Deux chiffres, tirés de la même enquête, suffisent à poser le problème. Selon la quatrième édition du Baromètre Konica Minolta de la sérénité numérique, réalisée avec l’Institut Occurrence, groupe IFOP, auprès de cinq cents entreprises françaises dont quatre cents PME et cent ETI, interrogées par téléphone entre le 25 juillet et le 15 septembre 2025, 84 % des PME se déclarent sereines face au numérique. La même enquête établit que 82 % des entreprises n’ont mis en place aucune règle d’usage spécifique à l’intelligence artificielle, alors même que 65 % y voient une opportunité. Ajoutons un troisième repère : seules 25 % disposent d’une stratégie numérique formalisée, 33 % étant en cours de formalisation, ce qui marque tout de même un progrès sur l’édition précédente, où une entreprise sur deux n’avait aucune stratégie. Précisons d’emblée, par honnêteté méthodologique, qu’il s’agit d’une étude commanditée par un acteur du marché, ce qui invite à la prudence sur son cadrage, mais conduite par un institut reconnu selon une méthodologie publiée, ce qui rend ses ordres de grandeur exploitables. Ces chiffres ne décrivent pas des entreprises négligentes. Ils décrivent des entreprises qui adoptent plus vite qu’elles n’organisent, et c’est un problème très différent, dont nous voudrions montrer qu’il n’est ni technique ni budgétaire, mais institutionnel.
Le vrai manque n’est pas un outil, c’est une instance
Regardons de près une PME ou une ETI de deux cents personnes. Elle a de la veille, généralement dispersée : quelqu’un au commerce suit les concurrents, quelqu’un à la communication surveille les réseaux, quelqu’un à la direction lit la presse professionnelle, et un prestataire remonte des alertes de sécurité. Elle a une communication, chargée de parler au bon moment. Elle a un conseil juridique, sollicité quand un risque devient contentieux. Elle a une cybersécurité, souvent externalisée, qui protège les systèmes. Chacune de ces fonctions travaille correctement dans son couloir. Et pourtant, quand un signal arrive, un avis client incendiaire qui commence à circuler, une rumeur sur un site d’emploi, une réponse d’intelligence artificielle qui décrit l’entreprise de travers, une question de journaliste, un contenu suspect qui mentionne un dirigeant, personne n’est chargé de trancher la seule question qui compte : est-ce que cela mérite une réponse, une escalade, ou rien du tout. Le signal circule alors de boîte mail en boîte mail, chacun estimant que c’est le domaine d’un autre, jusqu’à ce qu’il s’éteigne de lui-même ou qu’il devienne une crise. Ce vide n’est pas un défaut de compétence, c’est un défaut d’attribution : dans la plupart des organisations de cette taille, aucune fonction n’a reçu explicitement le mandat de transformer l’information en décision. Nous appelons cette fonction manquante la gouvernance informationnelle, et son absence explique pourquoi des entreprises bien équipées réagissent mal.
Pourquoi ce vide devient coûteux maintenant
Cette lacune existait hier sans faire de dégâts visibles, pour une raison simple : l’information circulait lentement. Un mécontentement mettait des semaines à devenir un sujet, une rumeur mourait souvent avant d’atteindre un client, et le temps de réaction disponible se comptait en jours. Trois évolutions récentes ont supprimé ce coussin. D’abord, la vitesse : nous avons documenté dans notre chronologie des 72 heures comment une accusation publique peut produire ses effets financiers en quelques minutes, bien avant toute réponse possible, et cette compression du temps utile rend inopérante toute organisation qui doit d’abord se demander qui décide. Ensuite, la médiation par les machines : ce que l’on dit de votre entreprise ne circule plus seulement entre humains, il est absorbé, résumé et restitué par des systèmes qui répondent à votre place, si bien qu’une information erronée non corrigée cesse d’être un incident pour devenir une description durable. Enfin, l’usage interne de l’intelligence artificielle, adopté par les équipes avec ou sans autorisation, crée une nouvelle catégorie de signaux que personne ne traite : des données sensibles qui sortent, des contenus produits sans vérification, des décisions préparées par un outil dont on n’a pas défini les règles d’usage. Que 82 % des entreprises n’aient encore fixé aucune règle sur ce point n’est pas un détail administratif, c’est la mesure d’un angle mort collectif. La sérénité déclarée s’explique alors très bien : on ne s’inquiète pas de ce qu’on ne regarde pas.
