Gouvernance de l’IA : définition, rôles et règles de décision

Que recouvre la gouvernance de l’IA ?

La gouvernance de l’IA organise les décisions sur l’IA : qui autorise un usage, qui le surveille, qui peut l’arrêter. Elle repose en pratique sur quatre éléments.

1. Un inventaire des usages, outils officiels et usages non déclarés compris.

2. Des rôles écrits : qui propose, qui valide, qui répond du résultat.

3. Des règles d’usage, souvent réunies dans une charte IA.

4. Une instance qui tranche les cas difficiles et révise les règles.

Deux référentiels structurent ce travail. En janvier 2023, le NIST, l’institut américain des normes et de la technologie, a publié un cadre volontaire de gestion des risques de l’IA. Ce cadre, l’AI RMF 1.0, fait de la fonction « Govern » une fonction transversale, qui rend possibles les trois autres. Il prévoit des mécanismes d’inventaire des systèmes d’IA et des rôles documentés. La norme ISO/IEC 42001:2023, publiée en décembre 2023, fixe les exigences d’un système de management de l’IA. Elle s’adresse à toute organisation qui développe, fournit ou utilise l’IA.

Gouvernance de l’IA ou charte IA : quelle différence ?

La charte IA écrit les règles d’usage ; la gouvernance désigne les personnes qui les appliquent, les font évoluer et tranchent les cas non prévus. Une charte sans instance d’arbitrage laisse chaque manager décider seul. Le guide charte IA d’entreprise montre comment l’écrire avec vos équipes.

Ne confondez pas non plus la gouvernance de l’IA avec la gouvernance des données. La gouvernance des données fixe qui produit, corrige et consulte les données. La gouvernance de l’IA décide des usages qui s’appuient sur ces données.

Que change la gouvernance de l’IA pour votre décision ?

• L’inventaire vient avant la charte. Vous ne gouvernez pas un usage que vous ignorez. Le shadow AI échappe par nature aux outils officiels.

• Chaque usage reçoit une qualification juridique. L’AI Act distingue fournisseur et déployeur et classe les usages par niveau de risque. Le tri de candidatures, usage de l’annexe III, relève des obligations des systèmes à haut risque à partir du 2 décembre 2027.

• Le contrôle humain exige une autorité réelle. Pour un système à haut risque, l’article 26 confie le contrôle humain à des personnes qui ont la compétence, la formation et l’autorité nécessaires. Votre gouvernance désigne ces personnes.

• Le CSE entre dans la boucle. Dans les entreprises d’au moins 50 salariés, le Code du travail impose d’informer et de consulter le comité social et économique sur « l’introduction de nouvelles technologies » (article L2312-8). Un outil d’IA qui modifie le travail peut entrer dans ce cadre.

• Le niveau de formalisme suit vos risques. Une norme comme ISO/IEC 42001 propose un cadre détaillé. Une ETI peut commencer par un registre, des rôles écrits et une instance qui se réunit chaque mois.

Exemple illustratif

Ce cas est fictif. Une ETI industrielle de 1 200 salariés crée un comité IA mensuel : DSI, juriste, DRH et deux responsables métier. Le comité tient le registre des usages et classe chaque usage en trois catégories : libre, soumis à validation, interdit. Une règle déclenche son arbitrage : tout usage qui touche des candidats, des salariés ou des clients passe devant lui. Le CSE reçoit le registre avant chaque nouveau déploiement, et chaque salarié suit un module de maîtrise de l’IA adapté à ses outils.