Les projets d’IA aux Achats échouent rarement sur la valeur métier : elle se démontre vite. Ils s’enlisent dans la boucle de validation, quand la DSI attend un dossier d’architecture, le RSSI des preuves, le DPO un cadre RGPD, et que chacun découvre le sujet séparément. Voici ce qu’attendent réellement vos interlocuteurs, les preuves à réunir, et la méthode pour obtenir le feu vert en quinze jours plutôt qu’en six mois.
- Un projet d’IA Achats se valide auprès de trois interlocuteurs aux attentes distinctes : la DSI (architecture, intégration, réversibilité), le RSSI (preuves de sécurité vérifiables), le DPO (RGPD article 28, IA Act).
- La règle d’or du porteur de projet : ne jamais répondre soi-même aux questions techniques. Transmettre le dossier de l’éditeur, puis connecter directement les équipes.
- Six documents suffisent à instruire la due diligence : NDA, charte sécurité, DPA, accès au trust center, attestations de la chaîne technique, questionnaires complétés.
- Un parcours de validation bien mené tient en 15 jours : transmission du dossier (jour 1), échange direct éditeur-DSI/DPO (semaine 1), démonstration sur cas réel sous NDA (semaine 2).
Pourquoi les projets d’IA Achats s’enlisent en validation
Le scénario se répète dans la plupart des organisations. La direction Achats identifie une solution, valide la valeur métier, puis sollicite l’avis de l’IT et de la conformité. Chaque fonction découvre alors le sujet avec ses propres questions, à son propre rythme, sans dossier commun. Le porteur de projet fait la navette, répond de mémoire à des questions d’architecture qui ne sont pas de son ressort, et chaque imprécision coûte une à deux semaines de cycle. Pendant ce temps, le shadow AI prospère : les équipes utilisent déjà des IA généralistes sur des comptes personnels, avec des données réelles, hors de tout cadre.
Le paradoxe mérite d’être posé : plus la validation officielle traîne, plus l’usage non gouverné s’installe. La vitesse de validation est donc elle-même un enjeu de sécurité.
Ce qu’attendent vraiment votre DSI, votre RSSI et votre DPO
Chaque interlocuteur instruit le dossier avec sa grille propre. Les connaître à l’avance permet de fournir les bonnes pièces du premier coup :
| Interlocuteur | Ses questions | Les preuves qui répondent |
|---|---|---|
| Direction Générale | Quel risque à faire ? Quel risque à ne pas faire ? | Le constat shadow AI, le cadre proposé, le parcours sans engagement (démo gratuite, pilote, Go / No-Go). |
| DSI | Quelle architecture, quelle intégration, quelle dépendance ? Comment on en sort ? | La chaîne technique nommée maillon par maillon, le démarrage sans intégration SI, la réversibilité (export, suppression). |
| RSSI | Comment c’est protégé, et comment je le vérifie sans vous croire sur parole ? | Chiffrement, rôles, cloisonnement, traçabilité ; trust center consultable en temps réel ; questionnaires sécurité complétés par l’éditeur. |
| DPO | Qui est responsable de quoi ? Où vont les données ? Et l’IA Act ? | Qualification article 28 avec DPA, liste des sous-traitants ultérieurs, hébergement UE, non-entraînement des modèles, positionnement IA Act documenté. |
Les 6 preuves à réunir avant la première réunion
La due diligence n’a rien de mystérieux : elle se résume à six pièces, toutes à la charge de l’éditeur. Un NDA signé dès le premier échange, pour protéger vos données avant toute démonstration. Une charte sécurité complète, le document de référence de votre RSSI. Un DPA (accord de traitement des données) avec la liste des sous-traitants ultérieurs. Un accès direct au trust center de l’éditeur, pour que votre DSI vérifie la posture de sécurité par elle-même, en temps réel. Les attestations de toute la chaîne technique : hébergeur, base de données et couche IA, en distinguant ce qui est acquis, en cours et daté. Et les réponses aux questionnaires sécurité de votre organisation, complétées par l’éditeur, jamais par vous.
