Gouvernance de l’IA : 5 leçons de Colas et Crédit Mutuel Arkéa
Faut-il attendre l’AI Act pour structurer sa gouvernance de l’IA ? Colas et Crédit Mutuel Arkéa ont commencé bien avant. C’était le thème du webinaire « Gouvernance IA : comment en faire votre alliée sans attendre l’AI Act ? », organisé avec notre partenaire DataGalaxy.
Autour de la table : Thomas Rollin (responsable IA et data science, groupe Colas), Frédéric Brenner (Data Office Groupe, Crédit Mutuel Arkéa), Gwendal Bihan (cofondateur et président d’Axionable) et Nicolas Averseng, Chief Product Officer de DataGalaxy, éditeur d’une plateforme de gouvernance de bout en bout, de la donnée et de la valeur. L’échange était animé par Laurent Dresse (DataGalaxy).
En ouverture, un sondage a mesuré la maturité des participants. La plupart se disaient en cours de structuration de leur gouvernance de l’IA ou en réflexion, quelques-uns n’avaient pas encore démarré, et personne ne se déclarait industrialisé. Voici ce que nous retenons des échanges.
Leçon 1 : la gouvernance de l’IA se joue désormais au comex
Pour Gwendal Bihan, le résultat du sondage reflète bien ce qu’il observe sur le marché. Les entreprises sont poussées à accélérer le déploiement de l’IA, à trouver des cas d’usage et du ROI. La gouvernance de l’IA, autrefois portée par quelques acteurs volontaristes, devient un impératif, sous la forte pression des comités exécutifs et des conseils d’administration, qui veulent mettre sous contrôle le ROI mais aussi les risques.
Nicolas Averseng décrit une bascule ces derniers mois. L’IA était presque un sujet d’innovation : on explorait ce qu’on pouvait en faire. Les directions attendent désormais un outil opérationnel et industrialisé. Dès que l’IA entre au cœur de l’outil de production, les
sujets d’éthique, d’impact financier, de risques et de conformité prennent une autre dimension.Il observe aussi beaucoup d’attentisme : faut-il attendre la réglementation, jusqu’où aller ? Des questions sur lesquelles les organisations tournent parfois en rond.
D’où l’intérêt des retours de Colas et de Crédit Mutuel Arkéa, qui ont structuré leur gouvernance sans attendre de contrainte réglementaire forte.
Crédit Mutuel Arkéa : de la certification au plan stratégique
Crédit Mutuel Arkéa met en œuvre depuis plusieurs années des systèmes d’IA basés sur des modèles classiques, avant le déploiement massif de l’IA générative. Le groupe a voulu faire converger ses pratiques vers des pratiques robustes et gouvernables, à travers une démarche d’IA de confiance. Nous l’avons accompagné vers une certification IA de confiance du LNE, qui lui a permis de structurer ses dispositifs pour inscrire ses projets d’IA dans un cadre maîtrisé et responsable.
Début 2025, le groupe publie son plan stratégique Faire 2030. Le comité exécutif et le conseil d’administration y inscrivent formellement l’IA comme accélérateur de la transformation. Le Data Office Groupe s’appuie sur cet engagement des instances dirigeantes pour structurer sa gouvernance et mobiliser les bonnes parties prenantes. Sa stratégie distingue le quoi, c’est-à-dire les cas d’usage à expérimenter ou à passer en mode projet, et le comment, en quatre dimensions :
● l’IA de confiance : comment le groupe s’engage concrètement à une mise en œuvre responsable et maîtrisée ;
● le socle technologique nécessaire aux systèmes d’IA ;
● la structuration du modèle opérationnel, de l’organisation et de la gouvernance ;
● les impacts RH : conduite du changement et gestion des compétences à court, moyen et long terme.
Colas : une méthode posée dès les premiers modèles
Chez Colas, le point de départ est opérationnel. Le groupe lance sa trajectoire data en 2018, puis travaille rapidement sur des modèles d’IA non génératifs, un peu avant 2022. L’un d’eux, un modèle de computer vision, détecte les défauts de surface des routes.
L’équipe data science, alors jeune, cherche tout de suite à structurer sa méthode : développer un algorithme d’IA ne se mène pas comme une application digitale. Le contexte de 2022 la pousse à poser cette méthode dès le début, pour y intégrer directement les nouveaux projets. Pour Thomas Rollin, mieux vaut partir du bon pied que faire du rattrapage a posteriori.
