Qu’est-ce qu’un cadre de gouvernance de l’IA ?
Un cadre de gouvernance de l’IA est le système de gestion qui sous-tend votre politique sur l’IA : il précise qui peut approuver un outil ou un usage de l’IA, ce qui doit être consigné, comment les risques sont vérifiés et quand les décisions sont réexaminées. La charte d’utilisation acceptable indique aux salariés ce qu’ils doivent faire ; la gouvernance détermine ce que cette charte contient et veille à ce qu’elle reste exacte.
La plupart des cadres publiés sont rédigés pour de grandes organisations qui développent des systèmes d’IA. Une entreprise de 5 à 200 personnes qui utilise des assistants prêts à l’emploi a besoin de la même logique, à une échelle bien plus réduite. L’objectif est que chaque usage approuvé ait un responsable, une raison d’être et une date de réexamen, et que personne n’ait à deviner qui décide.
Cette page fournit des informations générales, et non des conseils juridiques. Si vous intégrez l’IA à des produits, automatisez des décisions concernant des personnes ou travaillez dans un secteur réglementé, un examen spécialisé allant au-delà de ce qui est décrit ici est nécessaire.
Comment le cadre de gestion des risques liés à l’IA du NIST s’applique-t-il à une petite entreprise ?
Le cadre de gestion des risques liés à l’IA du NIST est un cadre volontaire, publié le 26 janvier 2023, qui organise le travail sur les risques liés à l’IA autour de quatre fonctions : gouverner, cartographier, mesurer et gérer. Le NIST précise qu’il est conçu pour être utilisé volontairement, sans être propre à un secteur ni à un cas d’usage, afin d’offrir de la souplesse aux organisations de toutes tailles. Il précise aussi que les utilisateurs peuvent sélectionner ses catégories selon leurs ressources et leurs capacités, ce qui est exactement la démarche à adopter pour une petite équipe.
La fonction Gouverner est transversale : culture, politiques, rôles et responsabilités. Cartographier établit le contexte d’utilisation d’un système et les risques associés. Mesurer analyse et surveille ces risques à l’aide de méthodes qualitatives ou quantitatives. Gérer affecte des ressources aux risques recensés et couvre les plans de réponse aux incidents et de rétablissement. La page du NIST indique que le cadre est en cours de révision : vérifiez donc la version actuelle avant de le citer.
Le tableau ci-dessous est notre adaptation pour les petites équipes. Il ne constitue pas un profil officiel du NIST et son utilisation ne rend une entreprise conforme à aucune exigence.
| Fonction du cadre du NIST | Ce que cela signifie pour une entreprise de 30 personnes | Livrable concret |
|---|---|---|
| Gouverner | Désignez un responsable, rédigez la politique, formez le personnel, décidez qui approuve les nouveaux usages | Politique avec les noms des responsables, registre des formations |
| Cartographier | Pour chaque usage de l’IA, notez la tâche, les informations concernées et les personnes touchées en cas d’erreur | Une ligne par utilisation dans le registre |
| Mesurer | Vérifier les résultats par sondage, recueillir les problèmes signalés, examiner régulièrement les conditions des fournisseurs | Notes de révision et registre des problèmes |
| Gérer | Approuvez, limitez ou abandonnez les usages selon vos constats ; réagissez aux incidents | Registre et notes d’incident mis à jour |
Qui doit être responsable de la gouvernance de l’IA dans une petite entreprise ?
Une personne désignée doit être responsable de la gouvernance de l’IA, avec un circuit de validation clair pour les décisions qu’elle ne peut pas prendre seule. En pratique, il s’agit souvent du fondateur ou du directeur des opérations dans une entreprise de moins de 50 personnes, et d’un responsable des opérations ou de l’informatique rattaché à la direction dans une structure plus grande. Les recommandations du NIST sur la gouvernance prévoient que la direction assume la responsabilité des décisions concernant les risques liés à l’IA, avec des rôles et des circuits de communication définis.
