L’intelligence artificielle ne se contente plus d’automatiser des tâches : elle déplace le centre de gravité de la gouvernance d’entreprise. Le conseil d’administration doit désormais savoir quels systèmes sont utilisés, avec quelles données, sous quelle responsabilité et selon quelles règles de contrôle.
Cette évolution s’accélère avec l’entrée en application progressive de l’AI Act européen. Les interdictions et les obligations d’AI literacy s’appliquent depuis le 2 février 2025, tandis que de nouvelles exigences de transparence ont commencé à s’appliquer le 2 août 2026. Dans le même temps, l’investissement de 2,5 millions de livres de Helsing dans Mindmax illustre l’intensification de la compétition autour de l’apprentissage automatique.
La question n’est donc plus de savoir si l’IA concerne la gouvernance, mais comment les entreprises peuvent organiser une supervision crédible sans ralentir l’innovation.
Les conseils d’administration passent du suivi technologique à la responsabilité directe
La première transformation concerne le rôle du conseil : l’IA devient un sujet de responsabilité, et non plus seulement un dossier informatique.
Les administrateurs doivent pouvoir identifier les systèmes d’IA qui influencent les décisions importantes, les données qu’ils traitent et les personnes chargées de leur supervision. Cette exigence concerne notamment les outils utilisés pour le recrutement, l’évaluation des salariés, la relation client, le crédit, la cybersécurité ou la production de contenus.
Un conseil n’a pas besoin d’examiner chaque usage d’un assistant conversationnel. Il doit en revanche connaître les systèmes susceptibles d’avoir un effet significatif sur les clients, les salariés, les finances ou la réputation de l’entreprise. Les recommandations de gouvernance récentes mettent l’accent sur un registre actualisé des systèmes importants, leur propriétaire interne, les catégories de données traitées et leur niveau de risque.
À retenir : la gouvernance de l’IA commence par une question simple : quels systèmes peuvent modifier une décision importante de l’entreprise, et qui en répond ?
Cette logique change aussi les échanges en comité. Une présentation consacrée à l’IA ne peut plus se limiter au nombre d’utilisateurs ou aux gains de productivité. Elle doit également préciser les contrôles, les incidents, les limites connues, les règles d’escalade et les preuves conservées.
Un nouveau rôle pour les comités spécialisés
La responsabilité peut être confiée à un comité d’audit, des risques, de la technologie ou de la conformité. L’essentiel est que cette mission figure formellement dans sa charte, avec des lignes de reporting et des critères d’escalade définis à l’avance.
Les sujets à présenter régulièrement au conseil peuvent inclure :
- les systèmes d’IA classés comme critiques ou à fort impact ;
- les incidents liés à la confidentialité, aux erreurs ou aux discriminations ;
- les résultats des contrôles humains et des audits ;
- les changements apportés aux modèles et aux données ;
- les formations suivies par les équipes et les administrateurs.
Cette formalisation évite que l’IA soit traitée au gré des urgences ou uniquement après un incident. Elle transforme la surveillance en processus permanent.
L’AI Act transforme les obligations réglementaires en architecture de contrôle
L’AI Act européen impose une organisation interne qui dépasse la simple veille juridique.
Les interdictions prévues par le règlement et les exigences d’AI literacy s’appliquent depuis le 2 février 2025. Les obligations liées à la gouvernance des modèles d’IA à usage général ont suivi le 2 août 2025. Le 2 août 2026 a marqué une nouvelle étape avec l’extension de l’application et l’entrée en vigueur d’obligations de transparence concernant certaines interactions avec l’IA et certains contenus générés ou manipulés.
Pour les systèmes à haut risque, le cadre prévoit notamment une gestion des risques, une gouvernance des données d’entraînement, une documentation technique, la conservation de journaux, une supervision humaine ainsi que des exigences d’exactitude, de robustesse et de cybersécurité. Les fournisseurs concernés doivent également mettre en place un système de gestion de la qualité et réaliser une évaluation de conformité avant la mise sur le marché.
Les entreprises qui déploient ces systèmes doivent donc être capables de démontrer que les responsabilités sont attribuées et que les contrôles fonctionnent. La conformité devient une question d’organisation, de documentation et de traçabilité.
La supervision humaine devient une fonction opérationnelle
Le règlement impose que la supervision soit confiée à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires. Une mention générale dans une politique interne ne suffit pas si personne ne peut interrompre un système, contester son résultat ou déclencher une analyse complémentaire.
