Conformité et gouvernance ne recouvrent pas la même chose
La conformité dit ce que l'organisation doit respecter : classification des risques, documentation, transparence, surveillance humaine, gestion des incidents. La gouvernance dit comment elle s'organise pour y parvenir : qui détient l'autorité, quelles instances décident, comment les responsabilités se répartissent entre direction, juridique, technique et métiers. Ce sont deux registres distincts, et les traiter comme un seul explique une bonne part des retards observés dans les projets d'IA, où la bonne volonté d'une équipe ne suffit pas à produire des preuves tenables devant un contrôle, un client ou un partenaire industriel.
Confondre les deux conduit à des impasses. Une entreprise peut produire une documentation impeccable sans qu'aucun responsable ne soit identifié pour la maintenir, ou doter un comité d'éthique sans lien avec les obligations réelles du règlement. La conformité sans gouvernance s'effondre au premier changement de modèle, et la gouvernance sans conformité produit de belles discussions sans effet vérifiable sur les systèmes réellement déployés. L'enjeu n'est donc pas d'ajouter une couche administrative, mais de rattacher chaque obligation à une fonction identifiable et à un responsable qui en répond.
Les niveaux de risque comme colonne vertébrale
Le règlement européen classe les systèmes selon des niveaux de risque, du risque inacceptable aux usages à risque minimal, en passant par le haut risque et les obligations de transparence. Cette classification n'est pas un exercice intellectuel : elle commande les obligations applicables, donc les ressources à mobiliser et les priorités à afficher. Un registre bien tenu transforme cette grille abstraite en outil de pilotage quotidien, lisible par les équipes comme par la direction. Sans cette correspondance explicite, les organisations appliquent les mauvaises contraintes au mauvais système, ou n'en appliquent aucune avec constance.
Une gouvernance efficace s'appuie sur ce registre. Elle attribue à chaque système un niveau, déclenche les procédures correspondantes et suit leur avancement au fil des évolutions. Le référentiel ISO 42001 peut servir de structure pour documenter cette démarche et l'intégrer aux processus qualité déjà en place, plutôt que de créer une organisation parallèle qui finirait par se détacher du terrain et des contraintes réelles de production. Le registre devient alors la source unique que consultent le juridique, la technique et les métiers lorsqu'ils arbitrent un nouvel usage.
Qui répond de quoi
Dès lors qu'un usage traverse plusieurs services, la question du mandat devient décisive. Le règlement distingue le fournisseur et l'utilisateur d'un système, mais dans les faits l'entreprise cumule souvent les deux rôles, par exemple quand elle intègre un modèle tiers dans son propre service et le présente comme le sien. Il faut un responsable nommé, une instance de validation des usages sensibles et un circuit d'alerte pour les incidents. Un rôle unique et documenté vaut mieux qu'une responsabilité diffuse entre plusieurs services qui se renvoient la décision sans jamais la trancher.
Cette architecture ne s'improvise pas. Elle se construit par étapes : charte d'usage, comité, politique de gestion des données, procédure d'évaluation avant déploiement. Chaque brique réduit le risque de décision isolée, qui reste la principale source de non-conformité dans les organisations de taille intermédiaire, souvent plus exposées que les grands groupes équipés de fonctions juridiques et techniques dédiées. Il s'agit moins d'empiler des documents que de rendre chaque décision traçable et révisable au fil des évolutions.
Documenter, tracer, surveiller : le travail de fond
La conformité se prouve, elle ne se déclare pas. Cela implique de conserver la version des modèles, la date de mise en service, les tests réalisés, les mesures de surveillance humaine prévues et les décisions d'arbitrage. Cette traçabilité est aussi un outil de pilotage : elle rend visibles les zones grises, les responsabilités qui manquent et les usages qui se sont installés sans validation explicite, souvent à l'initiative d'un service isolé. Elle se prépare pendant la conception d'un système, pas après coup, lorsque les choix techniques sont déjà recouverts par des habitudes difficiles à corriger.
Tenue dans la durée, cette discipline distingue les organisations qui subissent le règlement et celles qui s'en servent pour sécuriser leurs déploiements. La gouvernance est le lieu où cette différence se joue, bien avant la question de l'outil ou du fournisseur retenu. Elle se mesure à la constance des pratiques, à la clarté des responsabilités et à la capacité de répondre vite quand une question surgit sur un système déjà en production. C'est cette capacité de réponse, plus que la conformité affichée, qui fait la différence le jour où un incident survient sur un système en production.
Aller plus loin
Deux formations de Cabinet MARA préparent directement à ce rôle : Responsable de Gouvernance IA et Éthicien Opérationnel de l'IA, toutes deux 100 % en ligne. Leur contenu détaillé figure dans vers le catalogue des 31 formations.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations