Pourquoi la gouvernance de l'IA relève désormais du conseil
À mesure que l'IA passe des expérimentations aux décisions cœur de métier — souscription, crédit, sinistres, fraude, relation client —, ses défaillances deviennent des risques d'entreprise. Un modèle biaisé peut créer un risque de discrimination ; un modèle non surveillé peut dériver silencieusement vers de mauvaises décisions ; un système génératif peut fabriquer une information sur laquelle quelqu'un agira. Les régulateurs de la finance, de l'assurance et de la protection des données ont signalé que l'IA relève pleinement de leur champ.
La gouvernance est ce qui transforme l'IA d'une capacité incontrôlée en une capacité maîtrisée. Elle répond aux questions qu'un régulateur ou un conseil posera : quelles IA exploitons-nous, que peut-il mal se passer, qui en répond, comment savons-nous qu'elles fonctionnent encore, et où sont les preuves ?
S'appuyer sur la gestion du risque de modèle, ne pas la réinventer
Les entreprises réglementées disposent déjà d'une avance : la gestion du risque de modèle. Les disciplines de SR 11-7 — inventaire, validation indépendante, surveillance continue, contestation effective et rôles clairs — se transposent directement à l'IA. Le bon réflexe est d'étendre le cadre de risque de modèle existant à l'IA plutôt que de lancer un programme parallèle et déconnecté.
Ce que l'IA ajoute, c'est un ensemble de modes de défaillance nouveaux que les contrôles doivent traiter : qualité et traçabilité des données d'entraînement, dérive des concepts et des données, explicabilité des modèles opaques, tests d'équité et de biais, robustesse face à des entrées adverses ou manipulées et — pour les systèmes génératifs et agentiques — des garde-fous sur ce que le système est autorisé à faire de façon autonome.
Les cadres qui structurent la gouvernance de l'IA
Le NIST AI Risk Management Framework est une structure volontaire largement adoptée, organisée autour de quatre fonctions — Gouverner, Cartographier, Mesurer et Gérer — qui aident une organisation à identifier et traiter les risques d'IA tout au long du cycle de vie. Souple, il constitue une bonne ossature de programme.
Le règlement européen sur l'IA est la première loi complète et contraignante sur l'IA. Il classe les systèmes par niveau de risque : les usages à risque inacceptable sont interdits, les systèmes à risque élevé (dont beaucoup dans le crédit et l'assurance) font face à des obligations strictes de gouvernance des données, de documentation, de supervision humaine, d'exactitude et de transparence, et les modèles d'IA à usage général portent leurs propres devoirs. ISO/IEC 42001 les complète par une norme certifiable de système de management de l'IA, à l'image de ce qu'ISO 27001 fait pour la sécurité de l'information.
L'ensemble de contrôles qui compte vraiment
Une gouvernance de l'IA efficace tient à une poignée de contrôles opérationnels. Tenir un inventaire complet des systèmes et cas d'usage d'IA, chacun avec un propriétaire et un niveau de risque. Classer le risque pour que la profondeur des contrôles soit proportionnée au préjudice potentiel. Exiger une supervision humaine — une personne responsable des décisions à conséquence, capable d'intervenir.
Puis surveiller en continu : suivre performance, dérive, biais et incidents en production, et pas seulement au lancement. Adosser les systèmes génératifs à des données de confiance et citer leurs sources, pour que les réponses soient vérifiables. Et tout journaliser — prompts, sources de données, versions de modèles, validations et actions — dans un enregistrement infalsifiable, afin que l'ensemble du cycle de vie soit auditable a posteriori.
La gouvernance de l'IA en pratique
Le plus difficile, en gouvernance de l'IA, est de la rendre réelle à grande échelle sans étouffer l'innovation. Une politique qui vit dans un PDF que personne ne lit ne gouverne rien. Les contrôles doivent être intégrés là où l'IA est réellement utilisée — dans le flux de travail, appliqués par la plateforme, produisant des preuves comme sous-produit du fonctionnement normal.
C'est le principe d'une approche d'IA gouvernée : une IA adossée aux données propres de l'organisation, qui propose au lieu de décider seule, qui opère à l'intérieur de garde-fous explicites, et dont chaque action est consignée sur une piste d'audit. Bien menée, la gouvernance n'est pas un frein à l'IA — c'est ce qui permet à une entreprise réglementée de déployer l'IA avec confiance.