La gouvernance de l’IA accuse un retard dans les entreprises américaines

L’adoption de l’IA progresse plus rapidement que la mise en place des mécanismes de gouvernance

Les agents IA s’intègrent rapidement dans les opérations métier. 86 % des entreprises testent actuellement des agents IA, tandis que près de la moitié les ont déjà mis en production. Il ne s’agit plus seulement de petites expériences. Les systèmes d’IA capables d’agir avec une plus grande autonomie s’intègrent désormais dans des flux de travail réels.

La gouvernance n’a pas évolué au même rythme. Bien que la quasi-totalité des entreprises consacrent des ressources à la gouvernance de l’IA, seules 64 % d’entre elles disposent d’une politique officielle d’utilisation acceptable de l’IA qu’elles communiquent activement à leurs collaborateurs. Seules 57 % ont mis en place des politiques officielles, et 44 % disposent de procédures de réponse aux incidents spécialement conçues pour l’IA.

Cet écart est important. L’IA autonome est capable de prendre des décisions, d’interagir avec des logiciels, de traiter des informations sensibles et d’exécuter des tâches avec une intervention humaine réduite. À mesure que son autonomie s’accroît, les entreprises doivent savoir quels systèmes sont en service, à quelles données ils ont accès, à qui incombent les risques associés et ce qui se passe en cas de problème.

Pour les dirigeants, l’objectif ne doit pas être de ralentir le déploiement de l’IA. La meilleure approche consiste à mettre en place une gouvernance capable de s’adapter à l’évolution du déploiement. Une définition claire des responsabilités, des contrôles d’accès, des mécanismes de surveillance, des tests, des politiques applicables aux employés et des procédures en cas d’incident doivent faire partie intégrante du processus permettant aux produits d’IA de passer de la phase d’expérimentation à la mise en production.

Une gouvernance plus stricte ne signifie pas automatiquement une meilleure gouvernance. Un ensemble trop vaste de règles peut engendrer de la bureaucratie sans pour autant réduire les risques. La question essentielle pour les conseils d’administration et les équipes de direction est de savoir si les contrôles fonctionnent dans la pratique. La gouvernance doit être adaptée au niveau d’autonomie, à l’impact sur l’activité et au niveau de risque de chaque système d’IA.

Les opportunités restent considérables. Les entreprises qui mettent en place dès le départ des contrôles concrets peuvent poursuivre leurs expérimentations tout en jetant des bases plus solides en vue de déploiements à plus grande échelle. L’objectif est une accélération maîtrisée : agir rapidement, comprendre ce qui est déployé et conserver une visibilité suffisante pour intervenir si nécessaire.

Les leaders du secteur technologique sont responsables de l’IA qu’ils ne contrôlent pas entièrement

Le problème de la responsabilité devient difficile à ignorer. Une étude de l’IBM Institute for Business Value a révélé que les deux tiers des DSI et des directeurs techniques sont tenus pour responsables de systèmes d’IA qu’ils ne maîtrisent pas entièrement. L’IA se répand au sein des organisations à un rythme que les services informatiques traditionnels ne parviennent pas à suivre.

Il y a plusieurs raisons à cela. Les collaborateurs peuvent accéder directement à des services d’IA externes. Les divisions opérationnelles peuvent acquérir des logiciels intégrant l’IA sans avoir à développer elles-mêmes les modèles sous-jacents. Les applications existantes intègrent également des fonctionnalités d’IA. Par conséquent, la responsabilité peut rester du ressort du DSI ou du directeur technique, même lorsque les décisions de déploiement, l’accès aux données et l’utilisation au quotidien sont répartis au sein de l’entreprise.

Les agents autonomes font monter les enjeux, car ils sont capables d’exécuter des séquences de tâches plutôt que de se contenter de produire des informations destinées à être examinées par un humain. Une étude de Deloitte a révélé que seule une entreprise sur cinq dispose d’un modèle abouti de gouvernance des agents autonomes. Une gouvernance insuffisante dans ce domaine peut accroître l’exposition aux failles de sécurité et aux défaillances opérationnelles.

