Gouvernance de l'IA : garder la maîtrise à mesure que les usages se développent.
Définir qui décide, ce que les agents ont le droit de faire, quelles données leur sont accessibles, comment leurs actions sont contrôlées et comment préserver la réversibilité.
Atlassian Platinum Solution Partner · Depuis 2008 aux côtés des DSI · Paris et Lyon
Gouverner sans bloquer.
L'IA ne crée pas seulement de nouveaux outils. Elle introduit de nouveaux acteurs dans le système d'information : des assistants et des agents capables de consulter des données, d'utiliser des applications et parfois d'agir.
Qui décide ? Que peut faire l'agent ? À quelles données accède-t-il ? Qui contrôle ses actions ? Comment les tracer ? Et comment rester capable de changer de fournisseur ?
Les usages IA apparaissent souvent avant que l'entreprise ait eu le temps de construire son cadre. Ce n'est pas nécessairement un problème de discipline : les équipes utilisent des outils disponibles pour résoudre des problèmes réels.
Mais le passage d'une IA qui informe à une IA qui agit change la nature du risque. Notre objectif n'est donc pas de ralentir les projets, mais de leur donner suffisamment de cadre pour qu'ils puissent se développer sans créer une dette de gouvernance difficile à rattraper ensuite.
Quatre dimensions à gouverner.
Quels cas d'usage prioriser ? Qui arbitre ? Qui est responsable de la valeur créée et des risques pris ?
Que peut faire chaque agent ? Avec quelle identité ? Quels droits ? Quel périmètre d'action ? Quel coût ?
Quelles données peuvent être envoyées à un modèle ? À quel fournisseur ? Sous quelle juridiction ? Avec quelle traçabilité et quelle durée de conservation ?
Quelles obligations s'appliquent selon le cas d'usage ? Quelles preuves conserver ? Comment traiter un incident ?
La souveraineté traverse ces quatre dimensions : elle ne se limite pas au lieu où les données sont hébergées.
Notre démarche en cinq étapes.
La gouvernance n'est pas une étape préalable qui retarde les projets. Elle se construit avec eux : un socle minimal au départ, puis un enrichissement à mesure que les usages se développent.
Recenser les usages et agents existants, y compris les usages locaux, et comprendre les données, les acteurs, les risques et les dépendances déjà en place.
Définir le cadre de décision : responsabilités, classification des données, identité et droits des agents, niveaux de contrôle humain, règles de traçabilité et principes de réversibilité.
Mettre le cadre en application sur des cas d'usage réels, configurer les contrôles, la journalisation et les règles d'exploitation sans bloquer les projets.
Former les équipes, expliciter les responsabilités, rendre les règles compréhensibles et intégrer la gouvernance aux pratiques quotidiennes plutôt qu'à un document théorique.
Revoir périodiquement les agents, les coûts, les droits, les fournisseurs et les risques ; tester la réversibilité et faire évoluer le cadre au rythme des usages.
Trois questions à trancher très tôt.
Un agent doit disposer de droits explicites, adaptés à son rôle et traçables. Il ne devrait pas simplement hériter sans contrôle des droits d'un utilisateur ou d'un compte de service générique.
Certaines actions peuvent être exécutées automatiquement, d'autres contrôlées après coup et les plus sensibles validées avant exécution. Le niveau de contrôle dépend du risque associé à l'action.
Pouvez-vous changer de modèle, de fournisseur ou d'architecture sans reconstruire vos processus ? La réversibilité doit être envisagée dès la conception, pas lorsque la dépendance est déjà installée.
La réversibilité n'est pas un sujet de fin de contrat.
Une plateforme IA peut fonctionner parfaitement et néanmoins créer une dépendance importante. Le véritable enjeu est de conserver la capacité de choisir : modèle, fournisseur, localisation, architecture et conditions d'exploitation.
La réversibilité fait partie de la conception de la gouvernance, au même titre que la sécurité ou les droits d'accès.
Questions fréquentes
Une question qui ne trouve pas sa réponse ici se traite en trente minutes d'échange, sur votre contexte réel plutôt que sur un cas général.
Échanger avec un expertQu'est-ce que la gouvernance de l'IA ?
L'ensemble des règles et décisions qui déterminent quels usages sont autorisés, qui les décide, quelles données peuvent être utilisées, ce que les agents peuvent faire et comment leurs actions sont contrôlées et tracées.
Qu'est-ce que le shadow AI ?
Des usages ou agents IA déployés localement sans cadre centralisé ou sans que la DSI en ait une vision complète. Le sujet n'est pas nécessairement de les interdire, mais de les rendre visibles et de pouvoir évaluer leur risque.
Faut-il écrire une charte IA avant de commencer ?
Pas nécessairement. Il est souvent plus efficace de construire le cadre à partir de cas d'usage concrets, puis d'en tirer progressivement des règles communes.
Quand un agent doit-il passer la main à un humain ?
Lorsque l'incertitude ou l'impact potentiel dépasse le niveau de risque accepté. Une décision irréversible, financièrement engageante ou juridiquement sensible mérite généralement davantage de contrôle qu'une action facilement réversible.
Comment éviter la dépendance à un fournisseur d'IA ?
En concevant l'architecture pour pouvoir arbitrer entre plusieurs modèles lorsque c'est pertinent, en conservant la maîtrise des contextes et des données, et en documentant réellement la sortie.
La gouvernance doit-elle être terminée avant le premier projet ?
Non. Les deux doivent avancer ensemble : poser un cadre minimum suffisamment tôt, puis l'enrichir au fur et à mesure des cas d'usage. Voir aussi Solutions IA pour les processus métiers.
Pour aller plus loin : Le chapeau Intelligence artificielle·Diagnostic & feuille de route IA·Solutions IA pour les processus métiers·Compétences IA pour les DSI