Cadre de gouvernance de l’IA : construire votre programme

La gouvernance de l’IA n’est plus une couche de politique facultative, rangée dans un classeur. C’est une infrastructure d’entreprise, aussi structurante qu’un cadre de cybersécurité ou un dispositif de contrôle financier. Le paysage réglementaire l’a rendu net. Le règlement sur l’IA (règlement (UE) 2024/1689) impose des obligations contraignantes, avec des amendes pouvant aller jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent. Le NIST AI RMF fournit, aux États-Unis, l’orientation la plus autoritative pour identifier, évaluer et traiter le risque lié à l’IA. L’ISO/IEC 42001 offre une norme de système de management certifiable, conçue pour l’IA. Et les principes de l’OCDE sur l’IA continuent de façonner les attentes de droit souple dans 46 pays.

Ces cadres convergent. Les organisations qui traitent chacun comme un exercice de conformité séparé, avec des listes parallèles, des tableurs et des groupes de travail, se noient dans la charge. Celles qui s’en sortent construisent un seul cadre unifié de gouvernance de l’IA et y rattachent chaque exigence réglementaire. Ce guide montre comment faire précisément cela : concevoir la structure, définir les rôles, rédiger les politiques, étager le risque, informer le conseil, et tenir le programme à jour à mesure que l’IA elle-même évolue.

L’essentiel, les points de gouvernance de l’IA

• Gouvernance ≠ conformité. La gouvernance est l’infrastructure stratégique (politiques, organes de contrôle, culture) qui permet à la conformité d’être un résultat.
• Construisez sur trois piliers : gestion des risques, responsabilisation et transparence.
• Alignez votre programme à la fois sur le règlement sur l’IA, le NIST AI RMF, l’ISO 42001 et les principes de l’OCDE sur l’IA ; ils se recoupent davantage qu’ils ne divergent.
• Définissez une structure de gouvernance avec des rôles clairs : responsable de la conformité IA, coordination du DPO, intégration du CISO, et contrôle au niveau du conseil.
• Créez un cadre de politiques IA couvrant l’usage acceptable, la gestion des risques, la gouvernance des données et la réponse aux incidents.
• Mettez en place un étagement des risques IA qui rattache vos catégories internes aux niveaux de risque du règlement sur l’IA.
• Tenez un inventaire vivant des systèmes d’IA : on ne gouverne pas ce que l’on ignore.
• Informez le conseil avec des indicateurs concrets : nombre de systèmes par palier de risque, état de conformité, incidents, constats d’audit, achèvement de la formation.
• Appliquez des contrôles de gouvernance spécifiques aux systèmes d’IA générative et agentique.
• Partez de votre maturité actuelle : une gouvernance légère pour une jeune pousse de trois personnes reste de la gouvernance.

Ce que la gouvernance de l’IA signifie au-delà de la conformité

Les termes « gouvernance » et « conformité » sont couramment employés l’un pour l’autre. Cette confusion est dangereuse : elle pousse les équipes à optimiser le passage de cases plutôt que la qualité des décisions.

La gouvernance de l’IA est le système d’ensemble de principes, de politiques, de processus, de structures organisationnelles et de normes culturelles qui oriente, contrôle et améliore en continu la façon dont une organisation construit, acquiert, déploie et retire des systèmes d’IA. La gouvernance répond à des questions stratégiques : Quels cas d’usage d’IA s’alignent sur notre appétit pour le risque ? Qui a l’autorité d’approuver le déploiement d’un nouveau modèle ? Que se passe-t-il lorsqu’un système produit un résultat inéquitable ?

La conformité IA est l’activité précise qui consiste à satisfaire des exigences légales ou réglementaires définies : mener une évaluation de la conformité au titre de l’article 43, tenir la documentation technique au titre de l’article 11, ou consigner les actions du déployeur au titre de l’article 26. La conformité est un résultat de la gouvernance, pas un substitut.

Pourquoi cette distinction compte-t-elle en pratique ? Parce que la conformité sans gouvernance est fragile. Si votre seul moteur est « passer l’audit », vous ferez le minimum. Lorsque le règlement évolue, comme le feront les actes d’exécution du règlement sur l’IA jusqu’en 2027, votre posture se brise. La gouvernance donne la capacité d’absorber le changement réglementaire, d’intégrer de nouveaux cas d’usage et de faire grandir le programme avec l’organisation.

Les cadres de gouvernance de l’IA les plus solides partagent quatre caractéristiques :

1. Parrainage de la direction. Le conseil ou la direction générale porte visiblement le mandat de gouvernance de l’IA.
2. Portée transversale. Juridique, ingénierie, produit, science des données, risque et métiers ont tous des responsabilités de gouvernance définies.
3. Couverture du cycle de vie. La gouvernance s’applique de l’idéation au développement, au déploiement, à la surveillance et au retrait.
4. Boucles de rétroaction. Les constats d’audit, les signalements d’incidents et les retours des parties prenantes nourrissent les mises à jour de politiques et les réévaluations de risque.

Si votre programme actuel en manque, les sections ci-dessous aident à fermer l’écart. Pour un point de départ concret, voir notre liste de contrôle 2026 du règlement sur l’IA.

Les trois piliers de la gouvernance de l’IA

Tout cadre de gouvernance de l’IA, qu’il soit formulé par des régulateurs, des organismes de normalisation ou des équipes internes, repose sur trois piliers. Le vocabulaire varie, la substance est constante.

Gestion des risques

La gestion des risques est le processus systématique et itératif d’identification, d’évaluation, de traitement et de surveillance des risques associés aux systèmes d’IA. C’est la salle des machines de la gouvernance.

Le règlement sur l’IA l’inscrit à l’article 9, qui exige des fournisseurs de systèmes d’IA à haut risque qu’ils établissent et tiennent un système de gestion des risques tout au long du cycle de vie du système. Le NIST AI RMF structure la gestion des risques en quatre fonctions, Map, Measure, Manage, Govern, chacune avec des sous-catégories et des actions suggérées. L’ISO 42001 exige une évaluation des risques liés à l’IA (clause 6.1) et un plan de traitement des risques.

Une gestion des risques IA efficace va au-delà du risque d’entreprise classique. Les risques propres à l’IA comprennent :

• La dégradation de la performance par dérive des données ou dérive de concept.
• Les défaillances d’équité et de biais qui portent atteinte aux droits fondamentaux (voir notre guide sur les essais de biais et l’équité au titre du règlement sur l’IA).
• Les vulnérabilités de sécurité, attaques contradictoires, extraction de modèle, empoisonnement des données.
• Les défaillances de transparence, lorsque les décisions ne peuvent pas être expliquées aux personnes concernées.
• Les risques de dépendance, lorsque les modèles s’appuient sur des API de tiers ou des composants open source qui changent sans préavis.

Votre système de gestion des risques devrait documenter chaque risque, lui attribuer une vraisemblance et une gravité, définir des mesures d’atténuation et préciser les cadences de revue. Le règlement sur l’IA exige expressément que le risque résiduel soit réduit à un niveau acceptable, un jugement qui doit être documenté et défendable.

Responsabilisation

La responsabilisation répond à la question : Lorsque quelque chose tourne mal, ou lorsqu’une décision doit être prise, qui est responsable ?

Le règlement sur l’IA répartit la responsabilisation tout au long de la chaîne de valeur. Les fournisseurs (article 16) portent la charge première pour les systèmes à haut risque : évaluation de la conformité, gestion de la qualité, surveillance après mise sur le marché et signalement d’incidents. Les déployeurs (article 26) doivent utiliser les systèmes conformément à la notice, désigner un contrôle humain et, pour le secteur public et certains cas d’usage privés, mener une analyse d’impact sur les droits fondamentaux (FRIA). Pour le détail de ces obligations, voir notre guide fournisseur ou déployeur.

À l’intérieur de l’organisation, la responsabilisation signifie :

• Des personnes nommément désignées pour chaque système d’IA à haut risque.
• Des voies d’escalade pour les événements de risque, les incidents et les préoccupations éthiques.
• Des matrices d’autorité de décision qui précisent qui peut approuver le déploiement, la modification ou le retrait d’un système d’IA.
• Des validations documentées aux portes clés du cycle de vie (revue de conception, essais avant déploiement, mise en production).

Sans responsabilisation, la gouvernance reste un vœu. Avec elle, elle devient opérationnelle.

Transparence

La transparence est le pilier qui relie la gouvernance aux parties prenantes : régulateurs, personnes concernées, clients, équipes et public.

Les obligations de transparence du règlement sur l’IA traversent plusieurs articles. L’article 13 exige que les systèmes d’IA à haut risque soient conçus de manière à permettre l’interprétation de leurs sorties. L’article 50 impose que certains contenus générés par l’IA (y compris les hypertrucages) soient marqués. L’article 86 donne aux personnes concernées un droit à l’explication des décisions individuelles.

Au-delà des mandats réglementaires, la transparence comprend :

• La documentation interne, fiches de modèle, fiches de données, journaux de décision, qui donne à vos propres équipes l’information nécessaire pour surveiller et améliorer les systèmes.
• Les pistes d’audit qui permettent aux auditeurs internes et externes de vérifier la conformité (article 12 sur l’enregistrement automatique).
• La communication aux parties prenantes, des explications claires, en langage courant, pour les clients, les équipes et le public sur la façon dont l’IA est utilisée et dont leurs droits sont protégés.

La transparence est aussi le fondement de la confiance. Les organisations qui divulguent de façon proactive comment elles gouvernent l’IA, en publiant des politiques de gouvernance, en partageant des synthèses d’audit, en participant à des codes de conduite (article 95), se construisent un avantage concurrentiel sur des marchés où la confiance est rare.

S’aligner sur les grands cadres

L’une des erreurs les plus fréquentes est de traiter chaque cadre IA comme un projet de conformité autonome. En pratique, les quatre grands cadres se recoupent largement. Un programme de gouvernance bien conçu peut les satisfaire simultanément.

Comment ils se complètent

Le règlement sur l’IA fournit le « quoi » contraignant : obligations précises, calendrier et mécanismes d’exécution. Mais il ne prescrit pas exactement comment construire votre système de management interne. C’est là que les cadres volontaires comblent le vide.

Le NIST AI RMF offre l’orientation opérationnelle la plus détaillée pour la gestion des risques. Sa fonction Map aide à contextualiser vos cas d’usage. Measure fournit des méthodes pour quantifier le risque. Manage définit les actions de traitement. Govern, la fonction transversale, traite la culture organisationnelle, les politiques et les structures de responsabilisation. Si vous construisez un système de gestion des risques pour satisfaire l’article 9, le NIST vous en donne la méthode.

L’ISO/IEC 42001 fournit l’épine dorsale du système de management. Sa structure Plan-Do-Check-Act (PDCA) assure l’amélioration continue. Obtenir la certification ISO 42001 démontre aux régulateurs, aux clients et aux partenaires que votre programme de gouvernance satisfait une norme internationalement reconnue. Elle s’aligne aussi étroitement sur l’ISO 27001 (sécurité de l’information) et l’ISO 27701 (vie privée), ce qui permet des systèmes de management intégrés.

Les principes de l’OCDE sur l’IA, transparence, explicabilité, robustesse, responsabilisation et centralité de l’humain, fournissent le nord éthique. Ils ne créent pas d’obligations juridiques, mais ils façonnent les attentes réglementaires dans le monde et informent les considérants du règlement sur l’IA lui-même.

Stratégie d’alignement pratique : construisez votre programme de gouvernance sur la structure de système de management de l’ISO 42001. Alimentez le volet gestion des risques avec la méthode à quatre fonctions du NIST AI RMF. Rattachez chaque contrôle aux articles précis du règlement sur l’IA. Servez-vous des principes de l’OCDE comme préambule de politique et boussole éthique.

Construire votre structure de gouvernance

Rôles et responsabilités de gouvernance

La gouvernance de l’IA n’est pas un métier d’une seule personne, mais elle a besoin d’un point unique de coordination. Les rôles suivants forment l’épine dorsale :

Responsable de la conformité IA / responsable de l’éthique de l’IA. C’est le rôle central de coordination. Il comprend la tenue de l’inventaire des systèmes d’IA, la supervision des évaluations de risques, la coordination des évaluations de la conformité, la gestion des relations réglementaires et l’information du conseil. Dans les petites organisations, ce peut être un rôle fractionné ou à temps partiel. Dans les grandes entreprises, c’est un poste à temps plein, ou une équipe.

Délégué à la protection des données (DPO). Le RGPD et le règlement sur l’IA se recoupent fortement. Les systèmes d’IA qui traitent des données à caractère personnel déclenchent les deux régimes. Le DPO et le responsable de la conformité IA doivent coordonner les analyses d’impact relatives à la protection des données (AIPD), les bases juridiques du traitement, les droits des personnes concernées (surtout le droit à l’explication) et les exigences de gouvernance des données au titre de l’article 10. Pour l’interaction des deux règlements, voir notre comparaison règlement sur l’IA et RGPD.

Responsable de la sécurité de l’information (CISO). La sécurité de l’IA est une discipline distincte, mais elle doit s’intégrer au programme de sécurité plus large. L’équipe du CISO devrait porter les essais de robustesse contradictoire, les contrôles d’accès aux modèles, la sécurité des API d’inférence et la sécurité de la chaîne d’approvisionnement des composants d’IA. Les exigences de cybersécurité du règlement sur l’IA (article 15) tombent directement dans le mandat du CISO.

Comité de contrôle de l’IA au niveau du conseil. Le conseil ne peut pas se défaire de sa responsabilité de gouvernance. Un comité dédié au contrôle de l’IA, ou un point d’agenda permanent dans un comité des risques existant, garantit que la gouvernance de l’IA reçoit l’attention de la direction, le financement et l’orientation stratégique. Ce comité revoit les déploiements à haut risque, approuve l’énoncé d’appétit pour le risque IA et reçoit des rapports de gouvernance trimestriels.

Propriétaires de systèmes d’IA. Chaque système d’IA devrait avoir un propriétaire métier nommément désigné, responsable de la conformité de son cycle de vie. Ce propriétaire travaille avec l’ingénierie, la science des données et le juridique pour que les exigences de gouvernance soient satisfaites à chaque étape.