Laurent Dresse fait le même constat côté DataGalaxy : quand le comex ou le codir donne le mandat d’utiliser l’IA et de mettre en place sa gouvernance, l’impact sur l’exécution est totalement différent.
Gwendal Bihan souligne de son côté un changement de paradigme avec l’IA générative et agentique. Les cas d’usage étaient surtout traités dans des data factories. L’IA se déploie maintenant un peu partout, notamment dans la BI et dans des solutions d’éditeurs.Le tempo change aussi. Un projet de computer vision ou de NLP demandait au moins deux à trois mois de POC, puis l’industrialisation : on arrivait vite à six mois, voire plus. On déploie aujourd’hui parfois en quelques jours ou quelques semaines. Le défi qu’il entend le plus : éviter que la gouvernance devienne le goulot d’étranglement, avec un guichet unique qui donne envie aux équipes de déclarer leurs projets, sans « 15 000 comités et 53 questionnaires ».
Leçon 2 : face au shadow AI, proposer avant d’interdire
Comme il a existé du shadow IT, il existe du shadow AI. Thomas Rollin le constate : tout le monde utilise les outils d’IA grand public, et le sujet n’est pas simple. L’enjeu, rappelé par Laurent Dresse : éviter que des informations confidentielles soient partagées.
Colas mise sur beaucoup de sensibilisation, de communication et d’explication de la technologie, et sur des outils sécurisés : des GPT internes ou des instances sous contrat sécurisé au niveau de la donnée. Une offre qui évolue tous les trois mois, tant le marché va vite.
Arkéa a rapidement déployé une solution d’IA pour tous, afin que ses collaborateurs expérimentent l’IA au quotidien avec cet outil en priorité. Techniquement, le groupe a bloqué sur son réseau l’accès aux autres IA génératives disponibles sur le web.
Frédéric Brenner reconnaît la contrepartie : l’outil interne doit suivre les standards du marché, qui évoluent très vite. Les collaborateurs ont pris l’habitude des outils grand public à titre personnel. L’enjeu est d’éviter qu’ils utilisent leurs appareils personnels pour se connecter à ChatGPT, Gemini ou d’autres.
Colas a par ailleurs séparé sa gouvernance en deux familles d’usages :
Pour aller plus loin, retrouvez notre article sur les angles morts de la gouvernance IA.
Leçon 3 : dans un groupe décentralisé, gouverner passe par des relais
Crédit Mutuel Arkéa compte une quarantaine de filiales, avec une DSI centralisée qui en couvre une grande partie. Colas est un groupe très décentralisé : pour Thomas Rollin, toucher tout le monde et expliquer les règles du jeu est difficile. L’accompagnement au changement est donc, chez Colas, un pilier fort de la gouvernance.
La réponse d’Arkéa : un réseau d’IA Champions dans ses filiales. Ce réseau permet d’identifier les cas d’usage et les besoins des filiales, et de relayer les principes de maîtrise et de responsabilité autour de l’usage de l’IA. Le groupe distingue deux rôles, qu’une même personne peut porter :
● les référents IA, plutôt sur la feuille de route et les cas d’usage ;
● les référents IA de confiance, plutôt sur le respect des normes et des pratiques de sécurité, de gestion des risques et de conformité.
Chez Arkéa, on ne parle plus de POC mais d’expérimentations. Elles doivent s’inscrire dans les dispositifs de maîtrise des risques et de conformité au même titre qu’un projet classique, et être connues des pilotes de la feuille de route, pilotée au niveau groupe par le Data Office. Les champions relaient ces expérimentations : le Data Office peut ainsi les suivre, s’assurer qu’elles sont maîtrisées et les déployer dans d’autres entités.
Pour Frédéric Brenner, ce réseau devient vite nécessaire. L’IA passe de solutions gérées en central par la DSI à des équipes métiers qui déploient elles-mêmes des agents, avec différents niveaux d’autonomie. Il faut donc pouvoir s’appuyer sur des personnes qui maîtrisent à la fois le potentiel de l’IA, les risques, la conformité et le dispositif de maîtrise.
Gouvernance des données et gouvernance de l’IA : même socle, autre point de départ
Nicolas Averseng voit des points communs : dans les deux cas, il s’agit d’exploiter les données de l’entreprise, avec des enjeux de confidentialité et de données sensibles. Gwendal Bihan insiste : la gouvernance de l’IA doit forcément reposer sur la gouvernance des données, car un modèle d’IA consomme de la donnée, en inférence, en entraînement ou dans son contexte.
