Gouvernance IA : comment une entreprise garde la main sur l’IA qu’elle construit et utilise

Ce guide n’est pas un avis juridique. Il décrit comment une entreprise peut organiser la gouvernance de ses systèmes d’IA, et cite les textes officiels tels que nous les avons lus le 1er octobre 2026. Pour le détail de l’AI Act, de ses niveaux de risque et de son calendrier, voyez notre guide de l’AI Act pour l’entreprise.

Ce que recouvre la gouvernance de l’IA

La gouvernance de l’IA répond à quatre questions pour chaque système d’IA de l’entreprise : qui a décidé de l’utiliser, ce qu’il a le droit de faire, comment on sait qu’il fonctionne, et qui agit quand ce n’est pas le cas. Elle couvre les outils achetés sur étagère comme les systèmes construits en interne, et les fonctions d’IA activées dans des logiciels que vous utilisez déjà.

On la confond souvent avec la conformité IA. La conformité, c’est respecter les règles qui s’appliquent à vous, de l’AI Act au RGPD en passant par les règles de votre secteur. La gouvernance est l’organisation qui rend cette conformité ordinaire, et qui tranche tout ce que la loi laisse ouvert : quel chatbot le personnel peut utiliser avec des données clients, quel modèle peut lire les contrats, quel niveau de qualité un agent doit atteindre avant de toucher à l’ERP.

Le point de départ est souvent inconfortable. Une entreprise interdit les outils d’IA grand public, et les salariés continuent de s’en servir sur leur téléphone, faute d’autre chose. Une gouvernance qui se contente d’interdire pousse les usages hors de vue. Celle qui fonctionne donne aux équipes un outil validé, une règle claire et un moyen rapide de demander un nouvel usage.

Pourquoi la gouvernance de l’IA se pose maintenant

Depuis le 2 février 2025, toute entreprise qui utilise l’IA dans l’Union a au moins une obligation au titre de l’AI Act, et la liste s’allonge jusqu’en 2028. Selon la Commission européenne, le règlement est entré en vigueur le 1er août 2024. Les interdictions et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, les règles des modèles d’IA à usage général depuis le 2 août 2025, l’application générale depuis le 2 août 2026. Les règles des systèmes à haut risque des domaines de l’annexe III, comme l’emploi ou le crédit, s’appliquent à partir du 2 décembre 2027, et celles de l’IA intégrée à des produits réglementés à partir du 2 août 2028.

Ces deux dernières dates viennent de l’omnibus numérique sur l’IA, le règlement (UE) 2026/1744, adopté le 8 juillet 2026 et en vigueur depuis le 27 juillet 2026, qui les a repoussées. La Commission précise aussi qu’à partir du 2 août 2026, le Bureau de l’IA et les autorités des États membres sont chargés de superviser et de faire appliquer le règlement.

L’omnibus a réécrit l’article 4 sur la maîtrise de l’IA. Fournisseurs et déployeurs doivent désormais prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des autres personnes qui utilisent des systèmes d’IA pour leur compte, en tenant compte de leurs connaissances et du contexte d’usage. C’est une obligation de moyens : le texte n’exige pas un niveau garanti pour chaque personne. Il faut tout de même pouvoir montrer ce qu’on a fait, et tenir cette trace relève de la gouvernance.

Les briques d’un cadre de gouvernance de l’IA

Un cadre qui tient compte huit briques, et chacune peut commencer petit. Le tableau donne la question à laquelle répond chaque brique et la version la plus légère qui tienne encore.

Le registre est la brique par laquelle commencer, parce que toutes les autres en dépendent. C’est aussi là que les surprises apparaissent le plus souvent : une fonction d’IA activée par une mise à jour, une équipe qui a monté sa propre automatisation, un fournisseur qui a ajouté un modèle à un service que personne n’a revu.

Pour les systèmes qui traitent des données personnelles, le RGPD ajoute deux points de contrôle. L’article 35 impose une analyse d’impact relative à la protection des données (AIPD) avant tout traitement, notamment par de nouvelles technologies, susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 22 donne à chacun le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou l’affecte de manière significative, sauf exceptions limitées. Les deux trouvent leur place dans la brique de classification des risques.

AI Act, ISO/IEC 42001, cadre du NIST : qui fait quoi

L’AI Act est une loi, ISO/IEC 42001 une norme de système de management, le cadre du NIST une méthode volontaire ; une entreprise en Europe peut prendre le premier comme socle et emprunter sa structure aux deux autres. Ils ne se concurrencent pas : chacun répond à une autre question.

L’ISO présente la norme ISO/IEC 42001 comme la définition des exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu un système de management de l’intelligence artificielle, et la destine aux organisations de toute taille qui développent, fournissent ou utilisent des produits ou services fondés sur l’IA. C’est le choix naturel quand vos clients ou votre conseil d’administration veulent que votre gouvernance suive une structure reconnue. L’ISO la vend aussi avec la norme ISO/IEC 42005:2025, dans un ensemble qu’elle présente comme consacré à la gouvernance responsable de l’IA et à ses impacts.

