Un commercial colle la liste de ses clients dans un assistant en ligne pour rédiger des relances. Un service de ressources humaines teste un outil qui classe automatiquement les candidatures. Un éditeur de logiciel active, dans son produit, une fonction de résumé automatique fournie par un tiers. Chacune de ces décisions semble anodine, et pourtant chacune engage l’entreprise : sur la confidentialité des données, sur l’équité d’un traitement, sur la fiabilité d’une information transmise à un client.
Le problème n’est pas que l’IA soit utilisée, mais qu’elle le soit sans que personne n’ait décidé comment. C’est précisément le rôle de la gouvernance IA, qui ne vise pas à freiner l’innovation, mais à permettre d’avancer vite sans accumuler de risques invisibles.
Les nouveaux risques que l’IA introduit
L’IA ne crée pas tous ses risques de toutes pièces, mais elle les amplifie ou les rend moins visibles, et six d’entre eux reviennent systématiquement.
Le biais d’abord : un modèle entraîné sur des données qui reflètent des inégalités passées peut les reproduire à grande échelle, par exemple dans le recrutement, l’octroi de crédit ou la notation de clients. Les données sensibles ensuite : toute information saisie dans un outil externe peut quitter le périmètre de l’entreprise, avec des conséquences en matière de confidentialité, de secret des affaires et de protection des données personnelles. La fiabilité constitue le troisième risque, car les modèles génératifs peuvent produire des réponses fausses énoncées avec assurance, ce qui exige une vérification humaine proportionnée à l’enjeu.
La responsabilité pose la quatrième question : lorsqu’une décision assistée par IA cause un préjudice, l’entreprise ne peut pas se retrancher derrière l’outil, et il faut savoir qui a validé l’usage et sur quelle base. La sécurité représente le cinquième risque, avec des attaques spécifiques comme l’injection de consignes malveillantes ou l’exfiltration de données par des agents automatisés. La dépendance enfin : s’appuyer sur un fournisseur unique pour une fonction critique expose à des changements de conditions, de prix ou de disponibilité.
Un cadre de gouvernance, ce n’est pas un document de plus
Il faut dissiper une confusion fréquente : la gouvernance n’est ni une charte affichée dans l’intranet, ni un comité qui se réunit une fois par an. Elle repose sur quatre piliers qui doivent exister simultanément. Le premier est la visibilité : savoir quels outils et quels modèles sont utilisés, par qui, avec quelles données. Le deuxième est la responsabilité : chaque usage a un propriétaire identifié. Le troisième est la règle : une politique claire dit ce qui est permis, interdit ou soumis à validation. Le quatrième est le contrôle : des vérifications régulières montrent que les règles sont appliquées et corrigées quand ce n’est pas le cas.
À retenir. Une gouvernance qui interdit tout pousse les équipes à utiliser des outils en cachette ; une gouvernance qui ne contrôle rien est une façade. L’enjeu est de faciliter les bons usages et d’encadrer les usages risqués.
Les référentiels sur lesquels s’appuyer
Inutile de partir d’une feuille blanche, plusieurs référentiels reconnus offrent une base solide. Le cadre de gestion des risques de l’IA du NIST (AI RMF), publié par l’institut américain des normes en 2023, organise la démarche autour de quatre fonctions : gouverner, cartographier, mesurer et traiter les risques. La norme ISO/IEC 42001, publiée en 2023, définit les exigences d’un système de management de l’IA, sur le modèle des normes de qualité ou de sécurité de l’information, et peut donner lieu à certification.
Sur le plan réglementaire, le règlement européen sur l’IA (AI Act), entré en vigueur en août 2024, adopte une approche par niveaux de risque, avec des pratiques interdites applicables depuis février 2025 et des obligations pour les modèles d’usage général applicables depuis août 2025. Le règlement Digital Omnibus, entré en vigueur le 27 juillet 2026, a reporté l’application des obligations des systèmes à haut risque autonomes (recrutement, éducation, crédit, infrastructures critiques) au 2 décembre 2027, et celle des systèmes intégrés à des produits réglementés au 2 août 2028. Ce report ne remet pas en cause la structure du texte, et les sources divergent sur le calendrier exact de certaines obligations de transparence, qu’il faut donc vérifier sur le texte officiel avant toute décision de conformité.
Point de vigilance. Le droit européen peut s’appliquer à une entreprise établie hors de l’Union lorsqu’elle met sur le marché européen des systèmes d’IA ou en utilise les résultats dans l’Union. Si vous servez des clients en Europe, faites vérifier votre situation par un juriste.
Construire son cadre en six étapes
- 1. Faire l’inventaire des usages. Recensez, par entretiens et par analyse des outils et des abonnements, tous les usages de l’IA : outils achetés, fonctions intégrées aux logiciels existants, essais individuels, automatisations. Cet inventaire révèle presque toujours des usages ignorés de la direction, et c’est le point de départ de toute la démarche.
- 2. Classer par niveau de risque. Pour chaque usage, évaluez trois critères : la sensibilité des données manipulées, l’impact d’une erreur sur des personnes ou sur l’activité, et le degré d’autonomie de l’outil. Cette évaluation aboutit à trois niveaux, faible, moyen et élevé, auxquels correspondent des exigences croissantes.
