Notion · Sécurité et conformité
Gouvernance de l’IA
L’organisation qui encadre l’IA dans l’entreprise : qui décide des outils, qui vérifie les usages, comment on traite un incident. La charte en est la partie visible.
Comment ça marche
La gouvernance de l’IA, c’est l’organisation qui permet à l’entreprise de décider de ses usages plutôt que de les subir. Elle répond à quelques questions. Qui autorise un nouvel outil, et sur quels critères ? Qui suit les usages réels ? Qui met à jour les règles ? Que fait-on quand quelque chose tourne mal ? Comment la direction sait-elle où on en est ? La charte en est la partie visible ; la gouvernance, c’est ce qui la fait vivre.
Pour une PME, elle se construit avec quatre éléments. Un référent, avec du temps. Un inventaire : les outils, les usages, les données concernées, mis à jour. Un processus de décision pour les nouveaux outils : une fiche, des critères (données, contrat, coût, usage), une réponse sous une semaine. Et un rituel : un point trimestriel avec la direction, sur les usages, les incidents, les demandes, les coûts. Les obligations réglementaires, RGPD et AI Act, s’y rattachent naturellement.
Un exemple concret
- Rôles : la directrice générale décide ; la responsable qualité est référente IA, un jour par semaine ; le responsable informatique valide la sécurité des outils ; le cabinet d’avocats est consulté pour les contrats et le registre.
- Inventaire : un tableau, 9 outils, chacun avec son usage, ses données, son contrat, son propriétaire, sa date de revue.
- Nouveaux outils : une fiche de demande d’une page ; réponse du référent et de l’informatique sous une semaine ; la direction tranche en cas de désaccord.
- Incidents : signalement au référent, par n’importe quel canal ; évaluation sous 48 h ; suites décidées avec la direction ; règle ajoutée à la charte si nécessaire. Trois incidents la première année, aucun grave.
- Rituel : un point trimestriel d’une heure : usages, coûts, incidents, demandes, formation. Un compte rendu d’une page.
Rien de tout ça n’existait un an plus tôt. Les outils étaient les mêmes ; les décisions se prenaient par défaut.
Ce que ça change pour une équipe
- Les décisions ont un circuit. Une demande d’outil obtient une réponse, rapide et motivée, au lieu d’un oui par lassitude ou d’un non par peur.
- La direction pilote. Un point trimestriel suffit à savoir où en est l’entreprise, et à orienter.
- Les incidents servent. Signalés, traités, transformés en règles : chacun améliore le système.
- La conformité est un sous-produit. Inventaire, règles, formation, traitement des incidents : c’est ce que demandent le RGPD et l’AI Act.
Les limites et les erreurs fréquentes
- Copier la gouvernance d’un grand groupe. Comités, chartes de trente pages, processus en douze étapes : personne ne les applique dans une PME. Une page, quatre éléments.
- La gouvernance sans temps. Un référent nommé sans heures, un point trimestriel jamais tenu. Les moyens se décident avec l’organisation.
- Gouverner par l’interdiction. Une gouvernance qui ne sait que dire non fait fuir les usages dans l’ombre. Elle doit surtout savoir dire oui, avec des conditions.
- Oublier les équipes. Une gouvernance décidée en haut sans remontée du terrain ne connaît pas les vrais usages. Les responsables d’équipe en font partie.
Pour aller plus loin
La gouvernance définit les rôles (référent, DSI, juridique, métiers), le processus d’évaluation des outils, l’inventaire des usages, la gestion des risques et la conformité réglementaire. Elle se dimensionne à la taille de l’entreprise.
Où ça se situe chez Opora
Programme 01 · Mieux utiliserUn usage responsable et sobre de l’IA
Mettre en place une gouvernance de l’IA légère et réelle, avec ses rôles et ses rituels, c’est un des livrables du programme Un usage responsable.
Questions fréquentes
Une PME a-t-elle besoin d’une gouvernance de l’IA ?
Oui, mais pas celle d’un grand groupe. Il lui faut quelqu’un qui tient l’inventaire et répond aux questions, une règle pour décider d’un nouvel outil, un endroit où noter les décisions, et un rendez-vous régulier pour faire le point. Ça tient sur une page et prend quelques heures par mois. Sans ça, les usages se décident au hasard.
Qui doit être impliqué ?
La direction, qui tranche et assume. Un référent, qui fait vivre. Les responsables d’équipe, qui connaissent les usages. Et, selon la taille, l’informatique pour la sécurité, le juridique ou le DPO pour les données, les représentants du personnel pour ce qui touche au travail. Pas un comité pléthorique : des rôles clairs.
Comment traiter un incident ?
Avec une procédure connue d’avance : à qui le signaler, qui évalue, qui décide des suites, et comment on en tire une règle. L’important est que signaler soit facile et sans sanction automatique : les incidents cachés sont les plus coûteux.