La réponse de la direction doit aller au-delà du service informatique. La gouvernance de l’IA nécessite une définition claire des responsabilités au sein des services chargés de la technologie, de la cybersécurité, des affaires juridiques, de la conformité, de la gestion des risques, des achats, ainsi que des équipes opérationnelles qui utilisent concrètement ces systèmes. La direction doit déterminer qui est habilité à approuver les déploiements d’IA, qui en assure le suivi, qui accepte les risques résiduels et qui dispose du pouvoir de suspendre un système.

La visibilité revêt une importance tout aussi grande. Une organisation ne peut pas gérer efficacement des systèmes d’IA qu’elle n’est pas en mesure d’identifier. Les entreprises ont donc besoin d’un inventaire précis des systèmes d’IA déployés, y compris ceux de tiers, ainsi que d’informations concernant leur propriété, l’accès aux données, l’usage prévu et le niveau de risque.

La responsabilité sans autorité engendre un problème structurel de gouvernance. Si les DSI et les directeurs techniques sont responsables des résultats de l’IA, ils doivent également disposer d’une visibilité suffisante et de pouvoirs décisionnels pour gérer ces résultats. Dans le même temps, il n’est pas réaliste de penser que le service informatique centralisé puisse assumer l’entière responsabilité de toutes les décisions relatives à l’IA. Le modèle le plus efficace consiste à répartir les responsabilités opérationnelles tout en maintenant des normes à l’échelle de l’entreprise et un contrôle de la direction.

Il s’agit en fin de compte de rendre l’IA évolutive. Une responsabilité clairement définie peut réduire les déploiements non contrôlés, accélérer les autorisations pour les applications présentant moins de risques et permettre aux dirigeants de concentrer leur attention sur les systèmes susceptibles d’avoir le plus grand impact. À mesure que l’IA gagne en autonomie, cette discipline revêt une importance croissante.

L’IA autonome nécessite une surveillance continue

La gouvernance de l’IA ne peut pas s’arrêter dès qu’un système est mis en production. Cela revêt d’autant plus d’importance que les entreprises déploient des agents IA autonomes capables de planifier des tâches, de prendre des décisions, d’utiliser des logiciels et d’agir avec une intervention humaine directe moindre.

M. Manimbo a déclaré que, à mesure que les organisations déploient des capacités d’IA de plus en plus autonomes, la gouvernance ne doit pas être considérée comme un exercice ponctuel. Les entreprises ont besoin de processus continus en matière de contrôle, de responsabilité et de validation.

Pour les dirigeants, une surveillance continue passe d’abord par la visibilité. Les responsables doivent savoir quels systèmes d’IA sont en service, quelles actions ils sont autorisés à effectuer, à quelles données et applications ils ont accès, et qui est responsable de leurs performances. Ces contrôles doivent faire l’objet d’un examen régulier, car les modèles d’IA, les systèmes connectés, les processus métier et la réglementation peuvent tous évoluer après le déploiement.

La validation est également essentielle. Les entreprises doivent vérifier régulièrement que les systèmes d’IA continuent de fonctionner dans les limites définies et produisent des résultats acceptables. Pour les applications à haut risque, cela peut inclure la surveillance des résultats, l’analyse des comportements inhabituels, le test des contrôles de sécurité, la tenue de registres d’audit et la définition des situations nécessitant une validation humaine. Les procédures en cas d’incident doivent préciser qui est habilité à restreindre ou à arrêter un système d’IA lorsque cela s’avère nécessaire.

Il y a ici une nuance en matière de gestion. Une gouvernance continue ne signifie pas exercer une surveillance maximale sur chaque application d’IA. Cela peut augmenter les coûts et freiner l’innovation utile. Les dirigeants peuvent plutôt adopter une approche fondée sur les risques. Un outil de productivité interne à faible impact peut nécessiter des contrôles relativement simples, tandis qu’un système autonome traitant des données clients, des décisions financières, des infrastructures critiques ou des activités réglementées mérite une supervision nettement plus stricte.

