Gouvernance de l'IA en entreprise

Le règlement européen sur l’intelligence artificielle (AI Act) ne se contente pas d’imposer des obligations techniques aux fournisseurs et déploiements de systèmes d’IA. Il exigé également, de manière transversale, que les organisations disposent d’un niveau de gouvernance de l’IA adapte aux risques que ces systèmes présentent. L’article 4 du AI Act impose explicitement que les personnes chargées de veiller au respect du règlement disposent d’un niveau suffisant de maîtrise de l’IA (“AI literacy”). Cette obligation, applicable depuis le 2 février 2025, constitue le point de départ de toute démarche de gouvernance.

Mais la gouvernance de l’IA en entreprise dépasse la seule conformité au AI Act. Elle répond à un besoin stratégique : maîtriser les risques opérationnels, juridiques et réputationnels liés à l’utilisation croissante de systèmes d’intelligence artificielle dans l’ensemble des fonctions de l’entreprise.

Pourquoi structurer la gouvernance de l’IA

Un usage en expansion rapide et souvent non maîtrise

La diffusion des outils d’IA générative dans les organisations s’est faite à une vitesse sans précédent. ChatGPT, Copilot, Gemini et les solutions sectorielles d’IA ont été adoptés par les collaborateurs bien avant que les organisations n’aient eu le temps d’encadrer ces usages. Ce phenomene de “shadow AI” – utilisation de systèmes d’IA sans supervision ni validation par l’organisation – génère des risques majeurs :

• Fuite de données confidentielles : des collaborateurs saisissent des données sensibles (données personnelles, secrets d’affaires, données financières) dans des systèmes d’IA externes sans mesurer les conséquences ;
• Non-conformité réglementaire : l’utilisation de systèmes d’IA pour des décisions affectant des personnes (recrutement, crédit, assurance) sans évaluation préalable peut violer le AI Act et le RGPD ;
• Dependance technologique : l’adoption non coordonnée de multiples solutions d’IA cree une fragmentation et une dépendance difficile à gérer.

Les obligations du AI Act en matière de gouvernance

Le AI Act impose plusieurs obligations qui nécessitent une gouvernance structurée :

• Article 4 – Maitrise de l’IA : toutes les organisations utilisant des systèmes d’IA doivent veiller à ce que leur personnel et les personnes qui manipulent ces systèmes disposent d’un niveau suffisant de compétences en matière d’IA ;
• Article 9 – Gestion des risques : les fournisseurs de systèmes à haut risque doivent mettre en place un système de gestion des risques tout au long du cycle de vie du système ;
• Article 26 – Obligations des déploiements : les entreprises qui deploient des systèmes à haut risque doivent assurer une supervision humaine, une surveillance du fonctionnement, et une conservation des journaux ;
• Article 27 – AIPD : les déploiements de certains systèmes à haut risque doivent réaliser une analyse d’impact sur les droits fondamentaux.

Les composantes d’un cadre de gouvernance IA

Le comité de gouvernance IA

L’élément central d’une gouvernance IA efficace est la création d’un comité de gouvernance dédié. Ce comité doit réunir les principales fonctions concernées :

• Direction générale : validation des orientations stratégiques, allocation des ressources, acceptation des risques ;
• Direction juridique / DPO : expertise réglementaire (AI Act, RGPD), évaluation de la conformité des usages, gestion des risques juridiques ;
• Direction des systèmes d’information : maîtrise technique des systèmes, sécurité informatique, architecture, intégration ;
• Direction des risques / conformité : évaluation et suivi des risques opérationnels, coordination avec les cadres de gestion des risques existants ;
• Directions métiers : expression des besoins, identification des cas d’usage, retour d’expérience sur l’utilisation des systèmes.

Le comité doit se réunir a fréquence régulière (mensuelle ou trimestrielle selon la maturité de l’organisation) et disposer d’un mandat clair : valider les nouveaux usages d’IA, évaluer les risques, définir les politiques internes, et superviser la conformité.