- 3. Désigner des rôles clairs. Un cadre minimal comprend un sponsor au niveau de la direction, un responsable de la gouvernance qui coordonne, un propriétaire par usage qui répond de son fonctionnement, et des relais auprès des fonctions concernées (juridique, protection des données, sécurité, ressources humaines). Dans une PME, une seule personne peut cumuler plusieurs de ces rôles, à condition qu’ils soient écrits.
- 4. Rédiger une politique d’usage courte. Deux à trois pages suffisent pour dire quels outils sont autorisés, quelles catégories de données ne doivent jamais être saisies dans un outil externe, dans quels cas une validation humaine est obligatoire, comment signaler un incident et à qui s’adresser en cas de doute. Une politique lisible est appliquée, alors qu’une politique de trente pages ne l’est pas.
- 5. Appliquer des contrôles proportionnés. Pour les usages à risque faible, une inscription au registre suffit. Pour les usages à risque moyen, ajoutez une validation du propriétaire et des consignes de vérification des résultats. Pour les usages à risque élevé, exigez une évaluation préalable (finalité, données, tests de biais, supervision humaine, plan de repli), une documentation et un examen par le comité de gouvernance. Pour les fournisseurs, vérifiez les clauses sur l’usage des données, la localisation, la sécurité et la réversibilité.
- 6. Suivre, former et réviser. Mesurez des indicateurs simples : nombre d’usages inventoriés, part des usages classés et pourvus d’un propriétaire, incidents signalés, délais de traitement des demandes. Formez les équipes aux bons réflexes, car la maîtrise de l’IA par les collaborateurs est elle-même une obligation dans le cadre européen, et révisez le dispositif au moins chaque semestre.
Exemple concret. Une PME de services d’une trentaine de personnes recense neuf usages, dont un outil de tri de candidatures et un assistant de rédaction. Le tri de candidatures est classé à risque élevé : l’entreprise exige une décision humaine finale, teste l’outil sur des profils variés et conserve les justificatifs. L’assistant de rédaction est classé à risque moyen : une règle interdit d’y saisir des données clients nominatives, et tout texte envoyé à un client est relu.
Les erreurs qui rendent la gouvernance inutile
La première erreur est de copier le cadre d’un grand groupe, trop lourd pour une organisation plus petite, qui l’abandonnera au bout de trois mois. La deuxième est de tout interdire, ce qui nourrit les usages cachés et supprime la visibilité que l’on cherchait. La troisième est de confier le sujet à un seul département, alors que l’IA touche à la fois la technique, le droit, les ressources humaines et le métier. La quatrième est de ne pas prévoir de gestion d’incident : lorsque survient une fuite de données ou une décision contestée, personne ne sait qui agit. La cinquième est de figer le dispositif, alors que les outils, les usages et les réglementations évoluent vite.
Sur ce dernier point, le sujet des usages non déclarés mérite une attention particulière ; il fait l’objet d’un développement dédié dans notre article sur le Shadow AI.
Ce qu’il faut faire dès maintenant. Envoyez à vos équipes une question simple : « Quels outils d’IA utilisez-vous dans votre travail, et pour quelles tâches ? » Les réponses constitueront la première version de votre inventaire, et le meilleur argument pour construire un cadre.
Et en Afrique de l’Ouest ?
Trois paramètres pèsent particulièrement. Le premier est la protection des données personnelles : la loi sénégalaise de 2008 sur les données à caractère personnel et l’autorité de contrôle compétente s’appliquent aux traitements réalisés avec des outils d’IA comme à tout autre traitement, et il convient de vérifier leurs exigences sur la finalité, la sécurité et les transferts. Le deuxième est la dépendance à des fournisseurs étrangers, dont les serveurs et les conditions d’usage échappent au droit local, ce qui rend la lecture des contrats et la localisation des données essentielles. Le troisième est l’effet extraterritorial du droit européen pour les entreprises qui servent la diaspora ou des clients en Europe, déjà évoqué plus haut.
L’avis d’EYYAW. Nous observons que les organisations qui avancent le mieux ne sont pas celles qui possèdent le cadre le plus complet, mais celles qui ont nommé un responsable, écrit trois pages de règles et vérifié, chaque trimestre, qu’elles étaient appliquées. La gouvernance se construit par itérations, comme un produit.
L’IA introduit des risques réels, de biais, de confidentialité, de fiabilité, de sécurité et de responsabilité, qu’une organisation ne peut plus traiter au cas par cas. Un cadre de gouvernance utile repose sur peu d’éléments, bien appliqués : un inventaire, une classification par risque, des rôles clairs, une politique courte, des contrôles proportionnés et une révision régulière. Il ne ralentit pas l’innovation, il donne aux équipes la permission de l’utiliser en confiance.
Votre prochaine étape est simple : lancez l’inventaire des usages, désignez un responsable et fixez une date de première revue dans trois mois. Si vous souhaitez un accompagnement pour construire un cadre adapté à votre taille et à votre secteur, EYYAW peut vous aider. Et vous, quel usage de l’IA dans votre organisation mériterait d’être encadré en priorité ?
Votre prochaine étape est simple : réalisez le diagnostic de votre point de départ, choisissez trois objectifs et partagez-les avec votre équipe de direction. Si vous souhaitez un regard extérieur pour transformer ces réflexions en plan applicable, EYYAW peut vous accompagner.
Votre organisation rencontre-t-elle cette difficulté ? Échangeons pour identifier les pistes d’amélioration adaptées à votre situation. » Le diagnostic proposé est un diagnostic de maturité numérique : Diagnostics
Avis et commentaires
Aucun commentaire pour l’instant.