L’utilisation efficace de l’IA est devenue un avantage concurrentiel déterminant, les organisations déployant des outils et des agents autonomes dans presque toutes les fonctions de l’entreprise. Mais cette innovation rapide s’accompagne d’exigences de responsabilité tout aussi importantes. L’IA actuelle ne se limite plus à de simples chatbots : les agents interrogent des bases de données, appellent des outils externes et déplacent des données sensibles, souvent sans supervision suffisante de ce à quoi ils peuvent accéder ni de l’évolution de leurs profils de risque dans le temps.

Ces angles morts, ajoutés à une pénurie généralisée de compétences en IA et à des cadres de gouvernance en retard, font que l’adoption dépasse désormais nettement la supervision. L’écart mondial en matière de main-d’œuvre en cybersécurité, déjà évalué à plusieurs millions selon des études successives d’ISC2 sur la main-d’œuvre, signifie que même les organisations dotées de programmes de sécurité matures manquent souvent d’une expertise dédiée au risque IA. Le risque augmente encore à mesure que les agents gagnent en capacités et en autonomie. Pourtant, les organisations n’ont pas à choisir entre rapidité et contrôle. L’enjeu est un changement de perspective : reconnaître que la gouvernance est au cœur de l’innovation plutôt qu’un frein à celle-ci.

Le problème est la gouvernance, pas l’IA

Les systèmes d’IA ne sont fiables qu’à la hauteur de la gouvernance qui les encadre, et les cadres actuels sont insuffisants. L’infrastructure informatique traditionnelle n’a tout simplement jamais été conçue pour la vitesse ni l’échelle qu’exige l’IA. Les organisations s’appuient depuis longtemps sur des évaluations de gouvernance ponctuelles et des revues annuelles, des approches incapables de suivre le rythme de l’évolution continue de l’IA. À l’ère de l’IA, ce qui était vrai hier peut ne plus l’être demain, et il en va de même pour le risque.

Les grands cadres réglementaires commencent à réagir. L’EU AI Act, entré en vigueur en août 2024 avec des dispositions appliquées selon un calendrier progressif jusqu’en 2026 et 2027, classe les systèmes d’IA en catégories de risque allant de minimal à inacceptable. Aux États-Unis, le NIST AI Risk Management Framework (AI RMF 1.0), publié en janvier 2023, offre une référence volontaire mais largement adoptée pour structurer l’évaluation des risques liés à l’IA. À l’échelle internationale, l’ISO/IEC 42001:2023 fournit la première norme certifiable de système de management de l’IA. Les régulateurs convergent de plus en plus vers une gouvernance proportionnée au risque comme approche standard.

Néanmoins, les organisations doivent aller au-delà des simples cases à cocher de conformité. Elles devraient appliquer la même logique fondée sur le risque à leur propre parc d’IA — indépendamment des exigences législatives spécifiques — et identifier comment protéger réellement leurs clients et leurs actifs.

La visibilité est le fondement de la gouvernance de l’IA

L’un des défis de gouvernance les plus pressants est que les organisations n’ont souvent pas une vision complète de l’IA qui opère dans leurs environnements. Ces outils d’IA non gérés et non approuvés fonctionnent au sein des réseaux d’entreprise sans supervision — un phénomène couramment appelé shadow AI. Le schéma rappelle les difficultés posées par le shadow IT que les équipes de sécurité affrontent depuis des années, mais l’IA ajoute un facteur aggravant : ces outils ne se contentent pas de stocker des données, ils les traitent, les génèrent et les transmettent activement, souvent à la vitesse et à l’échelle de la machine.