Le responsable de la conformité IA

La désignation d’un responsable de la conformité IA est une mesure pratique recommandée, même si le AI Act n’impose pas formellement cette fonction. Ce responsable peut être :

• Le DPO existant, si ses compétences sont elargies à l’IA et si sa charge de travail le permet ;
• Un responsable conformité IA dédié, rattache à la direction juridique ou à la direction de la conformité ;
• Un binome juridique/technique assurant conjointement la fonction.

Ce responsable piloté la mise en oeuvre du dispositif de conformité, coordonné l’inventaire des systèmes d’IA, supervise les évaluations de risques et assure l’interface avec les autorités de contrôle.

La politique interne d’utilisation de l’IA

La politique IA est le document fondateur qui encadré l’usage de l’intelligence artificielle au sein de l’organisation. Elle doit couvrir :

Les principes directeurs : transparence, équité, supervision humaine, protection des données, sécurité, responsabilité. Ces principes doivent être alignes avec les valeurs de l’organisation et les exigences réglementaires.

Les règles d’usage :

• Liste des outils d’IA autorisés et des usages approuves ;
• Usages interdits (utilisation de systèmes d’IA pour des décisions automatisées sans supervision, saisie de données sensibles dans des outils externes non approuves) ;
• Procedure de demande d’approbation pour les nouveaux usages ;
• Règles spécifiques pour l’IA générative et les données personnelles.

Les responsabilités : identification des rôles (fournisseur, déploiement, utilisateur), répartition des responsabilités, chaîne d’escalade.

La gestion des incidents : procédure de signalement des dysfonctionnements, des biais detectes, des résultats problématiques, et des violations de données liées à l’IA.

Mettre en place le processus d’évaluation préalable

L’évaluation des risques IA

Avant tout déploiement d’un nouveau système d’IA, une évaluation des risques structurée doit être conduite. Cette évaluation comprend :

La classification du système selon la classification des risques du AI Act (risque inacceptable, haut, limite, minimal). Cette classification détermine le niveau d’obligations applicables.

L’analyse des risques couvrant :

• Les risques pour les droits fondamentaux des personnes affectées par le système ;
• Les risques liés à l’exactitude et à la fiabilité des résultats ;
• Les risques de biais et de discrimination ;
• Les risques pour la sécurité des données ;
• Les risques opérationnels (dépendance technologique, continuité d’activité).

L’analyse d’impact : pour les systèmes traitant des données personnelles, une AIPD au sens de l’article 35 du RGPD peut être requise. Pour les systèmes à haut risque au sens du AI Act, une analyse d’impact sur les droits fondamentaux est imposée par l’article 27.

Le processus de validation

L’évaluation préalable doit aboutir à une décision formalisée :

• Approbation : le système peut être déployé dans les conditions définies ;
• Approbation conditionnelle : le déploiement est autorisé sous reserve de la mise en oeuvre de mesures complémentaires (supervision renforcée, limitations d’usage, mesures techniques) ;
• Refus : le système ne peut pas être déployé dans l’état actuel ;
• Renvoi au comité de gouvernance : pour les cas complexes nécessitant une décision au plus haut niveau.

La formation et la compétence IA

L’obligation de maîtrise de l’IA (article 4)

L’article 4 du AI Act impose une obligation de “maîtrise de l’IA” (AI literacy) à l’ensemble des organisations qui fournissent ou deploient des systèmes d’IA. Cette obligation concerne aussi bien les dirigeants que les opérateurs au quotidien. Le niveau de compétence attendu doit être adapte au contexte technique, à l’expérience de la personne et au public concerne.

Concrètement, cette obligation impose de :

• Évaluer le niveau de compétence actuel des équipes concernées ;
• Mettre en place des programmes de formation adaptés aux différents profils (dirigeants, managers, opérateurs, équipes techniques) ;
• Documenter les actions de formation et de sensibilisation réalisées ;
• Actualiser régulièrement les contenus de formation au regard des évolutions technologiques et réglementaires.