Un éditeur sérieux fournit ces six pièces sans friction et sous quelques jours. Toute réticence à ce stade est une information en soi.
Les 3 erreurs classiques du porteur de projet
Première erreur : porter seul les questions techniques. Défendre l’architecture ou le RGPD à la place de l’éditeur vous met en position d’expert sur un sujet qui n’est pas le vôtre, et chaque question restée sans réponse coûte un cycle. Transmettez, puis connectez : un échange direct de trente minutes entre l’éditeur et votre DSI règle plus de questions qu’un mois de navette.
Deuxième erreur : argumenter sans preuve. Face à un RSSI, une affirmation vaut zéro et une preuve vérifiable vaut tout. Le bon réflexe consiste à donner l’accès direct aux justificatifs plutôt qu’à les paraphraser.
Troisième erreur : attendre le grand schéma directeur IA. Reporter tout usage à un futur socle global, c’est laisser le shadow AI prospérer pendant dix-huit mois. Un pilote cadré, sous NDA, sans intégration SI, avec Go / No-Go à chaque étape, protège mieux l’organisation qu’un moratoire.
Le parcours de validation en 15 jours
Jour 1 : transmettez à chaque interlocuteur la section du dossier qui le concerne, avec le NDA. Semaine 1 : organisez l’échange direct de trente minutes entre l’éditeur et vos équipes IT et conformité ; les questionnaires sécurité partent en parallèle, à la charge de l’éditeur. Semaine 2 : démonstration sur l’un de vos dossiers réels, sous NDA : la valeur se démontre pendant que la conformité se valide, et non après. À l’issue, chacun dispose de ce qu’il lui faut pour un avis éclairé, et la décision de pilote se prend sur pièces.
Le Pack Validation DSI · RSSI · DPO
Le dossier complet prêt à transmettre : une section par interlocuteur (architecture, sécurité, RGPD, IA Act), les preuves associées, dix objections avec leurs réponses et l’email type pour lancer la validation.
Télécharger le pack validationQuestions fréquentes
Faut-il impliquer la DSI dès le début du projet ou attendre d’avoir choisi ?
Dès la présélection. Une DSI associée en amont instruit le dossier en semaines ; une DSI mise devant le fait accompli le reprend de zéro, avec la défiance en plus. L’idéal : lui transmettre le dossier de validation de l’éditeur pressenti avant même la démonstration.
Que faire si le DPO oppose un refus de principe à l’IA ?
Ramener la discussion du principe aux faits : qualification article 28, DPA, hébergement UE, non-entraînement des modèles, droits des personnes. Un refus de principe résiste rarement à un dossier documenté et à un échange direct avec l’éditeur, preuves à l’écran.
Un questionnaire sécurité de 200 questions est-il un signal d’échec ?
Non, c’est une procédure normale dans les organisations structurées. Le signal à surveiller est ailleurs : c’est à l’éditeur de le compléter, sous quelques jours. Si cette charge vous revient, le problème n’est pas le questionnaire.
Le RGPD interdit-il d’utiliser une IA sur des données fournisseurs ?
Non. Il exige un cadre : votre organisation reste responsable de traitement, l’éditeur agit comme sous-traitant au sens de l’article 28, avec un DPA, des sous-traitants ultérieurs listés et des garanties sur la localisation et l’usage des données. C’est précisément ce que votre DPO doit pouvoir vérifier.
L’IA Act impose-t-il des obligations à l’entreprise qui déploie une IA Achats ?
Oui, mais elles sont mesurées pour un usage professionnel d’aide à la production : supervision humaine, transparence et formation des utilisateurs (littératie IA, article 4, applicable depuis février 2025). Un déploiement documenté avec un éditeur qui fournit traçabilité et formation y répond naturellement.
Chez Swott, nous avons transformé cette méthode en dossier prêt à l’emploi pour Cortex × Impact³ : hébergement UE, trust center consultable, DPA, questionnaires pris en charge, démonstration sur vos dossiers réels sous NDA. Si votre projet est bloqué en validation, le plus court chemin reste de nous connecter directement à votre DSI et à votre DPO.
Cette formation pourrait vous intéresser
