Un inventaire avant tout outil
On ne gouverne que ce que l'on connaît. Le premier travail consiste donc à recenser les systèmes d'intelligence artificielle en usage, y compris ceux qui sont entrés sans passer par la direction informatique : un outil acheté par un service, une fonctionnalité intégrée à un logiciel métier, un assistant improvisé. La liste doit préciser l'usage, les données traitées et la personne responsable. Cet inventaire, souvent révélateur, montre qu'une organisation utilise plus de systèmes qu'elle ne le croyait.
L'inventaire n'est pas un document figé mais un registre vivant, mis à jour à chaque ajout. C'est là que les outils de gouvernance deviennent utiles : ils conservent l'état des systèmes, signalent ceux qui n'ont pas de responsable, rappellent les revues à échéance. Leur valeur tient à la discipline qu'ils soutiennent, non à la sophistication. Un tableur bien tenu vaut mieux qu'une plateforme abandonnée faute d'être alimentée. La gouvernance échoue rarement par manque d'outil ; elle échoue par manque de suivi.
Classer les systèmes par niveau de risque
Classer les systèmes par niveau de risque est la deuxième étape. Le règlement européen sur l'intelligence artificielle, adopté en 2024, distingue les usages interdits, les usages à haut risque soumis à des obligations renforcées, et les autres, tenus à des exigences de transparence. Cartographier ses systèmes selon cette grille aide à répartir l'effort : tout ne demande pas le même traitement. Un tri de candidatures et un générateur de légendes ne portent pas les mêmes conséquences pour les personnes concernées.
Documenter accompagne la classification. Il s'agit de consigner les finalités, les données employées, les mesures de contrôle, les tests réalisés. Ces documents servent autant en interne qu'en cas de contrôle. Les outils dédiés à cette tâche — registres de traitement, fiches de système, modèles à remplir — allègent le travail sans le remplacer. Ils donnent une forme réutilisable à des informations qui, autrement, se perdent. La conformité se prouve par des traces, et ces traces se constituent au fil de l'eau, pas la veille d'un audit.
Journaux et traçabilité des systèmes
Un volet technique complète le registre documentaire : la traçabilité. Pour les usages sensibles, il faut pouvoir reconstituer ce qu'un système a fait et pourquoi. Cela passe par des journaux d'actions, la version des modèles employés, les données d'entraînement et leurs origines. Sans ces éléments, toute vérification a posteriori devient impossible. Les outils de journalisation et de suivi des modèles rendent cette mémoire exploitable, en centralisant des informations autrement éparses dans les systèmes.
La traçabilité répond à plusieurs besoins à la fois. Elle aide à comprendre un incident, à répondre à une réclamation, à démontrer qu'un contrôle a bien eu lieu. Elle alimente aussi l'amélioration : un système que l'on peut observer est un système que l'on peut corriger. Le RGPD, applicable depuis 2018, demande par ailleurs de pouvoir expliquer les traitements de données personnelles et, dans certains cas, de garantir une intervention humaine. La traçabilité n'est donc pas un supplément administratif : c'est la condition technique de la redevabilité.
Les obligations qui encadrent le choix des outils
Choisir un outil de gouvernance suppose de regarder au-delà de ses fonctions. Où sont hébergées les données ? Le fournisseur permet-il de les récupérer ? Que se passe-t-il en cas de changement de prestataire ? Ces questions pèsent autant que la liste des fonctionnalités. Un dispositif qui verrouille l'organisation dans une plateforme opaque crée une dépendance contraire à l'objet même de la gouvernance, qui est de garder la maîtrise. La conformité au RGPD et aux exigences du règlement européen se prépare dès le choix, pas après.
Le paysage des normes fournit des repères. La norme ISO 42001, publiée en 2023, propose un cadre de management des systèmes d'intelligence artificielle, tandis que l'accessibilité des interfaces relève de critères comme le RGAA ou la norme EN 301 549. Ces référentiels n'imposent pas un logiciel précis : ils décrivent des exigences que les outils doivent aider à satisfaire. Les choisir en fonction de leur capacité à documenter et à prouver, plutôt que de leur seule ergonomie, évite d'acheter une apparence de conformité. La gouvernance se juge à ce qu'elle permet de démontrer, pas à ce qu'elle affiche.
Aller plus loin
Mettre en place une gouvernance de l'IA demande d'inventorier, de classer, de tracer et de choisir des outils qui servent réellement la maîtrise. Notre catalogue des 31 formations comprend des parcours consacrés à la gouvernance et à la conformité des systèmes d'IA. Ils s'adressent à ceux qui doivent répondre de ce que leur organisation déploie.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations