La gouvernance de l'IA ne définit pas ce que le modèle peut faire mais ce que l'organisation autorise. C'est un sujet de direction, pas un sujet technique.
01. Pourquoi c'est nécessaire
À mesure que l'usage de l'IA se disperse entre les services, on ne peut plus suivre qui envoie quelles données à quel outil. La gouvernance est le cadre qui reprend la main sur cette dispersion.
02. Inventaire
La première étape est la liste des applications d'IA utilisées : quel processus, quel modèle, quelles données, qui en répond. Sans cette liste, aucune évaluation des risques n'est possible.
03. Politique d'usage
Quelle classe de données peut aller vers quel outil, quelles décisions peuvent être automatisées, quelles sorties exigent une validation humaine. La politique doit être courte et applicable ; un document de trente pages que personne ne lit ne sert à rien.
04. Rôles
Il faut un responsable : une personne ou un comité chargé de l'usage de l'IA, avec le juridique, la sécurité de l'information et le métier représentés. Une politique sans propriétaire reste vite lettre morte.
05. Classement des risques
Chaque cas d'usage doit être classé par impact. Un outil de synthèse pour l'efficacité interne ne peut pas relever du même niveau de contrôle qu'un système influençant des décisions d'embauche.
06. Revue
Révisez non pas une fois l'an mais à chaque nouvel outil et à chaque changement de réglementation. Ce domaine bouge vite, côté technologie comme côté normes.