Responsables de l’ingénierie et de la science des données. Les équipes techniques mettent en œuvre les exigences de gouvernance : construire l’enregistrement d’audit, conduire les essais de biais, tenir la documentation et répondre aux constats de risque.

Cadre de politiques IA

Les politiques traduisent les principes de gouvernance en règles actionnables. Au minimum, votre cadre devrait comprendre :

Politique d’usage acceptable. Définit quels cas d’usage d’IA l’organisation poursuivra ou non. Les usages interdits devraient s’aligner sur les pratiques interdites de l’article 5 du règlement sur l’IA : notation sociale, identification biométrique en temps réel (hors dérogations autorisées) et techniques de manipulation. La politique devrait aussi traiter les lignes rouges propres à l’organisation, selon votre secteur, vos valeurs et votre appétit pour le risque.

Politique de gestion des risques IA. Établit la méthode d’identification, d’évaluation et de traitement des risques IA. Précise les critères de cotation, les seuils de risque résiduel acceptable, les fréquences de revue et les déclencheurs d’escalade. Devrait renvoyer aux exigences de l’article 9 et aux fonctions du NIST AI RMF.

Politique de gouvernance des données pour l’IA. Couvre la qualité des données d’entraînement, les essais de biais, la traçabilité, la conservation et la suppression. Traite les exigences de l’article 10 pour les jeux de données d’entraînement, de validation et de test. Doit se coordonner avec les politiques RGPD existantes.

Politique de réponse aux incidents. Définit ce qui constitue un incident d’IA, qui est informé, quels délais s’appliquent et comment l’analyse des causes est menée. Doit intégrer les obligations de signalement d’incidents graves de l’article 73 : en règle générale, au plus tard 15 jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l’incident grave (article 73, paragraphe 2) ; délais plus courts en cas d’infraction de grande ampleur ou d’incident visé à l’article 3, point 49, b) (deux jours, paragraphe 3) et en cas de décès (dix jours, paragraphe 4).

Politique de contrôle humain. Précise comment les exigences de contrôle humain de l’article 14 sont mises en œuvre. Définit, pour chaque système à haut risque, les rôles d’humain dans la boucle, d’humain sur la boucle et d’humain aux commandes. Inclut les exigences de formation des personnes chargées du contrôle.

Politique de cycle de vie des modèles. Gouverne la façon dont les modèles sont versionnés, testés, déployés, surveillés, mis à jour et retirés. Inclut les procédures de gestion du changement : lorsqu’un modèle est réentraîné ou mis à jour, quelles étapes de gouvernance doivent être répétées ?

Étagement des risques IA

Tous les systèmes d’IA n’exigent pas la même intensité de gouvernance. Le règlement sur l’IA établit une classification en quatre niveaux : inacceptable (interdit), haut risque, risque limité (obligations de transparence) et risque minimal. Votre étagement interne devrait se rattacher à cette structure réglementaire tout en ajoutant de la granularité.

Une approche pratique est un indice d’exposition de gouvernance de l’IA qui note chaque système sur plusieurs dimensions :

Additionnez les notes. Les systèmes notés 6-10 reçoivent une gouvernance standard (revue annuelle, documentation de base). Les systèmes notés 11-16 reçoivent une gouvernance renforcée (revue trimestrielle, documentation complète, essais de biais). Les systèmes notés 17-24 reçoivent une gouvernance intensive (surveillance continue, information du conseil, audit externe).

Pour classer vos systèmes, utilisez notre outil gratuit de classification des risques ou lisez le guide de classification à haut risque.

Système de gestion de la qualité (article 17)

L’article 17 est l’une des dispositions les plus exigeantes du règlement sur l’IA sur le plan opérationnel. Il exige des fournisseurs de systèmes d’IA à haut risque qu’ils mettent en œuvre un système de gestion de la qualité (SGQ) qui assure la conformité tout au long du cycle de vie du système.

Le SGQ n’est pas un document isolé : c’est la couche opérationnelle de votre cadre de gouvernance. L’article 17, paragraphe 1, précise que le SGQ doit comprendre :

• Une stratégie de conformité réglementaire, y compris les procédures d’évaluation de la conformité et la gestion des modifications.
• Des techniques et procédures de conception, de développement et d’essai, y compris les procédures d’examen, d’essai et de validation avant, pendant et après le développement.
• Des spécifications techniques, y compris les normes à appliquer.
• Des systèmes et procédures de gestion des données, couvrant la collecte, l’analyse, l’étiquetage, le stockage, le filtrage, l’extraction, l’agrégation, la conservation et toutes les opérations sur les données au titre de l’article 10.
• Un système de gestion des risques au titre de l’article 9.
• Une surveillance après mise sur le marché au titre de l’article 72.
• Des procédures de signalement d’incidents graves au titre de l’article 73.
• La communication avec les autorités compétentes, les organismes notifiés, les clients et les autres parties prenantes.
• Des systèmes et procédures de conservation des documents pour toute la documentation et l’information pertinentes.
• La gestion des ressources, y compris les mesures relatives à la chaîne d’approvisionnement.
• Un cadre de responsabilisation décrivant les responsabilités de la direction et du personnel.

