Pilotage de projet et IA : maîtrise des coûts, impacts et gouvernance

L’IA au coeur de la transformation des métiers du conseil et de la gestion de projet

Du cadrage au reporting : quels usages pour l’IA

L’intelligence artificielle, en particulier l’IA générative et agentique, s’impose désormais comme un levier stratégique dans le pilotage des projets. En effet, au 1er décembre 2025, 61% des salariés déclarent l’utiliser de manière hebdomadaire selon une étude EY Work Reimagined.  Du cadrage initial jusqu'au suivi opérationnel, elle transforme les pratiques des équipes AMOA en automatisant des tâches à forte valeur ajoutée : l’IA facilite l'analyse documentaire lors des études amont, accélère la rédaction des spécifications fonctionnelles et aide à la préparation des ateliers de recueil du besoin.

En phase de suivi, elle permet d’automatiser et de rationaliser la rédaction des comptes-rendus, la consolidation des reportings et la conduite du changement. Elle peut ainsi occuper un rôle de copilot(e) de production intellectuelle, intervenant principalement en soutien à la décision. Toutefois, plus son usage se rapproche des jalons décisionnels, plus les exigences de contrôle humain, de traçabilité et de responsabilité deviennent primordiales pour garantir le succès et la sécurité des projets.

Gain de productivité oui, mais pour quel coût ?

Lorsqu’on évalue le gain lié à la l’intégration de l’intelligence artificielle dans un projet, on peut être tenté de s’en tenir à un simple calcul du Retour sur Investissement en mesurant le gain direct (souvent matérialisé par un gain de productivité) par rapport au coût à l’usage (souvent en fonction du pricing de la licence). Bien que séduisante et facile à présenter, cette approche s’avère incomplète et masque la réalité des investissements nécessaires : 72% des dirigeants financiers interrogés dans le cadre d’une étude menée par Esker estiment que leur organisation a dépensé davantage que prévu dans des projets IA au cours des douze derniers mois.

En effet, au-delà des frais directs liés aux abonnements ou à la consommation d’API, il convient également de prendre en compte l’intégration au Système d’Information, le stockage des données et la puissance de calcul allouée. À cela s’ajoutent des investissements pour assurer la mise en conformité réglementaire (notamment vis-à-vis de l’AI Act et du RGPD), la sécurité des systèmes, la formation continue des équipes, ainsi que la mise en place de dispositifs visant à maîtriser les risques opérationnels.

Enfin, s’ajoute à ces coûts financiers un coût sociétal qui se traduit notamment par un fort impact environnemental lié à la consommation accrue de ressources (électricité, eau, matières premières) à toutes les étapes du cycle de vie des modèles. Il inclut également des enjeux majeurs de transparence et de responsabilité éthique concernant la provenance, la confidentialité et le traitement des données des utilisateurs.

Ainsi, déterminer la véritable valeur ajoutée de l’IA relève d’une équation complexe. Même dans la finance, où les gains liés à l’IA sont particulièrement mesurables, 94 % des responsables financiers interrogés par Esker déclarent rencontrer des difficultés à en mesurer le ROI, notamment pour relier son utilisation à des résultats métier concrets. La prise en compte de tous les coûts, directs ou indirects, est indispensable pour permettre une création de valeur mesurée, maîtrisée et durable. 

L’impact environnemental : la face cachée de l’IA

Une requête ne se résume pas à une consommation électrique

L'exécution d'une simple requête IA repose sur une infrastructure physique complexe bien réelle : en plus des serveurs directement sollicités, elle mobilise des centres de données, des processeurs hautement spécialisés (GPU et TPU), auxquels s’ajoutent les systèmes de stockage et de réseau. L’alimentation électrique des ces équipements, qui dépend directement du mix énergétique utilisé, concentre la majeure partie des impacts directs de l’IA. Selon le rapport du Shift Project sur l’IA, la consommation électrique des centres de données à l’échelle mondiale a atteint 420 TWh en 2024, soit près de l’équivalent de l’ensemble de la consommation électrique de la France sur cette période.

En addition de leur consommation électrique, ces infrastructures utilisent d'importants volumes d’eau (en grande partie potable) pour leur refroidissement, pouvant induire au niveau local un stress hydrique ainsi qu’une hausse des températures. A titre d’exemple, les centres de données français ont prélevé 575 000 m3 d’eau en 2024, soit à peu près l’équivalent de la consommation annuelle d'une commune de 10 000 habitants. De surcroît, l’eau est également indispensable dans le processus d’extraction des métaux rares et des matières premières indispensables à la fabrication des composants électroniques des différents équipements.

