Gouvernance de l'IA : cadre, RGPD et AI Act

Questions fréquentes sur la gouvernance de l'IA

Qu'est-ce que la gouvernance de l'IA en entreprise ?

La gouvernance de l'IA est l'ensemble des règles, instances et preuves qui permettent à une organisation de décider quels usages de l'intelligence artificielle elle autorise, sous quelles conditions, et de le démontrer. Elle ne se confond pas avec la conformité réglementaire, qui en est le socle minimal. Une gouvernance opérationnelle repose sur quatre éléments : un comité qui arbitre, un registre des usages tenu à jour, des règles d'usage écrites et connues des équipes, et des indicateurs qui mesurent l'usage réel plutôt que l'intention déclarée.

Comment articuler RGPD et intelligence artificielle ?

Le RGPD s'applique intégralement dès qu'un système d'IA traite des données personnelles, à l'entraînement comme à l'usage. Quatre points concentrent l'essentiel du risque. La base légale doit être identifiée pour chaque finalité, l'intérêt légitime supposant une mise en balance documentée. L'information des personnes doit mentionner l'usage de l'IA de façon compréhensible. La minimisation impose de vérifier que le système n'ingère pas plus de données que nécessaire, ce qui est fréquent avec les architectures de recherche documentaire. Enfin, l'article 22 encadre les décisions entièrement automatisées produisant des effets juridiques ou significatifs.

Quelle différence entre gouvernance de l'IA et conformité à l'AI Act ?

La conformité à l'AI Act répond à une question fermée : le système respecte-t-il les obligations que le règlement lui attache, compte tenu de son niveau de risque. La gouvernance répond à une question ouverte : cet usage est-il souhaitable, utile et maîtrisé par l'organisation. Un système peut être parfaitement conforme et rester inutile, mal supervisé ou impossible à faire évoluer. Inversement, une organisation bien gouvernée traverse plus facilement une évolution réglementaire, parce qu'elle sait déjà ce qu'elle exploite et pourquoi. La conformité est un plancher, la gouvernance est ce qui rend l'IA pilotable.

Qu'est-ce qu'un registre des usages de l'IA ?

Le registre des usages recense, pour chaque système d'IA exploité, sa finalité, son responsable métier, les données mobilisées, le rôle de l'organisation — fournisseur ou déployeur —, le niveau de risque retenu et sa justification, ainsi que les modalités de supervision humaine. C'est le document que réclament en premier un auditeur, un client grand compte en due diligence ou une autorité de contrôle. Sa constitution révèle presque toujours des usages non déclarés : outils adoptés par une équipe sans validation, fonctions IA activées par défaut dans des logiciels déjà en place.

Qui doit siéger dans un comité IA ?

Un comité IA utile réunit quatre voix, et reste assez petit pour décider. La direction générale ou un membre du COMEX porte l'arbitrage budgétaire et l'engagement. Le métier concerné apporte la réalité opérationnelle et devient propriétaire des cas d'usage retenus. La DSI traite l'intégration, la sécurité et les données. Le juridique ou le DPO couvre le RGPD et l'AI Act. La fréquence importe plus que la taille : un comité trimestriel qui tranche vaut mieux qu'une instance mensuelle qui informe.

Pour aller plus loin : Faire auditer vos systèmes.