Les différences, elles, sont réelles :
Sur ce dernier point, Nicolas Averseng rappelle que la première question de l’AI Act porte sur le cas d’usage : le jeu en vaut-il la chandelle, et comment aligner les mesures sur la finalité ? La gouvernance de la donnée a rarement pris le sujet par ce bout.
Gwendal Bihan ajoute que l’impact du déploiement, notamment agentique, est plus fort et plus rapide sur les équipes métiers, en tout cas sur certains métiers. Une équipe de développement pourrait passer de sept personnes à deux, un PO et un tech lead. Sur les sujets data, les impacts étaient plus progressifs.
Il faut donc mettre en place la bonne gouvernance dès le début, pour repérer ces impacts et les instruire tout au long du cycle de déploiement.
Leçon 4 : une gouvernance proportionnée aux risques
Des référentiels existent. Gwendal Bihan cite le LNE, Labelia et la norme ISO/IEC 42001. Ce sont souvent de bonnes réponses aux exigences de conformité, mais ils ne disent pas forcément comment faire concrètement. Pour en savoir plus sur ces cadres, consultez notre page IA de confiance, AI Act et certifications.
Ces cadres s’organisent généralement autour de six ou sept dimensions : l’humain dans la boucle, les biais, l’impact social et environnemental, le contrôle de l’ensemble… Certaines sont communes avec la gouvernance des données, comme le contrôle de la donnée. D’autres sont propres à l’IA, comme les biais ou le contrôle humain.
Le contrôle humain prend un rôle de plus en plus important : Gwendal Bihan évoque « 50 nuances » de human in the loop. Avec les agents, la tendance est de fonctionner par garde-fous : on définit ce que l’agent ne doit pas faire, et on autorise un peu d’autonomie à l’intérieur.
Au-delà des indicateurs de valeur, d’adoption, de conformité et d’impact social et environnemental, Gwendal Bihan en voit monter un nouveau : l’efficience de la gouvernance. Combien de temps passe-t-on à piloter la gouvernance et la conformité d’un cas d’usage, par rapport au temps passé à le déployer ? Si l’on passe dix fois plus de temps à documenter qu’à construire, le ratio n’est pas bon.
D’où une gouvernance proportionnée aux risques, qu’il voit se développer pour industrialiser. Un cas d’usage à faible risque doit suivre un parcours light, un fast track, avec peu de questionnaires, de documentation et de contrôle.
Nicolas Averseng parle d’une gouvernance « à taille variable » : les choses simples restent simples à couvrir, les cas complexes font l’objet d’une escalade. Car si les contraintes sont trop fortes, les gens les contourneront.
Leçon 5 : mesurer la valeur, pas seulement l’activité
Comment vérifier qu’une gouvernance de l’IA existe et s’applique ? Les intervenants le reconnaissent : la réponse se construit encore. Plusieurs familles d’indicateurs ressortent des échanges :
Malgré le décalage des dates d’application pour les systèmes à haut risque, Arkéa s’est donné de la marge pour répondre aux attentes de la réglementation. Frédéric Brenner ajoute un sujet à traiter obligatoirement dans tout projet d’IA : la transformation des compétences et des emplois.
Reste la valeur, toujours liée au cas d’usage. Nicolas Averseng met en garde contre les vanity metrics : avoir formé 80 % du personnel peut être un faux indicateur. La vraie question est de savoir si les gens s’en servent, si les processus se transforment, si les gains d’efficacité sont réels.
Le premier gain de l’IA est un gain d’efficacité, le plus dur à mesurer et à réaliser. Entre la somme des gains de productivité promis ces 18 derniers mois et la réalité des organisations, il voit un décalage énorme. Il cite un responsable de business line qui annonce 20 % de gains d’efficacité ; la question qui suit côté finance : je retire donc un million d’euros de ton budget l’an prochain ?
Cette pression va arriver vite. Chez les développeurs, le coût des outils d’IA augmente fortement, au point d’approcher celui d’un ETP. Comment objectiver cette hausse face aux gains de productivité ? Pour Nicolas Averseng, la question n’est pas encore résolue, et la réponse passe par une discussion avec le métier : c’est quoi, le succès demain ?
