La gouvernance IA définit qui peut utiliser un système d’intelligence artificielle, avec quelles données, pour quelles décisions et sous quels contrôles. Pour une entreprise, le premier livrable utile est un inventaire des usages assorti d’un responsable et de règles applicables. Une charte seule ne suffit pas si les équipes ne disposent pas d’outils adaptés à leur travail.
Ce guide propose une méthode de cadrage. Les obligations juridiques dépendent du rôle de l’entreprise, du système et de son usage ; elles doivent être qualifiées pour le projet concerné.
Commencer par les usages réels
Interrogez les équipes sur leurs tâches, les outils qu’elles utilisent et les informations qu’elles transmettent. Recensez aussi les expérimentations individuelles et les fonctions IA déjà intégrées à vos logiciels. L’objectif est de comprendre le fonctionnement réel avant de décider ce qui doit être autorisé, adapté ou arrêté.
Pour chaque usage, consignez :
- Le besoin métier et la personne responsable.
- Les utilisateurs concernés et les outils utilisés.
- Les catégories de données en entrée et les destinataires des résultats.
- Les décisions ou actions que le système peut déclencher.
- Le contrôle humain, les traces disponibles et la procédure en cas d’erreur.
Un assistant de rédaction interne et un système participant au recrutement ne se qualifient pas de la même manière. Commencez par la finalité et les conséquences possibles, puis examinez l’architecture.
Définir des règles que les équipes peuvent appliquer
Une règle utile donne une décision compréhensible dans une situation précise. Par exemple : quels documents peuvent être transmis à l’outil approuvé, quel contenu nécessite une validation et qui contacter lorsqu’un document contient des informations sensibles.
| Situation | Décision à formaliser | Contrôle à prévoir |
|---|---|---|
| Rédiger un brouillon à partir d’informations publiques | Outil autorisé et responsabilité de validation | Relecture des faits avant diffusion |
| Interroger une documentation interne | Sources accessibles selon les droits du lecteur | Vérification des accès et des citations |
| Préparer une décision concernant une personne | Qualification du traitement et rôle exact de l’IA | Supervision et possibilité de contestation adaptées |
| Déclencher une action dans un outil métier | Actions permises et limites d’autorisation | Validation, journalisation et procédure de reprise |
Le cadre doit être disponible au moment où une personne choisit un outil ou transmet un document. Accompagnez les règles d’exemples liés aux métiers concernés et d’un point de contact identifiable.
Lire le calendrier réglementaire par catégorie
Le calendrier de l’AI Act ne se résume pas à une date unique. La Commission européenne distingue notamment l’application des interdictions et de la formation à l’IA depuis février 2025, les règles relatives aux modèles d’usage général depuis août 2025 et des dispositions applicables en août 2026. Sa présentation actualisée indique des échéances spécifiques pour les systèmes à haut risque : décembre 2027 pour certains usages de l’annexe III, août 2028 pour les systèmes intégrés à des produits réglementés. Consultez le calendrier officiel de l’AI Act et le texte applicable pour qualifier votre système.
Une échéance future sur une catégorie ne suspend pas les autres règles applicables. Les données personnelles, la sécurité des accès et les obligations contractuelles doivent être examinées dès la conception. La CNIL rassemble ses recommandations relatives à l’IA et aux données personnelles.
Relier responsabilités, évaluation et exploitation
Désignez un responsable métier qui juge l’utilité du système et un responsable technique qui suit son fonctionnement. Associez les personnes chargées de la sécurité et de la protection des données selon le périmètre. La validation doit porter sur des critères observables : qualité des réponses, comportement face à une source absente, accès interdits et reprise après incident.
Le cadre AI RMF du NIST organise la gestion des risques autour de fonctions de gouvernance, de contextualisation, de mesure et de traitement. Il fournit un cadre de travail volontaire ; son utilisation ne constitue pas une certification de conformité.
Pour un pilote, choisissez un processus borné et constituez un jeu de cas représentant le travail réel, y compris ses exceptions. Conservez les résultats attendus et la méthode d’évaluation pour pouvoir comparer deux versions du système. Les résultats de démonstration doivent être distingués des performances observées en exploitation.
Prévoir les incidents et les changements
Un modèle, une base documentaire ou un connecteur peuvent évoluer. Documentez les changements qui nécessitent une nouvelle évaluation et la personne qui peut autoriser le retour en service. Un mécanisme d’arrêt et une solution de repli doivent être accessibles à ceux qui exploitent le processus.
Le registre peut rester simple : version concernée, problème observé, impact, décision prise et vérification après correction. Cette trace aide à corriger le système et à savoir si le problème se reproduit. Elle devient aussi utile lors d’une reprise par une autre équipe.
Préparer un premier cadrage
Avant un échange sur votre gouvernance IA en entreprise, réunissez l’inventaire des outils, un exemple de processus, les catégories de données et les questions qui restent sans responsable. Nous pouvons alors définir un périmètre de travail et des livrables adaptés. Le guide pour construire une roadmap IA complète cette étape.
À RETENIR
- Partir des usages et des données effectivement utilisés.
- Attribuer un responsable à chaque système et à chaque décision.
- Vérifier les obligations selon la catégorie et le rôle de l’entreprise.
- Évaluer les exceptions, les changements et la reprise humaine.
LE CONSEIL À APPLIQUER Choisissez un usage déjà présent dans l’entreprise et complétez son inventaire avec l’équipe qui l’utilise. Les champs impossibles à renseigner donnent une première liste de décisions à prendre avant d’étendre cet usage.