Voici une répartition applicable à Kestrel Systems, une entreprise fictive de logiciels de 60 personnes : le directeur des opérations tient le registre et approuve les nouveaux outils ; la personne chargée de la protection des données valide tout usage impliquant des données personnelles ; chaque responsable de service approuve les processus et vérifie les résultats dans son périmètre ; le directeur général valide la revue annuelle. Quatre noms couvrent l’ensemble des responsabilités, et chacun sait quelles questions relèvent de lui.
Responsable
Tient le registre, organise les vérifications et sert de premier point de contact. Une personne désignée et un remplaçant.
Validation des données
Approuve tout usage impliquant des données personnelles et décide si une analyse d’impact est nécessaire.
Responsables de la validation des processus
Des responsables de service qui connaissent le travail, approuvent les usages dans leur périmètre et désignent la personne chargée de vérifier les résultats.
Direction
Accepte le niveau global de risque et valide la revue annuelle.
Que doit consigner un registre des usages de l’IA ?
Un registre de l’IA doit consigner chaque outil et chaque usage approuvés, en précisant l’offre souscrite, la tâche autorisée, les informations permises, le responsable, la personne chargée de la vérification et la date de révision. Les recommandations du NIST sur la gouvernance prévoient des mécanismes d’inventaire des systèmes d’IA, avec des moyens alloués selon les risques prioritaires ; pour une petite entreprise, un tableur partagé suffit.
Consignez aussi les informations relatives aux tiers, car presque tous les systèmes d’IA utilisés par une petite entreprise appartiennent à un fournisseur. Les ressources du NIST consacrées à la gouvernance traitent des politiques de gestion des risques liés à l’IA de tiers et des procédures de secours en cas de défaillance de leurs systèmes. Dans le registre, cela signifie : ce que prévoient les conditions du fournisseur concernant l’entraînement, la conservation et la suppression des données, la date de votre dernière vérification et ce que vous feriez si l’outil devenait indisponible ou si ses conditions changeaient.
Exemple de ligne pour Kestrel : "Outil : espace de travail professionnel de [assistant]. Utilisation : rédaction de documents internes et synthèse de travaux de recherche publics. Informations : publiques et internes uniquement. Responsable : directeur des opérations. Relecture : responsable hiérarchique de l’auteur pour tout contenu destiné à l’extérieur. Conditions du fournisseur vérifiées : [date]. Solution de repli : rédaction sans IA. Prochaine révision : [date]."
Vous souhaitez voir le lien avec un métier ?
Découvrez l’essai en équipe prévu ↗Comment un nouvel usage de l’IA devrait-il être approuvé ?
Toute nouvelle utilisation de l’IA doit être approuvée au moyen d’une courte demande écrite répondant à cinq questions, afin que le responsable puisse décider rapidement et que la décision soit consignée. Dans une petite entreprise, la plupart des demandes présentent peu de risques et devraient être traitées en une journée, sans réunion de comité. Une procédure lente incite les gens à la contourner.
Le formulaire de demande de Kestrel tient en cinq lignes. Si une réponse implique des données personnelles ou une décision concernant une personne, la demande doit être soumise à la validation du responsable des données avant d’être approuvée.
Outil et formule
Quel produit et quel compte précis seraient utilisés ?
Tâche
Quel travail ferait-il, et qui l’utiliserait ?
Informations
Quelles catégories d’informations seraient saisies ?
Conséquence d’une erreur
Qui subit les conséquences d’un résultat erroné, et dans quelle mesure ?
Vérification
Qui vérifie le résultat avant son utilisation ?
Sur quels principes une politique de gouvernance de l’IA doit-elle reposer ?