Pour les organisations déjà sous ISO 9001 ou ISO 13485 (dispositifs médicaux), la structure du SGQ sera familière. Les ajouts propres à l’IA, gestion des données, essais de biais, surveillance continue et explicabilité, sont là où l’effort se concentre.

Conseil pratique : ne construisez pas le SGQ isolément. Intégrez-le à vos systèmes de qualité ou de management existants. Si vous visez la certification ISO 42001, l’exigence de SGQ sera largement satisfaite par le système de management que vous construisez pour la certification. Documentez une fois, rattachez deux fois.

L’inventaire des systèmes d’IA comme fondation de la gouvernance

On ne gouverne pas ce que l’on ignore. L’inventaire des systèmes d’IA est l’artefact de gouvernance le plus important, le registre maître d’où découlent toutes les autres activités de gouvernance.

Chaque système d’IA que votre organisation développe, déploie, acquiert ou distribue devrait y figurer avec :

• Le nom du système et un identifiant unique.
• La classification fournisseur / déployeur (êtes-vous fournisseur, déployeur, importateur ou distributeur ?).
• La classification des risques (interdit, haut risque, limité, minimal).
• Le palier de risque interne issu de votre indice d’exposition de gouvernance.
• Le propriétaire métier et le propriétaire technique.
• Les types de données traitées (à caractère personnel, catégories particulières, publiques).
• Le statut de déploiement (développement, préproduction, production, retiré).
• Les dates clés (date de déploiement, dernière évaluation des risques, prochaine revue).
• L’état de conformité (évaluation de la conformité achevée, documentation complète, surveillance active).

L’IA de l’ombre est l’angle mort du programme de gouvernance. Les outils SaaS avec des fonctions d’IA intégrées, qualification des pistes dans le CRM, assistants de rédaction de courriels, outils de complétion de code, greffons de présélection RH, contournent souvent les processus d’achat et de gouvernance. Un inventaire sérieux exige des enquêtes service par service et des scans de découverte technique.

Pour un guide pas à pas, voir : comment construire un inventaire des systèmes d’IA pour le règlement sur l’IA.

Information du conseil

Les conseils qui reçoivent des mises à jour vagues, « nous avançons », ne peuvent pas exercer un contrôle réel. Une information efficace du conseil exige des indicateurs structurés et quantitatifs, livrés selon une cadence régulière (trimestrielle au minimum).

Indicateurs recommandés pour l’information du conseil

Structure de l’information du conseil

Un tableau de bord de gouvernance de l’IA d’une page devrait accompagner chaque réunion du conseil. Structurez-le ainsi :

1. Synthèse de direction, trois phrases sur l’état général de la gouvernance.
2. Carte de chaleur des risques, une matrice visuelle des effectifs de systèmes par palier de risque et état de conformité.
3. Mouvements clés, nouveaux systèmes déployés, systèmes reclassés, systèmes retirés.
4. Incidents et presque-accidents, synthèse avec causes et actions correctives.
5. Horizon réglementaire, échéances à venir, nouveaux actes d’exécution, mesures d’exécution dans le secteur.
6. Demandes de ressources, budget, effectifs ou besoins d’outillage.

Le conseil devrait être invité à approuver l’énoncé d’appétit pour le risque IA une fois par an et à prendre acte du rapport trimestriel de gouvernance. Les deux actes créent une piste de gouvernance documentée qui démontre le contrôle au niveau du conseil auprès des régulateurs.

Gouvernance pour l’IA générative et agentique

Les cadres de gouvernance décrits plus haut ont été conçus surtout pour l’IA prédictive et décisionnelle. L’IA générative (grands modèles de langage, générateurs d’images, synthétiseurs de code) et l’IA agentique (systèmes qui planifient et exécutent de façon autonome des tâches en plusieurs étapes) introduisent des défis que les cadres classiques n’étaient pas bâtis pour traiter.

Défis de gouvernance spécifiques

Injection de prompts et contournement des instructions. Les systèmes d’IA générative peuvent être manipulés par des entrées soigneusement conçues qui outrepassent leurs instructions. La gouvernance doit imposer la validation des entrées, le filtrage des sorties et des tests contradictoires réguliers des systèmes génératifs.

Hallucination et exactitude factuelle. Les LLM produisent une information plausible mais inexacte. Pour les cas d’usage où l’exactitude compte, conseil juridique, information médicale, information financière, la gouvernance doit exiger des mécanismes d’ancrage, une vérification des citations et un examen humain des sorties.

Action autonome. Les systèmes d’IA agentique peuvent exécuter des actions dans le monde réel, passer des commandes, envoyer des communications, modifier des dossiers, sans approbation humaine par action. La gouvernance doit définir des frontières d’action, exiger des circuits d’approbation pour les actions à fort impact, et tenir des dispositifs d’arrêt d’urgence.