Enfin, pour appréhender le coût écologique réel de chaque requête, il est essentiel d'intégrer l'ensemble des étapes du cycle de vie des équipements : de la phase d'entraînement initiale des modèles à leur inférence au quotidien, en passant par le renouvellement fréquent des serveurs et le traitement final des déchets électroniques en fin de vie. 

Le paradoxe du gain de productivité : l’effet rebond

On pourrait penser que le gain de productivité apporté par l’IA réduit mécaniquement l’impact environnemental et financier d’une tâche. Par exemple, une IA peut transcrire automatiquement un comité projet et produire son compte rendu en quelques minutes, là où un collaborateur consacrait auparavant 45 minutes à cette tâche.

Mais ce gain peut aussi conduire à multiplier les usages : produire un compte rendu détaillé après chaque réunion plutôt qu’une synthèse des points clés, générer plusieurs versions d’un même livrable ou solliciter systématiquement l’IA pour reformuler, analyser et enrichir des contenus qui auraient auparavant été traités une seule fois. C’est ce qu’on appelle l’effet rebond : le gain d’efficacité obtenu sur une activité entraîne une augmentation de son usage, ce qui peut réduire ou annuler le bénéfice initial attendu.

Des outils de mesure à intégrer dans à une démarche globale 

Il existe plusieurs outils permettant d’évaluer l’impact environnemental lié à l’utilisation de l’IA au sein d’un projet, comme par exemple Greenly, CodeCarbon, Impact’IA ou encore EcoLogits. Ces outils sont utiles pour obtenir des ordres de grandeur, comparer différents scénarios d’usage ou encore sensibiliser, et constituent ainsi un bon point de départ pour une DSI qui souhaiterait commencer à mesurer l’impact de ses usages IA.

Toutefois, leur périmètre d’évaluation reste partiel. Il ne couvre pas nécessairement les phases d’entraînement, la fabrication du matériel, l’eau nécessaire au refroidissement, la fin de vie etc. La précision de l’évaluation dépend également des données disponibles, qui peuvent être partielles ou manquantes lors de l’utilisation de services externes.

Ces outils ne donnent donc pas “le” chiffre de l’impact d’une IA, et sont à intégrer dans une démarche plus globale visant à évaluer le service numérique dans son ensemble : usages, architecture, infrastructures et cycle de vie.

Éthique et maîtrise des risques : quand l’assistant influence la décision 

Confidentialité : quelles données peut-on confier à une IA ? 

Prenons un cas courant : un consultant utilise une IA pour rédiger le compte rendu d’un point d’urgence consacré à la résolution d’un incident de production. Au cours de la réunion, plusieurs clients sont nommés et des informations précises sur le fonctionnement de l’application sont échangées. Copier la transcription ou les notes dans un outil d’IA peut alors exposer des données confidentielles, personnelles ou sensibles à un traitement qui n’a pas été qualifié.

En tant qu’organisme, votre rôle est celui de responsable de traitement tel qu’il est défini par la CNIL. C’est donc votre obligation de caractériser l’usage qui justifie le traitement de ces données, et de vérifier ce qu’elles deviennent : quelle est leur nature et leur niveau de sensibilité ? Où sont-elles hébergées et traitées ? Combien de temps sont-elles conservées ? Le fournisseur les réutilise-t-il pour entraîner ou améliorer ses modèles ? Quels sous-traitants interviennent dans le traitement ?

Sans maîtrise suffisante de la chaîne de traitement, l’entreprise peut s'exposer à de nombreux risques : violation de données personnelles, divulgation d’informations confidentielles, exposition de son architecture et de ses vulnérabilités etc.

Hallucinations et biais

Une IA peut donner une information incorrecte, fictive ou hors de propos en la présentant comme factuelle : c’est ce qu’on appelle une hallucination. Cette information erronée peut être difficile à détecter car plausible dans son contexte de restitution. Inhérente au réglage des modèles qui récompensent davantage une information erronée présentée avec assurance plutôt qu’un “je ne sais pas”, il est toutefois nécessaire de prendre cette marge d’erreur en compte lorsqu’on réalise un traitement par IA.

