- Demander un diagnostic
- France et Afrique francophone
Déployer l'IA sans gouvernance revient à accumuler des risques invisibles. Voici comment structurer la gouvernance IA d'une entreprise, du cadrage des cas d'usage à la procédure d'arrêt.
Un cas d'usage IA doit préciser : utilisateur, problème, entrée, sortie, décision, niveau de risque, baseline, métrique d'évaluation, coût maximum et procédure d'escalade. Les cas les plus sensibles (décision de crédit, recrutement, action financière, données de santé) exigent des contrôles renforcés dès la conception, pas ajoutés après coup.
Le NIST AI RMF organise la gestion du risque IA autour de quatre fonctions : Govern, Map, Measure et Manage. Pour une entreprise, cela se traduit par un inventaire des systèmes et cas d'usage IA, une classification du risque, un owner métier et technique identifié, une liste des fournisseurs et modèles utilisés, des règles de conservation des données, des évaluations régulières, des limites d'action définies et une procédure d'arrêt documentée.
L'AI Act européen impose depuis le 2 août 2026 des obligations de transparence dans certaines interactions avec des systèmes IA. Les obligations précises dépendent du rôle et du cas d'usage, et doivent être vérifiées au cas par cas plutôt que supposées uniformes.
Certaines actions doivent nécessiter une confirmation humaine systématique : paiement, remboursement, annulation, envoi à un large public, suppression de données, modification contractuelle, décision affectant fortement une personne, action inhabituelle, réponse quand la confiance du modèle est faible. Une validation humaine doit afficher le contexte nécessaire à la décision. Un bouton "Approuver" sans information n'est pas un contrôle réel.
La formalité peut être proportionnée à la taille de l'organisation, mais les principes restent les mêmes : inventaire des cas d'usage, classification du risque et procédure d'arrêt documentée, même de façon légère.
Non. Le principe de moindre privilège s'applique : un agent ne doit avoir accès qu'aux données strictement nécessaires à sa tâche, avec des permissions limitées et une journalisation systématique de ses actions.