Par où commencer ? Une feuille de route en cinq étapes
En conclusion du webinaire, chaque intervenant a partagé un conseil pour passer à l’action. Les réponses dessinent une feuille de route simple :
- Déployer une IA maîtrisée pour tous. C’est le premier conseil de Frédéric Brenner, pour éviter le shadow AI et maîtriser les cas d’usage. Thomas Rollin parle d’un terrain de jeu sécurisé pour les utilisateurs, pas seulement pour la DSI, afin de ne pas exposer l’entreprise à des fuites de données ou à des risques cyber.
- Développer un réseau de relais. Des personnes capables d’accélérer le déploiement de l’IA et de recueillir les besoins, mais aussi de porter la responsabilité et la maîtrise des pratiques. Thomas Rollin le reconnaît : identifier ces IA Champions n’est pas simple.
- Trouver l’équilibre entre valeur, contrainte et facilité. Pour Nicolas Averseng, des contraintes trop fortes seront contournées. Thomas Rollin le formule ainsi : ni tout fermer en central, ni tout ouvrir en local.
- Travailler la transformation et la confiance. Nicolas Averseng insiste sur l’éducation aux risques et sur l’expérience utilisateur de l’IA : comprendre sur quelles données elle repose, avoir de la transparence, pouvoir faire des retours. La gouvernance est un sujet d’animation, pas seulement un questionnaire à remplir, et il faut l’outiller pour tenir à l’échelle.
- Former, former, former. Le mot de la fin de Gwendal Bihan : former tous les collaborateurs, les métiers sur leurs cas d’usage, et la direction générale sur la transformation. Il constate un sous-investissement global dans la formation, alors qu’elle aide à monter en maturité et à convaincre un DAF d’investir.Thomas Rollin résume l’état d’esprit : le sujet ne se réglera pas tout seul. L’enjeu est de libérer les énergies, en toute sécurité.
Pour aller plus loin
● Regardez le replay complet du webinaire.
● Lisez la synthèse publiée par DataGalaxy : « Gouvernance de l’IA : pourquoi Colas et Arkéa n’ont pas attendu l’AI Act ».
● Vous souhaitez structurer votre gouvernance de l’IA ou préparer une certification IA de confiance ? Contactez nos équipes.
Questions fréquentes
Peut-on structurer sa gouvernance de l’IA avant l’entrée en vigueur complète de l’AI Act ?
Oui : Colas et Crédit Mutuel Arkéa l’ont fait. Colas a structuré sa méthode dès ses premiers modèles de computer vision, pour partir du bon pied plutôt que faire du rattrapage a posteriori. Arkéa a engagé une démarche d’IA de confiance, accompagnée par Axionable jusqu’à une certification du LNE, puis a inscrit l’IA dans son plan stratégique Faire 2030.
En quoi la gouvernance de l’IA diffère-t-elle de la gouvernance des données ?
Elle repose sur la gouvernance des données, puisque tout modèle consomme de la donnée. Mais elle doit composer avec l’incertitude des prédictions, de nouveaux vecteurs d’attaque et une IA disséminée partout, y compris dans les outils des éditeurs. Et la première question de l’AI Act porte sur la finalité : le besoin vaut-il le risque ?
Comment réduire le shadow AI sans brider les équipes ?
En proposant d’abord un outil d’IA sécurisé, ouvert à tous et au niveau des standards du marché. Colas propose des GPT internes et des instances sous contrat sécurisé. Arkéa a déployé une IA pour tous ses collaborateurs et bloqué sur son réseau l’accès aux IA génératives grand public. La sensibilisation et l’explication de la technologie complètent le dispositif.
À quoi sert un réseau d’IA Champions ?
À relayer la gouvernance dans les entités d’un groupe. Chez Crédit Mutuel Arkéa, les champions identifient les cas d’usage et les besoins des filiales, relaient les principes de maîtrise et de responsabilité, et font remonter les expérimentations au Data Office pour les suivre et les déployer ailleurs.
Comment éviter que la gouvernance ralentisse les projets d’IA ?
En adaptant le niveau de contrôle au niveau de risque : un parcours light pour les cas d’usage à faible risque, une escalade pour les cas complexes. L’efficience de la gouvernance, soit le temps passé à piloter la conformité d’un cas d’usage par rapport au temps passé à le déployer, aide à vérifier que l’équilibre est le bon.
Contact