Le principe est simple : on ne peut pas gouverner ce que l’on ne voit pas. Les organisations peinent déjà à identifier leurs lacunes de visibilité, et encore plus à les combler. L’IA s’est diffusée si largement dans les entreprises qu’elle s’étend désormais à presque toutes les plateformes d’entreprise approuvées, aux appareils des employés et aux navigateurs. De plus en plus, des agents autonomes sont intégrés aux flux de travail quotidiens, ce qui signifie que la technologie ne peut pas être gouvernée isolément. Il faut comprendre les données auxquelles les outils d’IA peuvent accéder, les fournisseurs qui les sous-tendent et le contexte métier plus large, et pas seulement le modèle lui-même.

Alors, quelle est la solution ? La réponse commence par le triage. La visibilité seule ne suffit pas. Un inventaire est un point de départ, mais les organisations doivent traiter tous les outils d’IA comme des points de concentration du risque, évaluer l’impact de chaque système d’IA et lui attribuer un niveau de criticité. Par exemple, un agent en contact avec les clients ayant accès à une base de données et un outil interne de synthèse ne justifient pas les mêmes contrôles.

Gouverner l’IA aussi vite que vous l’adoptez

Mais par où commencer ? Les organisations qui peinent à gouverner leurs propres outils d’IA devraient suivre sept étapes clés :

Évaluer l’impact de chaque système d’IA et attribuer un niveau de risque : critique, élevé, moyen ou faible. Cette évaluation doit reposer sur la sensibilité des données touchées, le niveau d’autonomie et les personnes concernées — clients ou employés.

Appliquer des contrôles proportionnels à cette criticité – les agents à haut risque exigent une approbation avec intervention humaine, des permissions strictement limitées et des voies d’escalade définies en cas d’incident ; les outils à faible risque nécessitent des garde-fous plus légers.

Définir des garde-fous clairs sur ce que les agents d’IA sont autorisés à faire, faire respecter ces limites et bloquer les actions à haut risque avant qu’elles ne deviennent des incidents.

Étendre la gestion des risques liés aux tiers à l’IA. Savoir quels fournisseurs intègrent des agents dans leurs produits, à quelles données ces agents peuvent accéder, et mettre en place des protections contractuelles telles que des restrictions d’entraînement, des notifications d’incident ou des droits d’audit.

Surveiller en continu l’évolution des environnements d’IA, plutôt que de s’appuyer sur des revues périodiques. Réévaluer la criticité lorsque les systèmes changent — une note attribuée à l’intégration devient obsolète dès que le périmètre, le modèle ou l’accès aux données d’un agent évolue.

Désigner un responsable pour définir la responsabilité. Cela permet d’adopter l’IA en toute confiance et sans frictions inutiles. Dans de nombreuses organisations, le risque lié à l’IA se situe entre les équipes sécurité, juridique et données.

Constituer des preuves continues démontrant que l’IA se comporte comme prévu pour les clients, les régulateurs et les parties prenantes

En suivant ces étapes, la gouvernance peut devenir la couche de confiance qui permet aux organisations d’adopter l’IA en toute confiance, plutôt qu’une source de frictions inutiles.

Gouverner l’IA à la vitesse de l’adoption

La gouvernance doit viser à renforcer l’innovation, et non à s’y opposer. Elle peut temporairement ralentir les organisations pour mieux les accélérer ensuite, mais une fois les bonnes bases en place, il devient possible d’avancer rapidement. Les organisations qui suivent ce processus tireront les plus grands bénéfices de l’IA.

Les organisations les plus innovantes intégreront la gouvernance à l’IA dès le premier jour, en donnant la visibilité, le contexte et la confiance nécessaires pour innover de manière responsable. La gouvernance échoue également si elle ne vit que dans un document de politique interne. Les employés ont besoin d’une culture de l’IA, de consignes claires sur les usages autorisés et de canaux sûrs pour déclarer les outils qu’ils utilisent déjà — les approches punitives poussent l’IA dans l’ombre et détruisent précisément la visibilité dont dépend la gouvernance. Les organisations devraient pouvoir miser pleinement sur l’IA, en toute sécurité, en gouvernant l’IA aussi vite qu’elles l’adoptent.