Les niveaux de formation

La formation doit être differenciee selon les rôles :

• Direction générale : enjeux stratégiques, risques, cadre réglementaire général, responsabilité des dirigeants ;
• Equipes juridiques et conformité : AI Act, articulation avec le RGPD, ChatGPT et les positions de la CNIL, évaluation des risques, gestion des incidents ;
• Equipes techniques : exigences techniques du AI Act, sécurité des systèmes d’IA, gestion des vulnérabilités, documentation technique ;
• Utilisateurs métiers : bonnes pratiques d’utilisation, limités des systèmes d’IA, procédure de signalement des problèmes.

Superviser et auditer le dispositif

La surveillance continue

La gouvernance de l’IA n’est pas un exercice ponctuel. Elle implique une surveillance continue des systèmes déployés, incluant la surveillance des performances et de la fiabilité des systèmes, le suivi des incidents et des réclamations, l’analyse des biais et des dérives, et la veille réglementaire sur les évolutions du cadre juridique.

Le AI Act impose pour les systèmes à haut risque une surveillance post-commercialisation proportionnée. Les déploiements doivent quant à eux assurer un suivi du fonctionnement des systèmes pendant toute la durée d’utilisation.

L’audit interne et externe

Des audits réguliers du dispositif de gouvernance IA doivent être réalisés pour vérifier l’adéquation des politiques et procédures avec les exigences réglementaires, la conformité effective des pratiques avec les politiques internes, l’efficacité des mesures de gestion des risques, et la compétence des équipes impliquées.

Ces audits peuvent être conduits en interne ou confiés à des prestataires externes spécialisés. Les résultats doivent être communiqués au comité de gouvernance et à la direction générale, et donner lieu à des plans d’action correctifs le cas échéant.

Articuler la gouvernance IA avec les cadres existants

La gouvernance IA ne doit pas constituer un silo isolé. Elle doit s’articuler avec les cadres de gouvernance existants : la conformité RGPD (DPO, registre des traitements, AIPD), la gestion des risques opérationnels, la sécurité des systèmes d’information, la conformité sectorielle (DORA pour le secteur financier, NIS2 pour les entités essentielles), et la gouvernance des données.

Cette articulation permet d’éviter les doublons, de mutualiser les compétences et de garantir une approche cohérente de la gestion des risques numériques au sein de l’organisation. L’utilisation de référentiels européens comme socle commun facilite cette intégration.

FAQ

Quelle est la première mesure à prendre pour mettre en place une gouvernance IA ?

La première mesure est la réalisation d’un inventaire complet des systèmes d’IA utilisés au sein de l’organisation, incluant les outils acquis par les directions métiers sans passer par la DSI. Cet inventaire permet de mesurer l’exposition aux risques et de prioriser les actions de mise en conformité. Il constitue le fondement de toute démarche de gouvernance structurée.

La gouvernance IA concerne-t-elle uniquement les grandes entreprises ?

Non. L’obligation de maîtrise de l’IA (article 4 du AI Act) s’appliqué à toute organisation qui fournit ou déploie des systèmes d’IA, quelle que soit sa taille. Les PME sont toutefois soumises à des obligations proportionnées. Le niveau de formalisation de la gouvernance doit être adapte à la taille de l’organisation, au nombre et à la nature des systèmes d’IA utilisés, et aux risques identifiés.

Quel est le lien entre la gouvernance IA et le rôle du DPO ?

Le DPO joué un rôle central dans la gouvernance IA dès lors que les systèmes d’IA traitent des données personnelles. Il intervient dans l’évaluation de la conformité RGPD des systèmes d’IA, la réalisation des AIPD, la gestion des violations de données liées à l’IA, et le conseil à la direction. Toutefois, la gouvernance IA couvre des sujets qui dépassent la protection des données (sécurité des produits, droits fondamentaux, biais algorithmiques), justifiant souvent la désignation d’un référent conformité IA complémentaire.