Le cadre du NIST est plus léger pour démarrer et utile comme liste de contrôle. Le NIST indique sur sa page que la version 1.0 est en cours de révision dans le cadre du plan d’action de la Maison-Blanche sur l’IA : vérifiez qu’aucune nouvelle version n’est parue avant de vous appuyer sur son détail.

Qui porte la gouvernance de l’IA dans l’entreprise

La direction porte les décisions, et chaque système d’IA a un responsable métier qui en répond ; la DSI, la sécurité, le délégué à la protection des données et le juridique les appuient. La gouvernance échoue quand elle appartient à un seul service. Laissée à la DSI, elle devient une liste de sites bloqués. Laissée au juridique, elle devient une charte que personne ne lit.

Une organisation qui fonctionne dans une entreprise de taille moyenne :

• Un sponsor à la direction, qui fixe ce que l’entreprise accepte et arbitre.
• Un responsable métier par système, en général le manager de l’équipe qui l’utilise, qui répond de sa finalité, de sa qualité et de ses utilisateurs.
• La DSI et la sécurité, qui valident les outils, les droits d’accès, l’hébergement et les journaux.
• Le délégué à la protection des données, qui vérifie les données personnelles, les analyses d’impact et l’information des personnes concernées.
• Un point mensuel court, où l’on tranche les nouvelles demandes, les incidents et les changements du registre.

Dans une entreprise de cinquante personnes, cela peut tenir en trois personnes et une réunion par mois. Pour les usages à haut risque, l’AI Act ajoute une exigence : selon l’article 26, les personnes chargées du contrôle humain doivent disposer de la compétence, de la formation et de l’autorité nécessaires, ainsi que du soutien requis.

Pour commencer : une première version en quatre étapes

Une première version de la gouvernance de l’IA tient en quatre éléments : un registre, une charte d’une page, un responsable par système et une date pour les revoir. L’ordre ci-dessous garde chaque étape utile par elle-même.

1. Recenser ce qui tourne aujourd’hui. Demandez à chaque équipe quels outils et quelles fonctions d’IA elle utilise, outils gratuits et fonctions intégrées aux logiciels compris. Notez la finalité, les données et le fournisseur.
2. Écrire la charte d’une page. Quels outils sont autorisés, quelles données ne doivent jamais y entrer, comment demander autre chose. Donnez en même temps un outil validé aux équipes, sinon la charte sera ignorée.
3. Classer et attribuer. Placez chaque système dans un niveau de risque de l’AI Act, repérez ceux qui traitent des données personnelles, et nommez un responsable métier pour chacun.
4. Fixer les contrôles et la date de revue. Pour chaque système au-dessus du risque minimal, décidez ce qui est testé avant usage, ce qui est journalisé et qui relit les erreurs. Inscrivez la première revue au calendrier.

Notre diagnostic IA gratuit permet de voir rapidement où en est votre entreprise avant la première étape. Pour un registre et une classification complets, menés avec vos équipes, l’audit IA produit le registre et un plan priorisé. Une formation construite autour des outils que vos équipes utilisent vraiment, comme notre formation IA en entreprise, répond à l’obligation de maîtrise de l’IA avec quelque chose que vous pouvez documenter.

Une gouvernance inscrite dans les systèmes d’IA eux-mêmes

Les contrôles les moins chers sont ceux qu’on conçoit dans le système dès le départ : droits d’accès, journaux, validation humaine et réponses sourcées. Les ajouter après la mise en service coûte plus cher, et reste rarement complet.

Chaque agent IA que nous construisons journalise chacune de ses actions, tourne avec les seuls accès dont il a besoin et attend une personne avant tout geste sensible. Les assistants qui répondent à partir des documents de l’entreprise montrent le passage d’où vient chaque réponse, ce qui rend les erreurs visibles pour l’utilisateur ; notre démonstration de l’assistant documentaire le montre sur les règles internes d’une entreprise fictive. Quand les données ne doivent pas quitter votre infrastructure, un LLM privé hébergé en Europe ou sur vos serveurs règle la question de l’hébergement dès la conception.

Si vous choisissez un prestataire pour construire vos systèmes d’IA, demandez-lui comment chacun de ces contrôles est livré et documenté. Notre guide pour choisir une agence IA liste les questions à poser avant de signer.

Votre premier registre de l’IA, monté avec nous

Un premier registre montre l’IA réellement utilisée dans votre entreprise, et c’est là que la maîtrise commence. Pendant l’audit gratuit de 30 minutes, on regarde avec vous l’IA que vos équipes utilisent aujourd’hui, les systèmes que vous prévoyez, et les un ou deux contrôles à poser en premier. Si vous voulez le registre complet, l’audit IA le construit avec vos équipes, en général en deux à trois semaines, avec un périmètre et un prix fixés par écrit avant de commencer.

Réservez votre audit gratuit de 30 minutes : décrivez où l’IA est utilisée chez vous aujourd’hui, on vous répond sous un jour ouvré.