40 % des dirigeants et ingénieurs de la tech jugent insuffisant le programme de gouvernance IA de leur organisation. C’est le constat d’une étude Economist Impact & Databricks, Unlocking enterprise AI: opportunities and strategies. Le chiffre ne surprend pas ceux qui pilotent ces sujets au quotidien : les usages de l’IA se multiplient plus vite que les dispositifs censés les encadrer. L’écart entre les deux reste invisible, jusqu’au jour où un client ou un régulateur demande des preuves.
Nous accompagnons des programmes de gouvernance IA chez Axionable, et nous retombons sur les mêmes points de blocage, projet après projet. En voici six, et la façon dont nous les traitons.
-
Responsabilité : qui répond quand un projet IA dérape ?
Posez la question dans un comité de pilotage : la réponse existe presque toujours, mais elle est rarement couchée sur papier. Elle vit en effet dans la tête d’un chef de projet, d’un sponsor métier ou d’un responsable data. Tant que rien ne dérape, cela ne pose pas de problème. Le jour où un incident survient, l’absence de trace écrite complique l’analyse et la communication.
Notre réponse : trois lignes de défense, nommées. Chaque cas d’usage doit avoir un responsable identifié à chaque étape de son cycle de vie. Pour les situations complexes, un circuit de remontée vers une instance connue doit exister ; et il doit être connu de tous, pas seulement documenté quelque part.
-
Redondance : les mêmes questions, posées six fois
Décrire un seul cas d’usage IA suppose souvent de remplir plusieurs référentiels en parallèle : Lean Canvas, risques, SSI, Architecture, RGPD, RH et impact social… Chacun pose ses propres questions, avec son propre vocabulaire, pour capter au fond la même information.
Notre réponse : un référentiel unifié, une seule saisie. Un socle d’exigences commun à tous les projets, des questions qui ne s’ouvrent que si le niveau de risque le justifie, une conformité AI Act et RGPD tracée par défaut, et une table d’équivalence entre les référentiels existants de l’organisation. Le porteur de projet répond une fois ; chaque référentiel vient ensuite y chercher ce dont il a besoin.
-
Proportionnalité : un projet anodin contrôlé comme un projet à haut risque
Quand tous les projets IA passent par le même circuit de validation, quel que soit leur niveau de risque réel, les dossiers s’accumulent. Les équipes finissent, tôt ou tard, par contourner le processus, ce qui revient à ne plus avoir de gouvernance sur les cas qui échappent au circuit.
Notre réponse : un niveau de contrôle indexé sur le risque réel. Le niveau d’exigence global reste stable, mais sa répartition entre les projets change : un chatbot interne à faible enjeu n’a pas besoin du même circuit qu’un modèle de scoring qui affecte des décisions individuelles.
-
Manifeste : la charte IA est publiée, mais est-elle prouvée ?
Le texte existe, il est en ligne, un comité l’a validé. La difficulté commence quand un client, un auditeur ou un régulateur demande à voir la trace d’une décision précise prise en application de cette charte.
Notre réponse : un engagement, une preuve. Un engagement affiché ne vaut que s’il est transformé en preuve opposable : qui a décidé quoi, sur quelle base, et à quelle date.
-
Dispositif réel : ce qui est décrit correspond-il encore à ce qui fonctionne ?
Les instances changent, les responsabilités bougent, et la gouvernance glisse peu à peu vers les métiers, au fil des réorganisations. Sans revue régulière, le dispositif décrit sur le papier finit par ne plus correspondre à celui qui fonctionne sur le terrain.
Notre réponse : une analyse d’écart face à la norme ISO 42001, sur cinq dimensions (contexte et stratégie, rôles et politique, gestion des risques, mise en œuvre, évaluation et revue) pour identifier ce qui est couvert, ce qui est redondant et ce qui manque. Refaire cet exercice chaque année suffit à voir ce qui s’est déplacé, et à en tirer des chantiers concrets.
-
Compétences : un plan de formation générique ne prépare personne à décider
Un dirigeant, un chef de projet et un data scientist n’ont pas les mêmes décisions à prendre face à l’IA. Un module de formation unique laisse chacun à mi-chemin de ce dont il a besoin.
Notre réponse : une montée en compétences par audience. L’ensemble des collaborateurs doit comprendre les usages, les limites et les règles du jeu. Les porteurs de projet doivent savoir qualifier, documenter et piloter un cas d’usage. Les équipes techniques doivent pouvoir évaluer, tester et documenter un modèle. Un même socle de gouvernance, décliné selon ce que chacun a à décider.
Ce que ces six points ont en commun
La gouvernance IA tient moins aux dispositifs pris séparément qu’aux liens qui les relient. Une charte sans preuve ne résiste pas à un contrôle. Un référentiel sans responsable nommé ne produit pas de décision, et un plan de formation sans lien avec les décisions réelles ne change pas les pratiques. Chaque engagement a besoin d’un responsable, d’une preuve et d’une date de revue. Sans les trois, il n’est pas pérenne.
Responsabilité, référentiel unique, contrôle proportionné, manifeste, dispositif réel, compétences : ce sont moins six chantiers séparés qu’une seule question posée sous six angles, celle de la preuve.
Et vous, où en êtes-vous ?
Parmi ces six angles morts, lequel correspond le plus à la situation de votre organisation aujourd’hui ? Échangeons !
Contact