Surveillance des sorties. Contrairement à l’IA classique où les entrées et les sorties sont structurées, l’IA générative produit du texte, du code ou des médias en forme libre. Surveiller des sorties nuisibles, biaisées ou non conformes exige un filtrage automatisé des contenus et un examen humain par échantillonnage.

Provenance des données d’entraînement. Les modèles génératifs sont souvent entraînés sur des données moissonnées du web, avec des licences incertaines. La gouvernance devrait exiger des audits des données d’entraînement et, pour les modèles entraînés en interne, la documentation des sources, du consentement et de la libération de propriété intellectuelle.

Chaîne d’approvisionnement des modèles. La plupart des organisations utilisent des modèles de fondation de tiers (via API ou affinage). La gouvernance doit traiter la provenance des modèles, la gestion des versions et les obligations qui naissent lorsque vous construisez au-dessus d’un modèle d’IA à usage général. Voir notre guide sur les obligations des modèles GPAI.

Garde-fous recommandés

• Étager les cas d’usage d’IA générative selon le risque. L’aide interne au brainstorming est à risque minimal. Un conseil médical exposé aux patients est à haut risque. Appliquez des contrôles proportionnés.
• Mettez en place une surveillance des sorties à l’échelle. Utilisez des classifieurs automatisés pour signaler les sorties toxiques, biaisées ou contraires à la politique, avec examen humain des éléments signalés.
• Exigez une approbation humaine pour les systèmes agentiques qui prennent des actions aux conséquences financières, juridiques ou de sécurité.
• Tenez des bibliothèques de prompts et versionnez les prompts système afin que les changements soient traçables et auditables.
• Conduisez des tests contradictoires avant le déploiement et selon un calendrier récurrent.
• Établissez une politique d’usage acceptable de l’IA générative qui traite l’usage par les équipes d’outils de tiers (ChatGPT, Copilot, Midjourney) et des systèmes hébergés par l’organisation.

Scénarios de gouvernance dans le réel

Scénario 1 : une fintech construit la gouvernance autour de 12 systèmes d’IA

Exemple réel : une fintech européenne de 200 salariés exploite 12 systèmes d’IA : évaluation de la solvabilité, surveillance des transactions de lutte contre le blanchiment (LCB-FT), vérification d’identité des clients, assistance par agent conversationnel, détection de fraude, personnalisation marketing, présélection RH interne, classification de documents, tarification du risque, optimisation du recouvrement, prédiction d’attrition, et un assistant de code pour les développeurs.

Étape 1 : inventaire et classification. Le responsable de la conformité IA catalogue les 12 systèmes. L’évaluation de la solvabilité, la surveillance LCB-FT, la vérification d’identité et la présélection RH sont classées à haut risque au titre de l’annexe III (solvabilité, appui aux activités répressives, emploi). La détection de fraude est classée à haut risque. L’assistance par agent conversationnel et la personnalisation marketing sont à risque limité (obligations de transparence). Les autres systèmes sont à risque minimal.

Étape 2 : prioriser. Cinq systèmes à haut risque exigent la conformité complète aux articles 9, 11, 17 et 72. Ils deviennent le foyer immédiat du programme de gouvernance.

Étape 3 : désigner les rôles. Le responsable juridique est désigné responsable de la conformité IA. Le DPO existant coordonne la gouvernance des données. Le CTO porte la conformité technique. Un comité de contrôle de l’IA, CEO, CTO, responsable juridique, CISO, se réunit chaque mois.

Étape 4 : construire le SGQ. L’entreprise rattache ses contrôles ISO 27001 existants aux exigences du règlement sur l’IA, et les étend par des procédures propres à l’IA pour les essais de biais (article 10), les désignations de contrôle humain et la documentation technique.

Étape 5 : mettre en place la surveillance. Chaque système à haut risque reçoit un tableau de suivi des indicateurs de performance, des signaux de dérive et des indicateurs d’équité. Le plan de surveillance après mise sur le marché est documenté et relié à la politique de réponse aux incidents.

Calendrier : 9 mois du lancement du programme à la préparation à l’audit.

Scénario 2 : une entreprise de santé aligne MDR, règlement sur l’IA et ISO 42001

Exemple réel : une entreprise de dispositifs médicaux développe un système d’imagerie diagnostique assisté par l’IA qui analyse des examens radiologiques pour détecter des cancers à un stade précoce. Le système est classé dispositif médical de classe IIa au titre du règlement relatif aux dispositifs médicaux (MDR 2017/745) et système d’IA à haut risque au titre de l’article 6 du règlement sur l’IA.

Le défi : trois régimes, MDR, règlement sur l’IA et ISO 42001 (poursuivie pour se distinguer sur le marché), imposent des exigences qui se recoupent mais restent distinctes. La gestion de la qualité est exigée par les trois, mais chacun a des attentes documentaires différentes.

