Gouvernance IA en équipe tech : le cadrage avant d'ouvrir Cursor

La plupart des « politiques IA » d'entreprise tiennent en un PDF de 14 pages que personne n'a lu. Elles parlent d'éthique, de biais, de « usage responsable ». Elles ne disent pas si un développeur a le droit de coller un traceback de prod dans Claude, ni quel modèle est autorisé sur le monorepo billing.

La gouvernance qui sert une équipe tech est ennuyeuse, courte, et applicable lundi matin.

Quatre questions, pas quatorze principes

Quels outils ? Cursor, Claude Code, Copilot, Continue, un wrapper maison : dressez la liste autorisée, pas la liste des interdits (infinie). Tout le reste est non conforme jusqu'à revue. Un outil non listé, c'est un incident, pas une initiative.

Quelles données ? Code source interne : oui, sous conditions. Secrets, dumps, tickets contenant des données perso : non. Le détail opérationnel est dans RGPD et Claude Code. Si vous ne tranchez pas ici, chaque dev tranche tout seul, mal.

Quelle revue ? Le code généré n'est pas du code « en plus ». C'est du code. Même lint, mêmes tests, même reviewer. Ajoutez un label ai-generated au-delà d'un seuil de diff. Ça n'est pas de la police : ça dit au reviewer où poser son attention. Voir le piège du vibe coding.

Qui décide des exceptions ? Un nom. Pas « la DSI ». Un tech lead + un relais legal/sécu, délai de réponse affiché. Sans ça, les exceptions se prennent dans Slack à 23h.

Ce que ça n'est pas

Ce n'est pas Qualiopi. Ce n'est pas un comité IA trimestriel. Ce n'est pas bloquer Claude Code « le temps qu'on réfléchisse » — vos devs l'utilisent déjà, souvent avec leur compte perso. Une interdiction floue produit de l'ombre, pas de la conformité.

La gouvernance utile légitime un usage déjà là, et coupe les usages qui font mal. Elle ne précède pas l'outil de six mois.

Un document d'une page

Titre : Outils IA — règles d'équipe. Date. Auteur. Prochaine revue (90 jours).

• Outils autorisés + versions minimales.
• Modèles autorisés (grand public vs enterprise vs local).
• Données interdites (liste fermée).
• Label PR + seuil.
• Canal pour poser une question (et qui répond).
• Lien vers les rules Cursor et le CLAUDE.md du repo.

Une page. Pas un intranet. Si ça ne tient pas dans une page, vous n'avez pas tranché.

Comment savoir si ça marche

Trois signaux à 30 jours :

1. Les nouveaux arrivants trouvent le document sans le demander.
2. Vous voyez des labels ai-generated sur les PR — donc les gens jouent le jeu.
3. Les incidents « j'ai collé un .env dans le chat » passent de « on n'en parle pas » à « on a un post-mortem d'une page ».

Si au bout de 30 jours personne n'a enfreint la règle, la règle est trop vague ou personne ne l'applique. Les deux cas se ressemblent.

Où on intervient

Devcraft Audit cartographie l'usage réel (souvent très loin du discours) puis pose cette page avec le tech lead. Devcraft Intra entraîne l'équipe dans ce cadre, pas à côté. Sans le cadre, la formation accélère le Far West.

Pour les labs et les POC hors équipe produit, le pendant est Innov : mêmes questions, données souvent plus sensibles, DSI plus présente. Le cadrage se fait avant le sprint, pas le vendredi du demo.