Gouvernance de l’IA en entreprise : structurer le cadre interne

Le reglement europeen sur l’intelligence artificielle (AI Act) ne se contente pas d’imposer des obligations techniques aux fournisseurs et deploiements de systemes d’IA. Il exige egalement, de maniere transversale, que les organisations disposent d’un niveau de gouvernance de l’IA adapte aux risques que ces systemes presentent. L’article 4 du AI Act impose explicitement que les personnes chargees de veiller au respect du reglement disposent d’un niveau suffisant de maitrise de l’IA (“AI literacy”). Cette obligation, applicable depuis le 2 fevrier 2025, constitue le point de depart de toute demarche de gouvernance.

Mais la gouvernance de l’IA en entreprise depasse la seule conformite au AI Act. Elle repond a un besoin strategique : maitriser les risques operationnels, juridiques et reputationnels lies a l’utilisation croissante de systemes d’intelligence artificielle dans l’ensemble des fonctions de l’entreprise.

Pourquoi structurer la gouvernance de l’IA

Un usage en expansion rapide et souvent non maitrise

La diffusion des outils d’IA generative dans les organisations s’est faite a une vitesse sans precedent. ChatGPT, Copilot, Gemini et les solutions sectorielles d’IA ont ete adoptes par les collaborateurs bien avant que les organisations n’aient eu le temps d’encadrer ces usages. Ce phenomene de “shadow AI” – utilisation de systemes d’IA sans supervision ni validation par l’organisation – genere des risques majeurs :

• Fuite de donnees confidentielles : des collaborateurs saisissent des donnees sensibles (donnees personnelles, secrets d’affaires, donnees financieres) dans des systemes d’IA externes sans mesurer les consequences ;
• Non-conformite reglementaire : l’utilisation de systemes d’IA pour des decisions affectant des personnes (recrutement, credit, assurance) sans evaluation prealable peut violer le AI Act et le RGPD ;
• Dependance technologique : l’adoption non coordonnee de multiples solutions d’IA cree une fragmentation et une dependance difficile a gerer.

Les obligations du AI Act en matiere de gouvernance

Le AI Act impose plusieurs obligations qui necessitent une gouvernance structuree :

• Article 4 – Maitrise de l’IA : toutes les organisations utilisant des systemes d’IA doivent veiller a ce que leur personnel et les personnes qui manipulent ces systemes disposent d’un niveau suffisant de competences en matiere d’IA ;
• Article 9 – Gestion des risques : les fournisseurs de systemes a haut risque doivent mettre en place un systeme de gestion des risques tout au long du cycle de vie du systeme ;
• Article 26 – Obligations des deploiements : les entreprises qui deploient des systemes a haut risque doivent assurer une supervision humaine, une surveillance du fonctionnement, et une conservation des journaux ;
• Article 27 – AIPD : les deploiements de certains systemes a haut risque doivent realiser une analyse d’impact sur les droits fondamentaux.

Les composantes d’un cadre de gouvernance IA

Le comite de gouvernance IA

L’element central d’une gouvernance IA efficace est la creation d’un comite de gouvernance dedie. Ce comite doit reunir les principales fonctions concernees :

• Direction generale : validation des orientations strategiques, allocation des ressources, acceptation des risques ;
• Direction juridique / DPO : expertise reglementaire (AI Act, RGPD), evaluation de la conformite des usages, gestion des risques juridiques ;
• Direction des systemes d’information : maitrise technique des systemes, securite informatique, architecture, integration ;
• Direction des risques / conformite : evaluation et suivi des risques operationnels, coordination avec les cadres de gestion des risques existants ;
• Directions metiers : expression des besoins, identification des cas d’usage, retour d’experience sur l’utilisation des systemes.

Le comite doit se reunir a frequence reguliere (mensuelle ou trimestrielle selon la maturite de l’organisation) et disposer d’un mandat clair : valider les nouveaux usages d’IA, evaluer les risques, definir les politiques internes, et superviser la conformite.