Le modèle de maturité en cinq niveaux
Pour rendre ce diagnostic actionnable, nous proposons une échelle simple, où chaque direction peut se situer en dix minutes. Niveau 1, l’organisation aveugle : la veille est fortuite, les signaux arrivent par hasard, généralement par un client ou un salarié, et la réaction est improvisée. Niveau 2, l’organisation informée mais muette : la veille existe et remonte des choses, mais aucune règle ne dit qui en fait quoi, si bien que l’information s’accumule sans produire de décision. C’est le niveau le plus fréquent, et le plus trompeur, parce qu’il donne le sentiment d’être équipé. Niveau 3, l’organisation qui arbitre : une instance identifiée, même légère, examine périodiquement les signaux et décide explicitement de répondre, de surveiller ou d’ignorer, en traçant ses décisions. Niveau 4, l’organisation qui exécute : aux arbitrages s’ajoutent des procédures écrites et testées, des porte-parole désignés, des preuves préservées par réflexe, des relais tiers constitués à froid, comme dans toute doctrine d’attaque réputationnelle bien préparée. Niveau 5, l’organisation qui apprend : chaque épisode est analysé, les seuils sont ajustés, et la fonction alimente la stratégie plutôt que de la subir. L’écart entre le niveau 2 et le niveau 3 est le plus rentable de tous, parce qu’il ne coûte presque rien : ni recrutement, ni logiciel, ni budget. Il suppose une décision d’organisation, une réunion périodique, des responsables nommés et des seuils écrits. La plupart des entreprises qui se croient au niveau 4 parce qu’elles ont un outil de veille sont en réalité au niveau 2.
Comment installer le dispositif, concrètement
Étape 1 : nommer, avant d’outiller
Désignez qui décide. Dans une organisation de taille moyenne, il ne s’agit pas de créer un poste mais d’attribuer un mandat : une personne, généralement à la direction générale ou à la communication, avec un suppléant, chargée d’arbitrer les signaux selon des seuils écrits. Sans nom sur cette responsabilité, tout le reste reste théorique.
Étape 2 : écrire les seuils, pas les procédures
Un protocole utile tient sur une page et répond à trois questions : quels types de signaux remontent obligatoirement et à qui, quels critères déclenchent une réponse plutôt qu’une simple surveillance, et à partir de quel seuil la direction générale est saisie. Les longues procédures ne sont jamais lues ; les seuils, si, parce qu’ils tranchent.
Étape 3 : régler d’abord le cas de l’IA interne
Puisque plus de huit entreprises sur dix n’ont aucune règle d’usage, c’est le chantier au meilleur rapport effort-risque. Une page suffit à définir ce qui peut être soumis à un outil externe et ce qui ne le peut pas, qui vérifie ce qui est produit, et ce qui doit être signalé. Ce document ne freine pas l’adoption, il la sécurise, et il crée au passage l’habitude de gouverner l’information.
ELMARQ installe des dispositifs de veille, d’arbitrage et d’exécution dans les PME et ETI, du protocole d’une page au fonctionnement testé, en stratégie et en exécution. Trente minutes de diagnostic suffisent à situer votre organisation sur les cinq niveaux et à identifier votre premier chantier : elmarq.fr/contact.
Terminons par ce que ces chiffres disent vraiment. Il serait facile, et injuste, de conclure que les PME françaises sont imprudentes. Elles ne le sont pas : elles adoptent des technologies utiles avec les moyens dont elles disposent, et leur sérénité affichée traduit souvent une confiance légitime dans leurs équipes. Le problème est plus subtil et bien plus commun : les organisations se dotent d’outils avant de se doter de règles, et de règles avant de se doter d’une instance capable de décider. C’est l’ordre inverse qui produit de la robustesse. Une entreprise qui saurait, ce soir, qui tranche en cas de signal, selon quels critères et sous quel délai, serait mieux protégée qu’une entreprise équipée des meilleurs outils sans réponse à cette question. La gouvernance informationnelle est peut-être la seule fonction stratégique qu’on puisse installer avec une page écrite et deux noms. C’est aussi, pour cette raison, celle qu’on remet indéfiniment à plus tard.
