaire de maturité IA ?
Idéalement deux ou trois personnes de fonctions différentes : un responsable métier, un responsable technique, une personne chargée de la conformité. Chacune répond séparément ; les désaccords signalent les zones que l’organisation connaît mal.
Combien de temps faut-il pour évaluer sa maturité IA ?
La grille se remplit en une séance, en appliquant la règle de preuve : un oui s’appuie sur un document, une mesure, un outil ou un nom. Un audit qui vérifie les réponses sur données et sur systèmes demande quelques jours selon le périmètre.
La formation des salariés à l’IA est-elle obligatoire ?
L’article 4 de l’AI Act impose aux fournisseurs et aux déployeurs de systèmes d’IA d’assurer la maîtrise de l’IA de leur personnel. Selon la Commission européenne, depuis la modification par le règlement (UE) 2026/1744, aucun niveau précis ni certificat n’est exigé ; un registre interne des formations peut suffire.
À quelle fréquence faut-il refaire l’évaluation de maturité IA ?
Après chaque changement significatif : nouveau système en production, changement de fournisseur, réorganisation, évolution réglementaire. À défaut, une révision annuelle vérifie que la dimension la plus faible a progressé.
Sources
- NIST, AI Risk Management Framework : présentation et publication de l’AI RMF 1.0.
- NIST AI 100-1, Artificial Intelligence Risk Management Framework (AI RMF 1.0), janvier 2023.
- ISO/IEC 42001:2023, Technologies de l’information, intelligence artificielle, système de management.
- Commission européenne, questions et réponses sur la maîtrise de l’IA (article 4 de l’AI Act).
- Règlement (UE) 2024/1689 sur l’intelligence artificielle.
- Règlement (UE) 2026/1744 modifiant le règlement sur l’intelligence artificielle.
Analyse et méthode proposées par Anand Candassamy au 13 octobre 2026.