Cette exigence modifie la conception des processus. Une entreprise doit déterminer à quel moment l’humain intervient, quelles informations il reçoit, quelle marge de décision lui est accordée et comment son intervention est enregistrée.
Dans un processus de recrutement, par exemple, la supervision ne consiste pas seulement à apposer une validation finale. Elle suppose de comprendre ce que le système a évalué, de connaître ses limites et de pouvoir écarter une recommandation mal fondée.
Le cadre européen ne crée pas nécessairement un poste unique de responsable de l’IA pour toutes les entreprises. Il exige en revanche un dispositif d’accountability, c’est-à-dire une répartition claire des responsabilités et des tâches de contrôle.
Helsing et Mindmax illustrent la bataille pour les capacités d’apprentissage automatique
L’investissement de 2,5 millions de livres de Helsing dans Mindmax montre que la gouvernance de l’IA se joue aussi dans les choix d’investissement et de partenariat.
Mindmax est une entreprise spécialisée dans l’apprentissage automatique. L’opération a également été soutenue par Concept Ventures et par le cofondateur de l’entreprise européenne de technologies de défense, selon Sifted.
Cette annonce intervient dans un secteur où Google et Microsoft disposent de moyens considérables. La concurrence ne porte pas uniquement sur les modèles visibles par le grand public : elle concerne aussi les talents, les données, les infrastructures de calcul, les outils d’évaluation et les applications spécialisées.
| Acteur | Nature de l’opération ou du positionnement | Donnée chiffrée publiée | Enjeu de gouvernance |
|---|---|---|---|
| Helsing | Investissement dans Mindmax | 2,5 millions de livres | Accéder à des capacités spécialisées en apprentissage automatique |
| Mindmax | Startup spécialisée dans l’apprentissage automatique | Levée soutenue par Concept Ventures | Structurer le développement et l’usage de technologies d’IA |
| Géant technologique présent sur le marché de l’IA | - | Superviser des actifs et des risques à grande échelle | |
| Microsoft | Géant technologique présent sur le marché de l’IA | - | Encadrer les usages, les fournisseurs et les déploiements d’entreprise |
L’investissement ne prouve pas à lui seul la réussite future de Mindmax. Il montre toutefois que les entreprises cherchent à renforcer leurs capacités d’apprentissage automatique par des opérations ciblées, alors que la concurrence reste intense.
Pour les conseils d’administration, ce type d’opération ajoute une dimension stratégique. Une prise de participation ou un partenariat en IA doit être examiné sous plusieurs angles : propriété intellectuelle, dépendance technologique, sécurité des données, accès aux talents, conformité et capacité à contrôler les résultats produits.
À retenir : investir dans une entreprise d’IA revient aussi à investir dans une chaîne de dépendances techniques, réglementaires et humaines qu’il faut pouvoir gouverner.
La gouvernance commence par un inventaire des usages, pas par une charte générale
Une charte de bonnes pratiques constitue un point de départ, mais elle ne permet pas de piloter une entreprise si les usages réels restent inconnus.
Le premier outil opérationnel est un inventaire des systèmes d’IA. Il doit recenser les outils achetés auprès de fournisseurs, les modèles intégrés dans les logiciels métiers et les solutions développées en interne. L’inventaire doit également distinguer les usages expérimentaux des systèmes utilisés dans les processus de production.
Chaque entrée peut associer plusieurs informations :
- la finalité du système ;
- le service responsable ;
- le fournisseur ou le modèle utilisé ;
- les données entrantes et sortantes ;
- le niveau de risque ;
- les personnes habilitées à l’utiliser ;
- les contrôles et les journaux disponibles ;
- les conditions d’arrêt ou de retrait.
Cette cartographie rend visibles les usages officieux. Un salarié qui copie des informations confidentielles dans un outil public crée un risque différent d’une équipe qui utilise un modèle approuvé dans un environnement contrôlé. Les deux pratiques doivent pourtant apparaître dans l’analyse globale.
Classer les usages par impact
La gouvernance gagne en efficacité lorsqu’elle hiérarchise les usages. Les applications à faible impact peuvent faire l’objet de règles simples, tandis que les systèmes affectant les droits, l’emploi, le crédit ou la sécurité doivent suivre une procédure plus exigeante.
Un classement interne peut s’appuyer sur plusieurs critères :
- l’impact potentiel sur une personne ;
- le caractère sensible des données ;
- le degré d’autonomie du système ;
- la possibilité de corriger rapidement une erreur ;
- le volume de décisions concernées ;
- la dépendance à un fournisseur externe.