L’objectif est de veiller à ce que la gouvernance reste en adéquation avec les capacités réelles de la technologie. À mesure que les capacités autonomes se développent, les contrôles doivent évoluer en parallèle. Les entreprises qui intègrent ce processus dans leurs activités courantes seront mieux à même d’accroître l’autonomie de l’IA sans pour autant perdre de vue la responsabilité.

Une gouvernance solide en matière d’IA peut générer de la valeur pour l’entreprise

On évoque souvent la gouvernance comme un moyen de réduire les risques réglementaires, de sécurité et de réputation. Cela ne représente toutefois qu’une partie de sa valeur. Le rapport de Schellman a révélé que les organisations mettant en œuvre une gouvernance de l’IA efficace ont constaté une amélioration de leur efficacité interne, une plus grande facilité à développer l’IA et l’innovation, ainsi qu’un renforcement de la confiance des clients.

Il y a une raison pratique à cela. Lorsque les collaborateurs savent quels outils d’IA ils peuvent utiliser, quelles informations ils peuvent fournir à ces systèmes et quelles autorisations sont requises, l’incertitude s’atténue. Les équipes opérationnelles peuvent prendre des décisions plus rapidement, car les pratiques acceptables sont déjà définies. Les équipes techniques et de gestion des risques peuvent également concentrer leur attention sur les applications présentant un risque plus élevé, au lieu de devoir répondre sans cesse aux mêmes questions élémentaires.

La gouvernance peut également faciliter la gestion du développement de l’IA. Une entreprise disposant de normes bien établies en matière de tests, d’approbation, de suivi, d’accès aux données et de responsabilité n’a pas besoin de repenser son processus de gouvernance à chaque déploiement. Des contrôles réutilisables peuvent réduire les frictions à mesure que l’IA passe du stade des expériences individuelles à celui d’une utilisation plus large dans les opérations de l’entreprise.

La confiance des clients constitue un autre facteur important. Les entreprises clientes souhaitent de plus en plus obtenir la preuve que les fournisseurs gèrent l’IA de manière responsable, en particulier lorsque les systèmes traitent des informations confidentielles ou influencent des décisions importantes. La mise en place de contrôles vérifiables peut donc devenir un élément déterminant dans le cadre des procédures d’appel d’offres, des négociations contractuelles, des évaluations de sécurité et des relations commerciales à long terme.

Les dirigeants doivent toutefois rester prudents dans leur interprétation de ces données. La source indique que les personnes interrogées ont fait état des avantages d’une gouvernance efficace, mais elle ne fournit pas de chiffres quant aux gains en matière d’efficacité, d’innovation ou de confiance des clients. Le texte fourni ne permet pas non plus d’établir que la gouvernance, à elle seule, soit à l’origine de ces résultats. Les entreprises les plus matures peuvent disposer d’autres atouts contribuant à de meilleurs résultats.

Cet aspect stratégique conserve toute sa pertinence. Une gouvernance efficace ne doit pas être conçue uniquement comme une fonction de conformité. Lorsque les contrôles sont clairs, proportionnés et intégrés aux opérations de l’entreprise, ils permettent d’accélérer la prise de décision et de déployer l’IA en toute confiance. Les programmes les plus performants protègent l’organisation tout en l’aidant à développer des technologies qui génèrent une valeur mesurable.

La préparation réglementaire devient une priorité essentielle dans le domaine de l’IA

La réglementation en matière d’IA occupe une place de plus en plus importante dans les priorités des dirigeants. Une majorité d’entreprises ont déclaré se préparer à se conformer à la réglementation américaine, tandis que près d’un tiers se préparaient à la loi européenne sur l’IA. Cela montre que la gouvernance est de plus en plus influencée par les exigences réglementaires sur plusieurs marchés.

Pour les multinationales, le défi ne se limite pas au simple respect d’un ensemble de règles. Les exigences en matière d’IA peuvent varier selon la juridiction, le secteur d’activité, le cas d’utilisation et le niveau de risque. Une organisation peut donc être amenée à déterminer où un système d’IA est utilisé, sur quelles décisions il influe, quelles données il traite et quelles exigences légales s’appliquent.

