La gouvernance de l'IA n'entrave pas les projets ; elle leur permet de dépasser la phase pilote. Une organisation sans inventaire, sans évaluation des risques et sans traçabilité ne peut approuver un déploiement à grande échelle, car personne n'est en mesure de garantir que les risques sont bien compris. Et ce qui n'est pas approuvé ne peut être déployé à grande échelle.
C’est pourquoi tant d’entreprises accumulent des preuves de concept concluantes sans pour autant déployer de systèmes en production. Il ne s’agit pas d’un problème technologique, mais de l’absence d’un mécanisme permettant de donner un « oui » fondé sur des arguments solides.
Selon l'étude menée par IBM auprès de 2 000 PDG de 33 pays en 2025, seuls 251 000 projets d'IA avaient généré le retour sur investissement escompté et seulement 161 000 avaient été déployés à l'échelle de l'organisation.
Le rapport sur le coût d'une violation de données de la même année offre une perspective opposée : Parmi les organisations ayant subi un incident lié à l'IA, 63% ne disposaient d'aucune politique de gouvernance., et le 97% ne disposait pas de contrôles d'accès adéquats.
Ces deux chiffres décrivent le même vide. Sans gouvernance, il n'y a pas de mise à l'échelle ; et sans gouvernance, de surcroît, lorsqu'un problème survient, il n'y a rien à apprendre.
La gouvernance de l'IA n'est pas un document de politique, même si la quasi-totalité des programmes y débutent et y aboutissent. Il s'agit d'un ensemble de cinq mécanismes opérationnels :
Inventaire. Quels systèmes d'IA existent, selon quel processus, avec quelles données, chez quel fournisseur, et qui est responsable de chacun ? C'est le premier livrable et celui qui suscite le plus de résistance car il révèle des choses que personne ne voulait savoir.
Classification des risques par cas d'utilisation. Ce même modèle peut s'avérer inutile pour résumer un compte rendu et crucial pour la sélection des candidats. C'est l'usage qui est classifié, jamais l'outil lui-même.
Commandes proportionnelles. Un système à faible risque n'a pas besoin du même appareillage qu'un système qui prend des décisions concernant des personnes. Appliquer des contrôles uniformes est le moyen le plus sûr de garantir que la gouvernance soit détestée et évitée.
Traçabilité. Il s'agit de consigner les données entrantes, les données sortantes, la version utilisée et la personne ayant validé le document. Cette exigence est commune à tous les cadres réglementaires.
Un point de décision. Une personne ou un comité approuve le passage du projet pilote à la production. Cette approbation s'effectue selon des critères préétablis et des délais courts.
Les cinq éléments peuvent tenir sur quelques pages seulement. Les logiciels qui produisent quarante pages remplacent généralement le travail difficile — l'inventaire — par le travail facile : la rédaction.
Cadre | Quelle est sa contribution ? | Certifiable |
|---|---|---|
NIST AI RMF (+ Profil d'IA générative) | Modèle opérationnel de gestion des risques, 12 catégories de risques liés à l'IA générative | Non |
ISO/IEC 42001:2023 | Système de gestion de l'IA avec cycle d'amélioration continue | Ouais |
ISO/CEI 27001 | La sécurité de l'information est le fondement de tout ce qui précède. | Ouais |
Réglementation européenne sur l'IA | Obligations légales selon la catégorie de risque | Obligatoire, non facultatif |
La combinaison pratique est simple : Certification NIST pour l'exploitation, certification ISO 42001 pour la démonstration et réglementations à respecter.. Un client ou un auditeur ne demandera pas à voir votre cadre interne ; il exigera une certification ou une preuve équivalente. Il est bon de le savoir avant de concevoir votre propre système.
Concernant le calendrier légal applicable et ce qui a été reporté avec la loi omnibus numérique, nous l'avons détaillé dans la loi sur l'IA en 2026
Semaines 1 à 4 : inventaire. Dépenses, intégrations autorisées, enquête interne avec amnistie. L'objectif est d'établir une liste, pas de porter un jugement.
Semaines 5-6 : classer. Chaque utilisation se classe dans l'une des trois catégories suivantes : faible risque (utilisation sans restriction, conformément à la réglementation sur les données), risque moyen (nécessite un enregistrement et la désignation d'un responsable) et risque élevé (nécessite un examen formel et une supervision humaine). La plupart des utilisations relèvent de la première catégorie ; il est donc important de le documenter et de le communiquer.
Semaines 7 à 9 : Maîtrisez ce qui compte. N’appliquez la traçabilité et l’examen qu’aux systèmes à risque moyen et élevé. Généralement deux ou trois.
Semaines 10 à 12 : institutionnaliser la décision. Définissez qui approuve le passage en production, les critères utilisés et le délai. Un délai trop long ne ferait que réintroduire le problème que la gouvernance était censée résoudre.
À la fin du trimestre, l'organisation dispose d'un inventaire, d'une classification, de contrôles là où c'est nécessaire et d'une procédure d'approbation. C'est la gouvernance. Le document de politique est rédigé ensuite et il est court car il décrit un système déjà en place.
Il existe une raison à cela qui n'apparaît pas dans les présentations des risques et qui permet de convaincre un conseil d'administration plus rapidement : De plus en plus d'entreprises clientes posent des questions à ce sujet lors de leurs processus d'achat..
Si votre entreprise vend à de grands comptes, à des organismes gouvernementaux ou à des secteurs réglementés, la question de la gouvernance de l'IA figure déjà dans les questionnaires destinés aux fournisseurs. Pouvoir y répondre de manière étayée constitue un avantage concurrentiel ; ne pas pouvoir y répondre devient un motif d'exclusion.
Vu sous cet angle, cela cesse d'être un coût de mise en conformité et devient ce qu'il est réellement : la condition pour pouvoir vendre et pour pouvoir évoluer en interne. Ce qui est exactement le contraire de la bureaucratie.
Il s'agit de l'ensemble des cinq mécanismes opérationnels qui permettent l'approbation et le contrôle de l'utilisation de l'IA : inventaire des systèmes, classification des risques par cas d'utilisation, contrôles proportionnels au risque, traçabilité des décisions et point de décision autorisant le passage du projet pilote à la production.
Au contraire : c’est ce qui permet leur approbation. Sans inventaire ni évaluation des risques, personne ne peut prétendre comprendre les implications d’un déploiement à grande échelle, et tout ce qui n’est pas approuvé reste au stade de projet pilote. IBM a constaté en 2025 que seulement 161 % de ses initiatives en IA avaient été déployées à grande échelle.
Le cadre de gestion des risques liés à l'IA du NIST fournit le modèle opérationnel de gestion des risques et n'est pas certifiable ; la norme ISO/IEC 42001:2023 définit un système de gestion de l'IA certifiable ; la norme ISO/IEC 27001 couvre la sécurité de l'information ; et le règlement européen sur l'IA établit des obligations légales en fonction de la catégorie de risque.
Un programme raisonnable se déroule sur environ quatre-vingt-dix jours : quatre semaines d’inventaire, deux de classification, trois d’application des contrôles aux systèmes à risque moyen et élevé, et trois pour institutionnaliser qui approuve le passage à la production et selon quels critères.
En rédigeant une politique interminable, on remplace le travail fastidieux – l’inventaire précis du matériel utilisé – par une tâche facile, et l’on obtient une norme écrite concernant une réalité inconnue que personne n’appliquera.
Oui. Les questionnaires destinés aux fournisseurs pour les grands comptes, les administrations publiques et les secteurs réglementés intègrent désormais des questions sur la gouvernance de l'IA. Pouvoir y répondre avec des preuves constitue un avantage concurrentiel ; ne pas pouvoir le faire devient un motif d'exclusion.
Pourriez-vous répondre aujourd'hui au questionnaire sur la gouvernance de l'IA d'un client entreprise ? Nous avons mis en place l'inventaire, la classification des risques et les contrôles proportionnels en un seul trimestre, sans interrompre les projets en cours. Parlons-en →
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