La solution : un système de management intégré.

L’entreprise construit un seul SGQ intégré qui satisfait :

• L’annexe IX du MDR (système de gestion de la qualité pour les dispositifs de classe IIa et au-delà).
• L’article 17 du règlement sur l’IA (SGQ pour les systèmes d’IA à haut risque).
• La clause 8 de l’ISO 42001 (planification et maîtrise opérationnelles pour l’IA).

Les éléments partagés, maîtrise documentaire, audits internes, revue de direction, actions correctives et préventives, sont rédigés une fois et recoupés. Les éléments propres à l’IA, procédures de gouvernance des données, protocoles de validation des biais et exigences d’explicabilité, sont ajoutés en annexes.

La gestion des risques suit l’ISO 14971 (la norme de risque des dispositifs médicaux) étendue aux dangers propres à l’IA : biais des jeux de données, dégradation du modèle, robustesse contradictoire. Le système de gestion des risques satisfait simultanément l’article 9 et la fonction Measure du NIST AI RMF.

La validation clinique fait aussi office d’exigence d’essai et de validation du règlement sur l’IA. L’entreprise documente les données de performance clinique aux côtés des indicateurs de performance de l’IA (AUC, sensibilité, spécificité, équité entre groupes démographiques).

Résultat : un système intégré, trois régimes satisfaits, un seul jeu d’auditeurs, un seul jeu de documentation. L’entreprise obtient la certification ISO 42001 en 12 mois et s’en sert comme élément de preuve de conformité pendant l’évaluation de la conformité au titre du règlement sur l’IA.

Scénario 3 : une jeune pousse met en place une gouvernance légère à trois personnes

Exemple réel : une jeune pousse SaaS de trois personnes construit un outil d’analyse de contrats qui utilise un LLM pour extraire les clauses clés d’accords juridiques. Les fondateurs sont le CEO (métier), le CTO (ingénierie) et un concepteur produit. Il n’y a pas d’équipe juridique, pas de responsable de la conformité, pas de budget pour des consultants.

L’approche : gouvernance minimale viable.

• Inventaire des systèmes d’IA : un tableur unique listant le système d’IA, sa classification des risques (haut risque, l’outil est utilisé dans des contextes juridiques où les sorties affectent des décisions contractuelles), les types de données (texte de contrats commerciaux, pas de données de catégories particulières) et la personne responsable (CTO).
• Évaluation des risques : un document d’une page identifiant les risques clés : extraction de clauses hallucinée, termes critiques manqués, biais en faveur des contrats en anglais. Chaque risque a une note de gravité et une atténuation (exigence d’examen humain, seuils de confiance, essais propres à la langue).
• Politiques : trois politiques concises, usage acceptable (une page), gouvernance des données (une page), réponse aux incidents (une page). Rédigées par le CEO avec une revue juridique d’un conseil externe.
• Contrôle humain : le produit impose une conception humain dans la boucle, les termes extraits sont présentés comme des suggestions, pas comme des actions exécutées. Les personnes doivent confirmer avant toute action sur le contrat.
• Documentation : le CTO tient une fiche de modèle et une fiche de données dans le dépôt. La documentation technique suit un modèle simplifié de l’annexe IV.
• Information du conseil : sans objet à ce stade. Les trois fondateurs revoient l’état de la gouvernance dans leur réunion hebdomadaire.

Enseignement clé : la gouvernance s’échelonne avec l’organisation. Une jeune pousse de trois personnes n’a pas besoin d’un manuel de 50 pages. Elle a besoin des bonnes structures, inventaire, évaluation des risques, politiques, contrôle humain, documentation, même si chacune est légère. À mesure que l’entreprise grandit et ajoute des systèmes d’IA, le cadre de gouvernance grandit avec elle.

Pour un guidage adapté aux entreprises en phase initiale, voir notre guide du règlement sur l’IA pour les jeunes pousses et les PME.

Questions fréquentes

Qu’est-ce qu’un cadre de gouvernance de l’IA ?

Un cadre de gouvernance de l’IA est un système structuré de politiques, de rôles, de processus et de contrôles qui oriente la façon dont une organisation développe, acquiert, déploie et surveille des systèmes d’IA. Il comprend typiquement des procédures de gestion des risques, des structures de responsabilisation, des mécanismes de transparence et des rattachements de conformité aux règlements applicables, notamment le règlement sur l’IA. Contrairement à une liste de contrôle de conformité, un cadre de gouvernance est conçu pour être adaptatif : il évolue lorsque le droit change, que de nouveaux systèmes d’IA sont déployés et que la maturité organisationnelle augmente.

Ai-je besoin d’une gouvernance de l’IA si je n’utilise que des outils d’IA de tiers ?