Il n’existe pas de liste unique et consensuelle de principes de gouvernance de l’IA ; les référentiels en utilisent différents. Choisissez donc un ensemble limité que votre équipe peut appliquer. NIST énumère les caractéristiques d’une IA digne de confiance : valide et fiable, sûre, sécurisée et résiliente, responsable et transparente, explicable et interprétable, protectrice de la vie privée et équitable, avec une maîtrise des biais préjudiciables. Le guide pratique de l’IA du gouvernement britannique, publié en février 2025 à l’intention des fonctionnaires, énonce dix principes, à commencer par la connaissance de ce qu’est l’IA et de ses limites, et prévoit notamment un contrôle humain effectif aux étapes appropriées.
Pour une petite entreprise, trois principes de travail suffisent généralement : chaque usage a un responsable désigné ; les informations ne sont transmises que là où elles sont autorisées ; et une personne vérifie tout résultat utilisé et en assume la responsabilité. Si un usage proposé ne peut pas respecter ces trois principes, il n’est pas prêt à être approuvé.
On demande parfois quels sont les trois piliers de la gouvernance de l’IA. Il n’existe pas de liste standard. Une approche pratique consiste à distinguer les personnes (qui décide et qui est formé), les processus (comment les usages sont approuvés et réexaminés) et la documentation (le registre et les décisions qui y figurent).
À quelle fréquence les décisions de gouvernance de l’IA devraient-elles être réexaminées ?
Réexaminez l’ensemble du registre au moins une fois par an, et chaque entrée concernée lorsqu’un fournisseur modifie ses conditions, qu’un abonnement change, qu’un contrat client ajoute des clauses relatives à l’IA ou qu’un problème signalé révèle un dysfonctionnement du processus de travail. Les recommandations du NIST sur la gouvernance couvrent le suivi continu et la révision périodique du processus de gestion des risques.
Une demi-heure par trimestre suffit souvent pour une petite entreprise : le responsable lit le registre des problèmes, vérifie deux ou trois clauses contractuelles des fournisseurs, demande aux responsables de service si des usages ont changé et retire tout ce que personne n’utilise. Le retrait des outils inutilisés fait partie de la gouvernance ; les recommandations du NIST en matière de gouvernance comprennent des procédures de mise hors service sécurisée des systèmes d’IA.
Quelle place la formation occupe-t-elle dans la gouvernance de l’IA ?
La formation est le volet de la gouvernance qui rend les règles applicables. Les recommandations de gouvernance du NIST prévoient que le personnel soit formé à la gestion des risques liés à l’IA. Pour l’UE, les questions-réponses de la Commission européenne sur la maîtrise de l’IA, relatives à l’article 4 du règlement sur l’IA, précisent qu’il n’existe pas d’approche unique, que les certificats ne sont pas obligatoires et qu’un registre interne des formations suffit.
Consignez qui a été formé et sur quels sujets, et centrez la formation sur les tâches que les personnes effectuent réellement. Tosheo.ai est en cours de développement pour proposer des exercices adaptés aux rôles, avec une vue permettant au responsable de suivre la progression des compétences et l’achèvement de la formation ; ce n’est pas une plateforme de gouvernance et elle ne tient pas votre registre.
Quand une petite entreprise a-t-elle besoin d’aller plus loin ?
Un cadre léger ne suffit pas si vous développez des systèmes d’IA, intégrez l’IA à un produit, utilisez l’IA pour prendre ou éclairer des décisions importantes concernant des personnes, traitez à grande échelle des catégories particulières de données ou travaillez dans un secteur réglementé. Ces situations peuvent nécessiter des évaluations formelles des risques ou des analyses d’impact, des systèmes de management certifiables et un examen juridique.
Il existe des logiciels dédiés à la gouvernance de l’IA, principalement destinés aux grandes organisations. Pour une équipe qui utilise quelques assistants, un registre dans un tableur, une politique succincte et une date de révision suffisent généralement et sont plus faciles à tenir à jour.
Sources et périmètre
NIST, cadre de gestion des risques liés à l’IA 1.0 (NIST AI 100-1), janvier 2023 ↗
GOV.UK, guide pratique de l’IA pour le gouvernement britannique, 10 February 2025 ↗