Le responsable de la conformite IA

La designation d’un responsable de la conformite IA est une mesure pratique recommandee, meme si le AI Act n’impose pas formellement cette fonction. Ce responsable peut etre :

• Le DPO existant, si ses competences sont elargies a l’IA et si sa charge de travail le permet ;
• Un responsable conformite IA dedie, rattache a la direction juridique ou a la direction de la conformite ;
• Un binome juridique/technique assurant conjointement la fonction.

Ce responsable pilote la mise en oeuvre du dispositif de conformite, coordonne l’inventaire des systemes d’IA, supervise les evaluations de risques et assure l’interface avec les autorites de controle.

La politique interne d’utilisation de l’IA

La politique IA est le document fondateur qui encadre l’usage de l’intelligence artificielle au sein de l’organisation. Elle doit couvrir :

Les principes directeurs : transparence, equite, supervision humaine, protection des donnees, securite, responsabilite. Ces principes doivent etre alignes avec les valeurs de l’organisation et les exigences reglementaires.

Les regles d’usage :

• Liste des outils d’IA autorises et des usages approuves ;
• Usages interdits (utilisation de systemes d’IA pour des decisions automatisees sans supervision, saisie de donnees sensibles dans des outils externes non approuves) ;
• Procedure de demande d’approbation pour les nouveaux usages ;
• Regles specifiques pour l’IA generative et les donnees personnelles.

Les responsabilites : identification des roles (fournisseur, deploiement, utilisateur), repartition des responsabilites, chaine d’escalade.

La gestion des incidents : procedure de signalement des dysfonctionnements, des biais detectes, des resultats problematiques, et des violations de donnees liees a l’IA.

Mettre en place le processus d’evaluation prealable

L’evaluation des risques IA

Avant tout deploiement d’un nouveau systeme d’IA, une evaluation des risques structuree doit etre conduite. Cette evaluation comprend :

La classification du systeme selon la classification des risques du AI Act (risque inacceptable, haut, limite, minimal). Cette classification determine le niveau d’obligations applicables.

L’analyse des risques couvrant :

• Les risques pour les droits fondamentaux des personnes affectees par le systeme ;
• Les risques lies a l’exactitude et a la fiabilite des resultats ;
• Les risques de biais et de discrimination ;
• Les risques pour la securite des donnees ;
• Les risques operationnels (dependance technologique, continuite d’activite).

L’analyse d’impact : pour les systemes traitant des donnees personnelles, une AIPD au sens de l’article 35 du RGPD peut etre requise. Pour les systemes a haut risque au sens du AI Act, une analyse d’impact sur les droits fondamentaux est imposee par l’article 27.

Le processus de validation

L’evaluation prealable doit aboutir a une decision formalisee :

• Approbation : le systeme peut etre deploye dans les conditions definies ;
• Approbation conditionnelle : le deploiement est autorise sous reserve de la mise en oeuvre de mesures complementaires (supervision renforcee, limitations d’usage, mesures techniques) ;
• Refus : le systeme ne peut pas etre deploye dans l’etat actuel ;
• Renvoi au comite de gouvernance : pour les cas complexes necessitant une decision au plus haut niveau.

La formation et la competence IA

L’obligation de maitrise de l’IA (article 4)

L’article 4 du AI Act impose une obligation de “maitrise de l’IA” (AI literacy) a l’ensemble des organisations qui fournissent ou deploient des systemes d’IA. Cette obligation concerne aussi bien les dirigeants que les operateurs au quotidien. Le niveau de competence attendu doit etre adapte au contexte technique, a l’experience de la personne et au public concerne.

Concretement, cette obligation impose de :

• Evaluer le niveau de competence actuel des equipes concernees ;
• Mettre en place des programmes de formation adaptes aux differents profils (dirigeants, managers, operateurs, equipes techniques) ;
• Documenter les actions de formation et de sensibilisation realisees ;
• Actualiser regulierement les contenus de formation au regard des evolutions technologiques et reglementaires.