Oui. Au titre du règlement sur l’IA, les déployeurs de systèmes d’IA à haut risque ont des obligations autonomes, y compris le contrôle humain, l’évaluation des risques, la conservation des journaux et, dans certains cas, une analyse d’impact sur les droits fondamentaux. Même si vous n’avez pas construit le système d’IA, vous êtes responsable de la façon dont il est utilisé dans votre organisation. Votre cadre de gouvernance devrait couvrir les systèmes d’IA acquis et de tiers aux côtés de ceux que vous développez en interne. Pour le détail de vos obligations, voir fournisseur ou déployeur.

Comment l’ISO 42001 se rattache-t-elle au règlement sur l’IA ?

L’ISO/IEC 42001 est une norme volontaire et certifiable de système de management de l’IA. Elle ne remplace pas la conformité au règlement sur l’IA, mais obtenir la certification démontre que votre organisation a mis en œuvre une gouvernance systématique de l’IA. Le règlement sur l’IA (article 40) permet d’utiliser des normes harmonisées comme moyen de démontrer la conformité. L’ISO 42001 n’est pas encore une norme harmonisée au titre du règlement sur l’IA, mais elle fournit un élément de preuve solide de maturité de gouvernance que les régulateurs et les organismes notifiés prendront en compte. Construire votre programme de gouvernance sur l’ISO 42001 vous aligne aussi sur l’ISO 27001 et l’ISO 27701, ce qui permet des audits intégrés.

Combien de temps faut-il pour construire un programme de gouvernance de l’IA ?

Les délais varient selon la taille de l’organisation, le nombre de systèmes d’IA et la maturité existante. Une jeune pousse avec un système d’IA peut établir une gouvernance minimale viable en 4 à 8 semaines. Une entreprise de taille intermédiaire avec 10 à 20 systèmes d’IA a typiquement besoin de 6 à 12 mois pour un programme complet. Une grande entreprise avec des centaines de systèmes d’IA peut exiger 12 à 18 mois, y compris l’achat d’outillage, la formation transversale et l’intégration aux plateformes existantes de gouvernance, de risque et de conformité. L’essentiel est de commencer maintenant : les obligations à haut risque du règlement sur l’IA s’appliquent à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), et une mise en conformité rétroactive coûte bien plus cher qu’une gouvernance proactive.

Quels outils peuvent aider à automatiser la gouvernance de l’IA ?

Les plateformes de gouvernance de l’IA peuvent automatiser la gestion de l’inventaire, les procédures d’évaluation des risques, la génération de documentation, le suivi de la conformité et l’information du conseil. Les capacités à rechercher comprennent le catalogage des systèmes d’IA, la classification automatisée des risques alignée sur le règlement sur l’IA, des bibliothèques de modèles de politiques, la gestion des pistes d’audit, et l’intégration à vos chaînes de développement et de déploiement. Voir notre comparaison des logiciels de conformité au règlement sur l’IA pour une évaluation détaillée, ou lancez l’évaluation gratuite Legalithm au titre du règlement sur l’IA pour situer votre organisation aujourd’hui.

Comment obtenir l’adhésion de la direction pour la gouvernance de l’IA ?

Présentez la gouvernance comme une réduction du risque et un avantage concurrentiel, pas seulement un coût réglementaire. Donnez au conseil trois points : (1) l’exposition financière, les amendes au titre du règlement sur l’IA peuvent aller jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total de l’exercice précédent ; (2) le risque de réputation, les incidents d’IA font la une ; (3) l’opportunité de marché, les clients, surtout dans les secteurs réglementés, exigent de plus en plus des fournisseurs la preuve d’une gouvernance de l’IA. Associez cela à un plan de mise en œuvre par phases qui montre des gains rapides (inventaire, classification des risques) dans les 8 premières semaines, avant de monter en maturité de programme.

Par où commencer

Si ce guide paraît trop dense, resserrez le foyer. La première étape à plus forte valeur est de construire votre inventaire des systèmes d’IA. Vous ne pouvez pas évaluer le risque, désigner la responsabilisation, rédiger des politiques ni informer le conseil sans savoir quels systèmes d’IA vous avez. Commencez là.

Ensuite, classez chaque système à l’aide du cadre de classification des risques du règlement sur l’IA. Puis priorisez : concentrez l’investissement de gouvernance sur les systèmes à haut risque qui exigent les contrôles les plus rigoureux. Construisez vos politiques, désignez vos rôles, établissez vos cadences de revue. Itérez chaque trimestre.

La gouvernance de l’IA n’est pas un projet avec une ligne d’arrivée. C’est une discipline de management continue, celle qui distinguera les organisations qui mènent l’IA de façon responsable de celles qui seront prises de court lorsque les régulateurs, les clients ou le public viendront poser des questions.

Utilisez l’évaluation gratuite au titre du règlement sur l’IA de Legalithm pour situer votre point de départ. De là, chaque pas en avant renforce le fondement de votre gouvernance.