La classification ne remplace pas l’analyse juridique. Elle permet au contraire de diriger les moyens de contrôle vers les applications qui le justifient réellement.
Les données, les journaux et l’explicabilité deviennent des actifs de gouvernance
Une décision assistée par l’IA doit pouvoir être reconstituée lorsque son impact est significatif.
Les exigences européennes accordent une place importante aux données, à la documentation technique et à la conservation des journaux. Cette traçabilité permet de comprendre quelle version du système a été utilisée, quelles données ont alimenté le processus et quelles interventions humaines ont eu lieu.
Sans ces éléments, l’entreprise peut difficilement répondre à une contestation, analyser un incident ou démontrer que les contrôles ont été appliqués. La conservation des traces devient donc une fonction de gouvernance au même titre que l’audit financier ou la gestion des accès.
L’explicabilité doit servir une décision concrète
L’explicabilité ne signifie pas nécessairement que chaque utilisateur doit connaître le fonctionnement mathématique d’un modèle. Elle signifie qu’une personne compétente doit pouvoir comprendre les facteurs pertinents, les limites du résultat et les conditions dans lesquelles il peut être utilisé.
Cette exigence est particulièrement forte lorsque l’IA influence une décision individuelle. Un responsable doit pouvoir expliquer pourquoi une recommandation a été retenue, quelles vérifications ont été réalisées et comment une personne peut contester le résultat.
La qualité des données est tout aussi déterminante. Un système performant sur un jeu de test peut produire des résultats inadaptés si les données opérationnelles sont incomplètes, obsolètes ou mal représentatives. La gouvernance doit donc suivre les données dans le temps, et pas seulement lors du lancement du projet.
Le conseil doit contrôler l’IA sans remplacer le jugement humain
L’un des risques majeurs consiste à confondre assistance et délégation.
Les recommandations de gouvernance adressées aux conseils insistent sur la nécessité de préserver le scepticisme, la contradiction constructive et le jugement indépendant des administrateurs. Un résultat généré rapidement peut améliorer la préparation d’une réunion, mais il ne doit pas devenir une justification automatique d’une décision.
Les administrateurs doivent notamment s’interroger sur :
- la fiabilité et l’origine des informations utilisées ;
- le risque de divulguer des données confidentielles ;
- la présence d’erreurs, de biais ou d’informations incomplètes ;
- la conservation involontaire de documents sensibles ;
- la manière dont l’assistance de l’IA est déclarée et vérifiée.
Une politique dédiée aux outils utilisés par les administrateurs peut préciser les solutions autorisées, les données interdites, les règles de vérification, la conservation des documents et les procédures d’escalade.
L’AI literacy concerne aussi les dirigeants
La formation ne doit pas être limitée aux équipes techniques. Les dirigeants et les administrateurs doivent comprendre les usages autorisés, les principaux risques, les limites des modèles et les responsabilités associées à chaque décision.
L’objectif n’est pas de transformer le conseil en équipe de recherche. Il s’agit de lui donner les moyens de poser les bonnes questions : quelle décision le système influence-t-il, qui contrôle son résultat, quelles données sont utilisées, quelle preuve peut être produite et que se passe-t-il en cas d’erreur ?
Cette compétence devient une condition de supervision crédible. Elle permet aussi d’éviter deux excès opposés : accepter les recommandations sans examen ou bloquer des usages utiles par méconnaissance du risque réel.
Notre avis : dans six mois, l’avantage ira aux entreprises qui documentent leurs décisions
La gouvernance de l’IA est déjà en train de quitter le registre des principes généraux. L’AI Act impose des échéances, des exigences de transparence, une supervision humaine et une documentation plus structurée. Les investissements comme celui de Helsing dans Mindmax montrent, de leur côté, que les capacités d’apprentissage automatique deviennent un enjeu stratégique et concurrentiel.
Les entreprises les mieux préparées ne seront pas nécessairement celles qui déploient le plus d’outils. Ce seront celles qui savent distinguer l’expérimentation de la production, attribuer chaque responsabilité, conserver les preuves et interrompre un système lorsque le risque dépasse le bénéfice.
Dans les six prochains mois, la priorité devrait être claire : établir un inventaire des usages, classer les systèmes par impact, inscrire la supervision de l’IA dans les responsabilités d’un comité et former les décideurs. Cette discipline donnera au conseil une vision plus précise des gains attendus, mais aussi du coût réel des erreurs.
La question décisive ne sera plus « où peut-on ajouter de l’IA ? », mais « quelles décisions l’entreprise accepte-t-elle de confier à un système, sous quelles preuves et avec quel recours humain ? »