Les niveaux de formation

La formation doit etre differenciee selon les roles :

• Direction generale : enjeux strategiques, risques, cadre reglementaire general, responsabilite des dirigeants ;
• Equipes juridiques et conformite : AI Act, articulation avec le RGPD, ChatGPT et les positions de la CNIL, evaluation des risques, gestion des incidents ;
• Equipes techniques : exigences techniques du AI Act, securite des systemes d’IA, gestion des vulnerabilites, documentation technique ;
• Utilisateurs metiers : bonnes pratiques d’utilisation, limites des systemes d’IA, procedure de signalement des problemes.

Superviser et auditer le dispositif

La surveillance continue

La gouvernance de l’IA n’est pas un exercice ponctuel. Elle implique une surveillance continue des systemes deployes, incluant la surveillance des performances et de la fiabilite des systemes, le suivi des incidents et des reclamations, l’analyse des biais et des derives, et la veille reglementaire sur les evolutions du cadre juridique.

Le AI Act impose pour les systemes a haut risque une surveillance post-commercialisation proportionnee. Les deploiements doivent quant a eux assurer un suivi du fonctionnement des systemes pendant toute la duree d’utilisation.

L’audit interne et externe

Des audits reguliers du dispositif de gouvernance IA doivent etre realises pour verifier l’adequation des politiques et procedures avec les exigences reglementaires, la conformite effective des pratiques avec les politiques internes, l’efficacite des mesures de gestion des risques, et la competence des equipes impliquees.

Ces audits peuvent etre conduits en interne ou confies a des prestataires externes specialises. Les resultats doivent etre communiques au comite de gouvernance et a la direction generale, et donner lieu a des plans d’action correctifs le cas echeant.

Articuler la gouvernance IA avec les cadres existants

La gouvernance IA ne doit pas constituer un silo isole. Elle doit s’articuler avec les cadres de gouvernance existants : la conformite RGPD (DPO, registre des traitements, AIPD), la gestion des risques operationnels, la securite des systemes d’information, la conformite sectorielle (DORA pour le secteur financier, NIS2 pour les entites essentielles), et la gouvernance des donnees.

Cette articulation permet d’eviter les doublons, de mutualiser les competences et de garantir une approche coherente de la gestion des risques numeriques au sein de l’organisation. L’utilisation de referentiels europeens comme socle commun facilite cette integration.

FAQ

Quelle est la premiere mesure a prendre pour mettre en place une gouvernance IA ?

La premiere mesure est la realisation d’un inventaire complet des systemes d’IA utilises au sein de l’organisation, incluant les outils acquis par les directions metiers sans passer par la DSI. Cet inventaire permet de mesurer l’exposition aux risques et de prioriser les actions de mise en conformite. Il constitue le fondement de toute demarche de gouvernance structuree.

La gouvernance IA concerne-t-elle uniquement les grandes entreprises ?

Non. L’obligation de maitrise de l’IA (article 4 du AI Act) s’applique a toute organisation qui fournit ou deploie des systemes d’IA, quelle que soit sa taille. Les PME sont toutefois soumises a des obligations proportionnees. Le niveau de formalisation de la gouvernance doit etre adapte a la taille de l’organisation, au nombre et a la nature des systemes d’IA utilises, et aux risques identifies.

Quel est le lien entre la gouvernance IA et le role du DPO ?

Le DPO joue un role central dans la gouvernance IA des lors que les systemes d’IA traitent des donnees personnelles. Il intervient dans l’evaluation de la conformite RGPD des systemes d’IA, la realisation des AIPD, la gestion des violations de donnees liees a l’IA, et le conseil a la direction. Toutefois, la gouvernance IA couvre des sujets qui depassent la protection des donnees (securite des produits, droits fondamentaux, biais algorithmiques), justifiant souvent la designation d’un referent conformite IA complementaire.