La loi européenne sur l’IA revêt une importance particulière car elle repose sur un cadre fondé sur les risques. Les obligations deviennent plus strictes pour certaines applications à haut risque, tandis que certaines pratiques en matière d’IA sont interdites. La loi contient également des exigences concernant les modèles d’IA à usage général. Pour les dirigeants, cela signifie que les décisions en matière de conformité doivent s’appuyer sur les contributions des équipes juridiques, techniques, de sécurité, de gestion des risques et commerciales, plutôt que d’être confiées à un seul service.

Le calendrier est également un facteur important. La loi européenne sur l’IA est entrée en vigueur le 1er août 2024, ses exigences s’appliquant par étapes plutôt qu’à une date butoir unique. Certaines dispositions sont déjà applicables à compter de 2026, tandis que d’autres exigences devraient entrer en vigueur dans le cadre de la mise en œuvre progressive de la loi. Les dirigeants doivent donc évaluer les obligations applicables à leurs systèmes spécifiques plutôt que de considérer cette législation comme un problème futur.

Le cadre réglementaire américain est plus fragmenté. Les entreprises peuvent être confrontées à des exigences et des recommandations fédérales, à des lois des États, à des règles spécifiques à certains secteurs, ainsi qu’à des obligations existantes en matière de protection de la vie privée, de protection des consommateurs, d’emploi et de lutte contre la discrimination, qui peuvent s’appliquer lors de l’utilisation de l’IA. Un programme de gouvernance conçu autour d’une seule loi fédérale prévue en matière d’IA pourrait donc présenter des lacunes importantes.

Une préparation précoce présente un avantage concret. Les entreprises qui disposent d’un inventaire de leurs systèmes d’IA, désignent des responsables, documentent leurs évaluations des risques et conservent les preuves des tests et de la surveillance devraient être mieux à même de s’adapter à l’évolution des exigences. L’objectif n’est pas simplement de satisfaire à un contrôle de conformité, mais de mettre en place des processus capables de s’adapter sans devoir repenser sans cesse l’approche de l’entreprise en matière de risques liés à l’IA.

La gouvernance de l’IA est désormais une nécessité pour les entreprises

La gouvernance de l’IA dépasse désormais le cadre d’une simple préoccupation technologique interne. Les clients, les autorités de régulation, les conseils d’administration et les partenaires commerciaux exigent de plus en plus que les entreprises démontrent qu’elles comprennent le fonctionnement de leurs systèmes d’IA et qu’elles sont en mesure de gérer les risques qui en découlent. Pour les cadres dirigeants, la gouvernance est donc de plus en plus étroitement liée au contrôle de gestion, aux relations commerciales, aux enjeux réglementaires et à la stratégie de croissance.

Avani Desai, PDG de Schellman, a décrit cette évolution en ces termes : la gouvernance est passée du statut de facteur facultatif à celui de facteur obligatoire dans le déploiement de l’IA. Elle a souligné que l’on attendait de plus en plus des entreprises qu’elles démontrent l’efficacité de leur gouvernance, plutôt que de se contenter de prouver l’existence de politiques.

Cette distinction est importante. Une entreprise peut disposer de politiques très complètes en matière d’IA tout en présentant une gouvernance défaillante si ses employés ne les respectent pas, si les responsabilités restent floues ou si les systèmes déployés ne font pas l’objet d’un suivi. Une gouvernance démontrable nécessite des preuves. Selon le système, cela peut inclure la définition documentée des responsabilités, des évaluations des risques, des contrôles d’accès, des comptes rendus de tests, des procédures de réponse aux incidents, une surveillance, des pistes d’audit et des documents attestant que les employés comprennent les règles d’utilisation acceptable de l’IA.

Les conseils d’administration ont également un rôle stratégique à jouer. Ils n’ont pas à gérer les modèles d’IA individuellement, mais ils doivent comprendre où se situent les risques significatifs liés à l’IA, comment la direction attribue les responsabilités, et si les contrôles restent efficaces à mesure que le déploiement s’étend. Les équipes de direction doivent être en mesure d’expliquer à la fois les opportunités créées par l’IA et les mécanismes mis en place pour maîtriser les risques opérationnels, juridiques, de sécurité et de réputation importants.