De plus, la qualité des données utilisées pour entraîner les modèles a un impact direct sur la qualité des réponses en sortie : de la disqualité, des biais ou encore un manque de représentativité de cas limites en entrée peuvent considérablement dégrader la pertinence des résultats. Au-delà des résultats techniques, cela peut également impliquer des risques éthiques (par exemple, biais discriminatoires) ou juridiques.

Enfin, il est important de toujours remettre en cause les résultats issus d’un traitement automatique, sous peine d’être sujet à des biais d’automatisation conscients (je détecte une contradiction des résultats avec d’autres sources mais accorde ma confiance à l’IA) ou inconscient (je ne détecte pas l’erreur par excès de confiance envers l’IA).

Responsabilité : qui valide le livrable produit par l’IA ?   

Afin de limiter les risques précédemment évoqués, il est nécessaire de garder une intervention humaine dans le processus de production du livrable sans en transférer la responsabilité à l’outil.

Ce principe, appelé human-in-the-loop, est à mettre en place avec un niveau de contrôle adapté à la criticité du cas d’usage (cf article 14 de l’AI Act) : relecture systématique pour un livrable sensible, contrôle par échantillonnage pour une tâche moins critique, ou validation experte lorsqu’une décision métier ou technique est en jeu.

AI Act, RGPD et cybersécurité : quelles obligations pour la DSI ?

AI Act : passer d’une logique d’outil à une logique de risque

L’AI Act, entré en vigueur en 2024, établit une réglementation européenne fondée sur le niveau de risque des systèmes d’IA : pratiques interdites, systèmes à haut risque, exigences de transparence et de supervision humaine etc. Son application est progressive, débutée en 2025 et se poursuivant jusqu’en 2027 pour les obligations concernant les systèmes d’IA à haut risque.

Pour une DSI, l’enjeu est de qualifier les cas d’usage, notamment au regard de l’article 6, plutôt que de simplement autoriser ou interdire un outil. Elle doit également veiller à un niveau suffisant de maîtrise de l’IA des collaborateurs au sein de l’organisation (article 4), veiller à la mise en place d’un contrôle humain (article 14) et respecter le principe de transparence (article 50). Des manquements peuvent entraîner des sanctions importantes : jusqu’à 35 M€ ou 7 % du chiffre d’affaires annuel mondial.

RGPD : intégrer la protection des données dès la conception  

Le Règlement Général sur la Protection des Données encadre le traitement des données à caractère personnel au sein de l’Union européenne. Adopté en 2016, il est en application depuis le 25 mai 2018. Il impose notamment de définir une finalité aux données utilisées
et d’en limiter la collection à un usage strictement nécessaire, d’assurer leur sécurisation et enfin de pouvoir démontrer sa conformité. Comme le rappelle la CNIL, ces principes s’appliquent également aux usages de l’IA dès lors qu’ils impliquent des données personnelles.

Pour une DSI, cette démarche implique notamment de définir la finalité du traitement, minimiser les données transmises, qualifier le rôle du fournisseur, encadrer la sous-traitance, maîtriser la conservation et mettre en œuvre des mesures de sécurité adaptées au risque. La CNIL, garante de son application en France, recommande également d’intégrer la protection des données dès la conception du système (privacy by design), plutôt que de rechercher la conformité après son déploiement. Le non-respect du RGPD peut entraîner des mesures correctrices de la part de la CNIL et en dernier recours à une sanction financière pouvant s’élever jusqu’à 20M€ ou 4 % du chiffre d’affaires annuel mondial.

Cybersécurité : une porte ouverte vers le SI

Au même titre que tous les composants d’un SI, les systèmes d’IA présentent des failles et doivent donc être sécurisés, notamment en adressant les vulnérabilités qui leur sont propres : empoisonnement des données, attaques adversariales, détournement des instructions ou extraction d’informations. La CNIL et l’ANSSI recommandent donc d’adapter l’analyse de risques et les mesures de sécurité aux caractéristiques propres à ces systèmes.

Ce risque est renforcé par le Shadow AI, soit l’utilisation d’outils IA par les collaborateurs en dehors du cadre prévu par la DSI. Cette dernière doit donc recenser les usages potentiels, contrôler les accès des utilisateurs via une gestion des habilitations, tout en maîtrisant les interactions entre l’IA et le SI. Il est également nécessaire de sensibiliser et former les utilisateurs aux risques liés à l’utilisation de l’IA dans le cadre professionnel.

