La gouvernance de l'IA se met en place : ce que ça change pour votre transformation

En quelques années, l'intelligence artificielle est passée du statut d'innovation à encadrement minimal à celui de domaine réglementé. Le symbole en est l'AI Act européen, premier cadre horizontal au monde : il classe les systèmes par niveau de risque, interdit certains usages, et impose des obligations graduées, de la transparence pour les modèles à usage général jusqu'aux exigences lourdes des systèmes à haut risque, avec un calendrier d'application qui s'étale sur plusieurs années.

Pour une organisation qui déploie de l'IA, y compris en simple utilisatrice d'outils du marché, la conséquence est concrète : la gouvernance de l'IA devient un dispositif à part entière, avec ses rôles, ses contrôles, sa documentation, ses preuves. Un dispositif qui, comme tous les autres, peut être mature ou embryonnaire.

Réduire le sujet à Bruxelles serait une erreur de périmètre. Les régulateurs sectoriels déclinent leurs propres attentes : superviseurs financiers sur les modèles de décision, autorités de santé sur les dispositifs médicaux, autorités de protection des données sur les traitements algorithmiques. D'autres juridictions avancent avec leurs cadres propres, ce qui complique la vie de tout exportateur.

Et la pression la plus rapide n'est même pas réglementaire, elle est commerciale : les grands donneurs d'ordre intègrent des clauses IA dans leurs contrats, les assureurs commencent à poser des questions, les appels d'offres publics exigent des garanties. Le questionnaire fournisseur qui demandait hier votre politique de sécurité demande aujourd'hui votre gouvernance de l'IA.

Concrètement, un dispositif digne de ce nom couvre quelques invariants : un inventaire des systèmes et usages d'IA, y compris ceux qui entrent par la petite porte des outils SaaS ; une qualification des risques par usage ; des rôles et responsabilités nommés ; des contrôles proportionnés, de la revue humaine à la surveillance des dérives ; et une documentation qui permet de prouver tout cela à un auditeur, un client ou un régulateur.

Rien de tout cela n'est exotique : ce sont les gestes classiques de la conformité, appliqués à un objet nouveau et mouvant. La difficulté n'est pas conceptuelle, elle est d'exécution : savoir où l'on en est, sur chaque entité, et tenir la trajectoire dans le temps.

Toutes les démarches sérieuses commencent au même endroit : l'inventaire des systèmes et des usages. Et c'est presque toujours un choc : entre les modules d'IA embarqués dans les outils SaaS, les usages officieux d'assistants génératifs par les équipes et les projets pilotes oubliés, le périmètre réel dépasse largement le périmètre connu de la direction.

Gouverner un périmètre fictif ne protège de rien. L'inventaire honnête, lui, permet de trier : quels usages sont anodins, lesquels touchent des décisions sur des personnes, lesquels tomberont dans le haut risque. C'est ce tri qui dimensionne l'effort, et il change tout au budget.

L'expérience des réglementations précédentes, de la protection des données à la cybersécurité, enseigne une chose : les organisations qui s'en sortent bien sont celles qui transforment tôt l'exigence en dispositif mesuré, plutôt que d'attendre l'échéance pour improviser. Celles qui ont vécu l'entrée en application du RGPD savent exactement de quoi on parle.

La démarche tient en quatre gestes : cartographier ses usages de l'IA, évaluer la maturité de sa gouvernance sur un référentiel structuré, identifier les écarts face aux obligations qui la concernent réellement, et dérouler un plan d'action daté, réévalué à chaque cycle. Notre catalogue compte 19 référentiels données et IA pour outiller ce geste, du cadre de gouvernance générique aux exigences réglementaires spécifiques.