Gouvernance de l'IA : cadre, RGPD et AI Act
La gouvernance de l'IA est l'ensemble des règles, instances et preuves qui permettent à une organisation de décider quels usages elle autorise, sous quelles conditions, et de le démontrer. Elle ne se confond pas avec la conformité réglementaire : celle-ci en est le plancher, pas la stratégie.
Gouverner l'IA, ce n'est pas l'enfermer : c'est savoir ce qui tourne, sous quelle règle, et sous la responsabilité de qui.
Les quatre éléments d'une gouvernance qui tient
Une gouvernance opérationnelle ne demande pas une direction dédiée. Elle demande quatre choses, dont aucune ne peut manquer sans que les trois autres deviennent décoratives.
- 1
Un comité qui arbitre
Quatre voix suffisent : direction générale pour l'engagement, métier concerné pour la réalité opérationnelle, DSI pour l'intégration et la sécurité, juridique ou DPO pour le RGPD et l'AI Act. La fréquence compte plus que la taille — un comité trimestriel qui tranche vaut mieux qu'une instance mensuelle qui informe.
- 2
Un registre des usages tenu à jour
Pour chaque système : finalité, responsable métier, données mobilisées, rôle de l'organisation, niveau de risque et sa justification, modalités de supervision humaine. C'est le premier document que réclament un auditeur, un client en due diligence ou une autorité.
- 3
Des règles d'usage écrites et connues
Ce qui est autorisé, ce qui ne l'est pas, ce qui exige une validation. Une charte que personne n'a lue ne protège de rien ; une règle simple, diffusée et rappelée en formation, oui.
- 4
Des indicateurs d'usage réel
Fréquence, volume traité, taux de reprise manuelle, incidents remontés. Mesurer l'intention déclarée ne sert à rien : seuls les indicateurs d'usage distinguent un dispositif vivant d'un dispositif affiché.
Le détail du cadre interne est développé dans les 7 piliers de la gouvernance de l'IA.
RGPD et intelligence artificielle : les quatre points de friction
Le RGPD s'applique intégralement dès qu'un système d'IA traite des données personnelles, à l'entraînement comme à l'usage. Il n'a pas été remplacé par l'AI Act : les deux textes se superposent.
| Point | Ce qu'il faut vérifier |
|---|---|
| Base légale | Identifiée pour chaque finalité. L'intérêt légitime suppose une mise en balance documentée, pas une mention de principe. |
| Information | Les personnes concernées doivent comprendre qu'un traitement s'appuie sur l'IA, en langage clair et au bon moment. |
| Minimisation | Le système ne doit pas ingérer plus que nécessaire. C'est le point le plus souvent manqué avec les architectures de recherche documentaire, qui indexent par défaut tout ce qu'on leur donne. |
| Décision automatisée | L'article 22 encadre les décisions entièrement automatisées produisant des effets juridiques ou significatifs. C'est là que RGPD et AI Act se recouvrent le plus directement. |
Gouvernance et conformité ne répondent pas à la même question
La conformité à l'AI Act répond à une question fermée : le système respecte-t-il les obligations que le règlement lui attache, compte tenu de son niveau de risque ? La gouvernance répond à une question ouverte : cet usage est-il souhaitable, utile et maîtrisé.
Un système peut être parfaitement conforme et rester inutile, mal supervisé ou impossible à faire évoluer. Inversement, une organisation bien gouvernée traverse plus facilement une évolution réglementaire, parce qu'elle sait déjà ce qu'elle exploite et pourquoi. C'est ce qui s'est vu au moment du report de l'annexe III à décembre 2027 : les organisations sans registre ont découvert qu'elles ne savaient pas ce qu'elles avaient à mettre en conformité.
La supervision humaine est le point où les deux logiques se rejoignent : un humain qui peut arrêter, corriger et reprendre la main, avec le temps et l'information nécessaires pour le faire. Sans cela, la mention « supervision humaine » dans un dossier de conformité ne décrit rien de réel.
Par où commencer
Le premier geste n'est ni juridique ni technique : c'est un inventaire. Recenser les usages réels de l'IA dans l'organisation, y compris ceux que personne n'a validés — outils adoptés par une équipe, fonctions IA activées par défaut dans des logiciels déjà en place.
Cet inventaire réserve presque toujours des surprises, et il suffit à alimenter la première réunion du comité. Le registre, les règles et les indicateurs se construisent ensuite, sur du réel plutôt que sur une cartographie théorique.
Pour les organisations qui doivent aussi prouver leur conformité à un tiers, l'inventaire alimente directement l'audit de conformité AI Act. Pour celles qui déploient un assistant, le même travail conditionne la réussite du déploiement de Copilot. Et pour savoir si les moteurs génératifs reprennent déjà votre discours, l'audit de visibilité IA le mesure.
Aller plus loin
Neuf analyses du Research Lab sur le cadre, les obligations et les preuves.
Copilot Cowork : la facturation au crédit
On ne peut pas savoir ce qu'une tâche coûtera avant de la lancer.
Audit de maturité IA en ESMS
Vulnérabilité, données sensibles, temps des équipes : la méthode change.
Auditer une réponse générée par une IA
Ce qu'il faut journaliser pour qu'un contrôle laisse une trace opposable.
Audit de conformité IA : périmètre et obligations
Les points contrôlés article par article, et les trois constats qui reviennent.
Audit IA en entreprise : ce qu'il produit
Quatre livrables, trois à six semaines, et les trois manières de le rater.
Gouvernance de l'IA : les 7 piliers
Le cadre interne, pilier par pilier.
Obligations du déployeur d'un système d'IA
Ce que le règlement attend de vous quand vous utilisez l'IA.
Classification des risques de l'AI Act
Le niveau de risque décide de tout le reste.
Checklist d'auditabilité d'un système d'IA
Ce qu'il faut pouvoir présenter à un tiers.
Sécuriser les agents IA contre la fuite de données
Le point de contact le plus direct entre IA et RGPD.
RAG ou fine-tuning sur données propriétaires
Un choix d'architecture qui est aussi un choix de conformité.
Sanctions de l'AI Act : montants et exposition
Ce que coûte l'absence de cadre, en euros.
Ce que les dirigeants doivent structurer
Les décisions qui relèvent du COMEX, pas de la DSI.
Quand la gouvernance de l'IA devient un sujet politique
Le contexte international dans lequel s'inscrit le cadre européen.
Questions fréquentes sur la gouvernance de l'IA
- Qu'est-ce que la gouvernance de l'IA en entreprise ?
- La gouvernance de l'IA est l'ensemble des règles, instances et preuves qui permettent à une organisation de décider quels usages de l'intelligence artificielle elle autorise, sous quelles conditions, et de le démontrer. Elle ne se confond pas avec la conformité réglementaire, qui en est le socle minimal. Une gouvernance opérationnelle repose sur quatre éléments : un comité qui arbitre, un registre des usages tenu à jour, des règles d'usage écrites et connues des équipes, et des indicateurs qui mesurent l'usage réel plutôt que l'intention déclarée.
- Comment articuler RGPD et intelligence artificielle ?
- Le RGPD s'applique intégralement dès qu'un système d'IA traite des données personnelles, à l'entraînement comme à l'usage. Quatre points concentrent l'essentiel du risque. La base légale doit être identifiée pour chaque finalité, l'intérêt légitime supposant une mise en balance documentée. L'information des personnes doit mentionner l'usage de l'IA de façon compréhensible. La minimisation impose de vérifier que le système n'ingère pas plus de données que nécessaire, ce qui est fréquent avec les architectures de recherche documentaire. Enfin, l'article 22 encadre les décisions entièrement automatisées produisant des effets juridiques ou significatifs.
- Quelle différence entre gouvernance de l'IA et conformité à l'AI Act ?
- La conformité à l'AI Act répond à une question fermée : le système respecte-t-il les obligations que le règlement lui attache, compte tenu de son niveau de risque. La gouvernance répond à une question ouverte : cet usage est-il souhaitable, utile et maîtrisé par l'organisation. Un système peut être parfaitement conforme et rester inutile, mal supervisé ou impossible à faire évoluer. Inversement, une organisation bien gouvernée traverse plus facilement une évolution réglementaire, parce qu'elle sait déjà ce qu'elle exploite et pourquoi. La conformité est un plancher, la gouvernance est ce qui rend l'IA pilotable.
- Qu'est-ce qu'un registre des usages de l'IA ?
- Le registre des usages recense, pour chaque système d'IA exploité, sa finalité, son responsable métier, les données mobilisées, le rôle de l'organisation — fournisseur ou déployeur —, le niveau de risque retenu et sa justification, ainsi que les modalités de supervision humaine. C'est le document que réclament en premier un auditeur, un client grand compte en due diligence ou une autorité de contrôle. Sa constitution révèle presque toujours des usages non déclarés : outils adoptés par une équipe sans validation, fonctions IA activées par défaut dans des logiciels déjà en place.
- Qui doit siéger dans un comité IA ?
- Un comité IA utile réunit quatre voix, et reste assez petit pour décider. La direction générale ou un membre du COMEX porte l'arbitrage budgétaire et l'engagement. Le métier concerné apporte la réalité opérationnelle et devient propriétaire des cas d'usage retenus. La DSI traite l'intégration, la sécurité et les données. Le juridique ou le DPO couvre le RGPD et l'AI Act. La fréquence importe plus que la taille : un comité trimestriel qui tranche vaut mieux qu'une instance mensuelle qui informe.
Pour aller plus loin : Faire auditer vos systèmes.
Poser un cadre avant d'en avoir besoin
Noolya construit le registre des usages, l'articulation RGPD et AI Act, les règles internes et les indicateurs de pilotage — en partant de ce que l'organisation exploite réellement.
Découvrir l'audit de conformitéCette page présente un cadre méthodologique de gouvernance. Elle ne constitue pas un conseil juridique.