Vers une IA utile, sobre et maîtrisée   

Remettre le besoin au centre de la démarche

Pour éviter une adoption de l’IA guidée par l’effet de mode, il est nécessaire de partir du besoin plutôt que de l’outil : quel problème métier cherche-t-on à résoudre ? Quel est le bénéfice attendu ? Si l’IA est la solution retenue, quels sont les risques, les coûts et les impacts liés à sa mise en place ?

Il est également important de choisir une technologie dimensionnée au besoin : pour une tâche simple comme le tri automatique d’e-mails, un modèle spécialisé ou un algorithme dédié est préférable à un LLM génératif plus complexe et plus consommateur de ressources.

De nombreux outils et référentiels proposent un cadre afin de s’assurer que le moyen mis en œuvre est en adéquation avec le besoin initial. On peut notamment citer la Boussole de l’IA développée par Nantes Métropole, qui pose un cadre de recours à l’IA dans le secteur public facilement adaptable à un usage privé, ou encore l’AFNOR Spec 2314, un référentiel consacré à l’IA frugale visant à évaluer et atténuer l’empreinte écologique des solutions IA. Le Référentiel général d’écoconception des services numériques, élaboré par l’Arcep et l’Arcom en lien avec l’ADEME, vise également à intégrer l’écoconception dès la conception d’un service numérique et tout au long de son cycle de vie.

Mesurer la qualité et le gain de la démarche IA 

La qualité d’un traitement par IA dépend fortement de la qualité des données utilisées lors de l’entraînement. La norme ISO/IEC 5259-3:2024 fournit un cadre pour mettre en place la gestion de la qualité des données utilisées dans l’analyse et l’apprentissage automatique afin de les rendre les données fiables, vérifiables et conformes aux attentes des parties prenantes. Il est toutefois à noter que la maîtrise des données utilisées pour l’entraînement n’est pas toujours à la main de l’organisme qui utilise le service IA.

La qualité des résultats doit également être évaluée à l’aide d’indicateurs définis en amont du déploiement selon la finalité du système et le niveau de performance attendu : taux d’erreur, score de confiance, temps de calcul ou retours humains. Ces indicateurs doivent être complétés par des mesures du gain effectif, comme le temps gagné, les coûts évités, le volume traité, la qualité des livrables ou la satisfaction des utilisateurs. La comparaison avec les bénéfices attendus permet de vérifier que l’IA apporte bien la valeur recherchée.
La conformité doit également être intégrée à cette évaluation. La CNIL propose une liste de points à vérifier pour prendre en compte les exigences du RGPD dans les différentes étapes du développement d’un système d’IA. Pour l’AI Act, le Compliance Checker de la Commission européenne permet d’identifier les règles susceptibles de s’appliquer selon le système et le rôle de l’organisation. En cas de non conformité ou de mise en conformité postérieure au déploiement de la solution, des indicateurs dédiés seront à définir. Il est important de souligner que ces contrôles doivent être maintenus tout au long du cycle de vie du système, y compris après la mise en production.

Construire une gouvernance IA globale et intégrée à la DSI

La gouvernance de l’IA doit être pensée à l’échelle de l’organisation, et pas uniquement comme un sujet technique porté par la DSI. L’entreprise doit définir un cadre commun cohérent avec sa stratégie et ses engagements en matière de numérique responsable. Le RGESN recommande notamment d’interroger l’utilité et les impacts d’un service numérique au regard de la stratégie dès sa conception. Ce cadre doit ensuite être traduit en règles opérationnelles au sein de la DSI, afin d’encadrer les projets et les usages de l’IA. La formation des équipes constitue également un volet essentiel de cette démarche : comme le souligne l’ADEME, la sensibilisation aux impacts et aux bonnes pratiques contribue à favoriser un usage raisonné de l’IA et à réduire les risques associés.

Deux normes ISO sont à considérer pour la mise en place de cette démarche globale : l’ISO/IEC 42001:2023, qui définit des recommandations pour l’utilisation de l’IA de manière responsable, et l’ISO/IEC 23894:2023, consacrée management des risques liés à l’IA.

L’IA peut devenir un véritable levier de performance, à condition de ne pas réduire son évaluation aux seuls gains de productivité. Elle doit s’appuyer sur la prise en compte de ses coûts, de ses risques et de ses impacts environnementaux et sociaux. Pour cela, ces enjeux doivent être intégrés à la stratégie de l’entreprise, puis pris en compte dans chaque projet et chaque cas d’usage. Le but n’est pas de multiplier les usages de l’IA, mais de retenir ceux pour lesquels elle apporte une véritable valeur ajoutée, mesurable et responsable.