Il existe une nuance importante en matière de direction : la gouvernance doit être proportionnée au risque. L’application de contrôles complexes à chaque application d’IA peut augmenter les coûts et ralentir son adoption sans pour autant générer des avantages équivalents. Les programmes efficaces font la distinction entre les utilisations présentant un risque relativement faible et les systèmes susceptibles d’avoir des conséquences importantes pour les clients, les employés, les décisions financières, les informations sensibles ou les opérations réglementées.

Les implications commerciales prennent également de l’ampleur. Les entreprises clientes et les partenaires commerciaux peuvent exiger des preuves des contrôles mis en place en matière d’IA lors des procédures d’appel d’offres, des audits de sécurité et des négociations contractuelles. Les entreprises capables de fournir une documentation crédible pourraient avoir plus de facilité à instaurer la confiance quant à la manière dont elles développent et utilisent l’IA.

M. Desai a résumé l’argumentaire commercial à long terme : « Les organisations qui instaurent un climat de confiance grâce à des programmes de gouvernance aboutis et vérifiables seront mieux placées pour déployer l’IA à grande échelle, s’adapter aux évolutions réglementaires et créer de la valeur commerciale à long terme. »

Pour les dirigeants, il s’agit là de l’objectif principal. La gouvernance doit permettre à l’entreprise de déployer l’IA avec davantage d’assurance, de s’adapter aux évolutions réglementaires et de démontrer aux parties prenantes l’efficacité de ses dispositifs de contrôle. À mesure que l’IA gagne en autonomie et s’intègre de plus en plus profondément dans les opérations commerciales, cette capacité revêt une importance croissante.

Principaux enseignements pour les dirigeants

• L’adoption de l’IA devance la gouvernance : alors que 86 % des organisations testent des agents IA et que près de la moitié les utilise déjà en production, la gouvernance doit évoluer au même rythme. Les dirigeants doivent définir clairement les responsabilités, établir des règles d’utilisation acceptable, mettre en place un dispositif de surveillance et définir une procédure de réponse aux incidents spécifique à l’IA.
• Combler le déficit de responsabilité : les deux tiers des DSI et des directeurs techniques sont tenus responsables de systèmes d’IA qu’ils ne maîtrisent pas entièrement. Il convient d’accorder aux responsables techniques une visibilité et une autorité suffisantes, tout en attribuant des responsabilités claires aux équipes chargées des activités, de la sécurité, des affaires juridiques et de la gestion des risques.
• Assurez une surveillance continue de l’IA : l’IA autonome évolue après son déploiement, à mesure que les modèles, les intégrations, les autorisations et les cas d’utilisation changent. Privilégiez une surveillance continue, une validation régulière et des contrôles fondés sur les risques, plutôt que de considérer la gouvernance comme une simple approbation ponctuelle.
• Faites de la gouvernance un levier de développement : une gouvernance solide est synonyme d’une meilleure efficacité interne, d’une mise à l’échelle et d’une innovation plus aisée en matière d’IA, ainsi que d’une confiance accrue de la part des clients. Mettez en place des contrôles réutilisables qui permettent de gérer les risques significatifs sans créer de freins inutiles pour les applications d’IA présentant un risque moindre.
• Préparez-vous dès maintenant à la réglementation : les entreprises sont confrontées à des exigences en constante évolution aux États-Unis, dans l’Union européenne et sur d’autres marchés. Tenez à jour des inventaires relatifs à l’IA, des évaluations des risques, la désignation des responsables, des registres de tests et des preuves de conformité, qui puissent s’adapter à l’évolution des obligations réglementaires.
• Démontrez l’efficacité de la gouvernance : les clients, les conseils d’administration, les autorités de régulation et les partenaires commerciaux attendent de plus en plus des preuves d’un contrôle efficace de l’IA. Les dirigeants doivent mettre en place une gouvernance vérifiable qui renforce la confiance tout en favorisant un développement responsable de l’IA.