Gouverner l'IA en entreprise : sécuriser les usages; maîtriser les risques, démontrer la conformité

L’intelligence artificielle n’est plus un sujet expérimental réservé aux équipes innovation. Elle est déjà utilisée dans les métiers, les fonctions support, les outils bureautiques, les assistants conversationnels, les moteurs de recherche internes, les processus documentaires et certaines chaînes de décision.

Cette diffusion rapide crée une tension très concrète : les usages progressent souvent plus vite que les règles internes, la cartographie, les rôles, la supervision et les preuves de maîtrise. Les directions doivent donc répondre à une double attente : permettre l’innovation, tout en sécurisant les usages et en démontrant un dispositif crédible.

Dans ce contexte, trois cadres se complètent particulièrement bien : l’AI Act, l’ISO/IEC 42001 et le NIST AI Risk Management Framework. L’enjeu n’est pas de les opposer, mais de les articuler pour passer d’usages IA dispersés à un dispositif gouverné, maîtrisé et démontrable.

Comprendre simplement : trois cadres, trois logiques

Pour éviter une approche trop théorique, il est utile de distinguer la logique propre à chaque cadre

Le bon positionnement à retenir est donc le suivant l'AI Act donne le cap réglementaire, ISO 42 001 structure le système de management, et le NIST AI RMF apporte une méthode de gestion des risques utilisable par les équipes métiers, data, sécurité, conformité et contrôle interne.

Pourquoi agir maintenant ?

Le calendrier réglementaire est progressif, mais il n’autorise pas l’attentisme. L’AI Act est entré en vigueur en 2024 et ses obligations s’appliquent par étapes. Les interdictions et obligations d’acculturation à l’IA sont déjà applicables, les règles relatives aux modèles d’IA à usage général et à la gouvernance européenne sont entrées en application, et les règles de transparence ainsi que le début de l’application élargie interviennent à partir de 2026. Les règles relatives aux systèmes à haut risque suivent un calendrier spécifique, avec des échéances différées selon les catégories de systèmes.

Au-delà du calendrier juridique, les organisations sont déjà confrontées à des questionnaires clients, des diligences investisseurs, des attentes d’audit interne, des exigences sécurité et des demandes métiers. La question n’est donc plus seulement : “sommes-nous juridiquement concernés ?” mais aussi : “sommes-nous capables de montrer que nos usages IA sont connus, évalués, contrôlés et suivis ?”

Les 5 piliers d'une gouvernance IA robuste

1. Gouvernance
   La gouvernance IA doit clarifier le sponsoring, les rôles, les responsabilités, les circuits de décision et les modalités d’arbitrage. Le sujet ne peut pas rester cantonné à la DSI ou à la data : il implique la direction, les métiers, la sécurité, le juridique, la conformité, la protection des données et le contrôle interne.
    
2. Inventaire des usages et systèmes IA
   Une organisation ne peut pas maîtriser ce qu’elle ne connaît pas. La première brique opérationnelle consiste à recenser les cas d’usage, les systèmes IA, les données mobilisées, les fournisseurs, les utilisateurs, les finalités, le niveau de criticité et les éventuels impacts sur les personnes, les processus ou la conformité.
    
3. Gestion des risques et contrôles
   Les risques IA doivent être évalués de manière structurée : fiabilité des résultats, biais, hallucinations, explicabilité, robustesse, cybersécurité, protection des données, dépendance fournisseur, usage inapproprié, absence de supervision humaine ou défaut de documentation. Cette analyse doit ensuite conduire à des mesures concrètes : contrôles, validations, limites d’usage, revues, escalades et plans d’action
    
4. Données, sécurité et tiers
   L’IA dépend fortement de la qualité des données, de la sécurité des environnements, des choix d’architecture et des fournisseurs utilisés. La gouvernance doit donc intégrer la classification des données, les restrictions d’usage, la protection des informations sensibles, la sécurité des modèles et la maîtrise des solutions externes.
    
5. Traçabilité, preuve et amélioration continue
   La gouvernance IA ne doit pas être uniquement déclarative. Elle doit produire des preuves : registre, décisions, analyses de risques, validations, revues périodiques, incidents, contrôles, indicateurs et plans de remédiation. C’est cette logique de preuve qui rend le dispositif audit-ready.

AI Act et ISO 42 001 : une complémentarité, pas une substitution 

L’AI Act et l’ISO/IEC 42001 ne poursuivent pas exactement le même objectif. L’AI Act est un texte réglementaire européen. Il impose des obligations selon le rôle de l’organisation, la catégorie de système IA et le niveau de risque. ISO 42001 est une norme de système de management : elle aide à structurer les politiques, les processus, les responsabilités, les revues et l’amélioration continue.

La norme ISO 42001 ne remplace donc pas l’analyse juridique des obligations applicables au titre de l’AI Act. En revanche, elle constitue un socle très utile pour organiser la gouvernance, documenter les décisions, mettre en place un registre, formaliser les responsabilités et démontrer une logique de maîtrise.

En pratique, une organisation qui prépare sa gouvernance IA devrait éviter deux erreurs : traiter l’AI Act comme un simple exercice juridique, ou présenter ISO 42001 comme un équivalent de conformité réglementaire. La bonne approche consiste à combiner les deux : conformité applicable d’un côté, système de gouvernance démontrable de l’autre.

Le rôle du NIST AI RMF :  rendre la gestion des risques opérationnelle 

Le NIST AI RMF apporte une lecture très utile pour transformer la gouvernance en pratiques opérationnelles. Il organise la gestion des risques autour de quatre fonctions : Govern, Map, Measure et Manage.

• Govern : définir la culture de risque, les responsabilités, les politiques, les processus et les mécanismes de gouvernance
• Map : comprendre le contexte, les finalités, les parties prenantes, les impacts, les données et les risques propres à chaque système IA
• Measure : évaluer, tester et objectiver les risques la performance, la fiabilité, la sécurité, les biais ou les impacts
• Manage : traiter les risques, prioriser les réponses, suivre les plans d'actions, surveiller le dispositif et l'améliorer dans la durée

Cette approche permet est particulièrement adaptée aux organisations qui veulent éviter une gouvernance purement documentaire. Elle permet de relier les exigences de gouvernance aux réalités des projets IA, aux décisions de mise en production, aux tests, aux contrôles et au suivi post-déploiement.

Par où commencer ?