Gouvernance des usages IA : du registre aux décisions

La gouvernance des usages d’intelligence artificielle (IA) est le système par lequel une organisation sait quels outils sont utilisés, pour quelles finalités, avec quelles données, sous la responsabilité de qui et selon quelles règles de contrôle. Elle ne se réduit ni à une charte, ni à un comité, ni à un inventaire technique. Son objet est de rendre les décisions explicites et les pratiques vérifiables sans bloquer les équipes.

Les premières entités à distinguer sont l’usage métier, le système ou fournisseur, les données mobilisées, les utilisateurs, le responsable métier et le propriétaire technique. Un même assistant peut soutenir plusieurs usages présentant des enjeux très différents : résumer une note publique, préparer une réponse client ou interroger une base interne. Gouverner l’outil seul masque cette différence. Gouverner l’usage permet au contraire d’appliquer un contrôle proportionné au contexte réel.

L’unité de pilotage la plus utile est l’usage : une finalité définie, portée par une équipe, avec des entrées, une sortie attendue et un destinataire. Le modèle et l’application restent des dépendances à documenter, mais ils ne décrivent pas à eux seuls l’exposition opérationnelle. Un changement de fournisseur peut laisser la finalité intacte ; une nouvelle finalité peut, elle, transformer le niveau de contrôle nécessaire sans modifier l’outil.

Une fiche d’usage exploitable contient au minimum :

Une responsabilité collective sans décideur nommé devient vite une responsabilité théorique. Le responsable métier porte la finalité, les critères d’acceptation et les conséquences d’une sortie erronée. Le propriétaire technique maîtrise l’architecture, les accès, les changements et l’observabilité. Les fonctions données et sécurité examinent leurs domaines respectifs. Les utilisateurs signalent les écarts et respectent les conditions d’emploi définies.

Une matrice Responsible, Accountable, Consulted, Informed (RACI), soit responsable de l’exécution, redevable de la décision, consulté et informé, clarifie les passages de relais. Elle doit rester attachée à des décisions concrètes : autoriser l’expérimentation, ouvrir une source de données, passer en production, accepter une limite connue ou suspendre l’usage. Le comité de gouvernance arbitre les cas transverses ; il ne remplace pas le propriétaire nommé de chaque usage.

Une grille interne simple évite d’imposer le même parcours à tous les usages. Elle ne constitue pas une qualification juridique : elle sert à orienter l’effort de maîtrise et doit être adaptée au contexte de l’organisation.

Le niveau de contrôle résulte de la combinaison de ces signaux, pas d’une étiquette isolée. Une classification interne doit donc renvoyer vers des mesures attendues et vers un décideur capable d’accepter, réduire ou refuser l’exposition.

Le registre devient utile lorsqu’il s’insère dans les événements du cycle de vie. Une demande d’accès crée ou complète la fiche. Le passage en expérimentation exige un propriétaire et des critères de test. La mise en production vérifie les contrôles attendus. Un changement de modèle, de données, d’intégration ou de finalité déclenche une revue ciblée. Le retrait ferme les accès et précise ce qu’il advient des journaux et des données.

La qualité du registre se pilote avec des indicateurs de complétude et d’action : usages sans responsable, revues échues, changements non évalués, incidents ouverts ou décisions sans preuve associée. Il est préférable de suivre peu de champs fiables plutôt qu’un catalogue riche mais obsolète. Chaque champ doit avoir un propriétaire, une source et un événement de mise à jour.

Une preuve utile répond à trois questions : quelle décision a été prise, sur quelles informations et par qui. Selon l’usage, le dossier peut rassembler la fiche validée, les résultats de tests, la version de configuration, les droits accordés, le compte rendu d’arbitrage, les incidents et les actions correctives. Il n’est pas nécessaire de dupliquer ce qui existe déjà dans les outils de projet, de sécurité ou de gestion des données : un lien stable et un propriétaire peuvent suffire.

La journalisation doit également être sélective. Conserver une trace des appels, actions et validations peut aider à diagnostiquer un écart, mais collecter sans finalité augmente l’exposition et rend l’analyse difficile. Le contenu des journaux, leurs accès et leur durée doivent donc être définis comme des choix d’architecture et d’exploitation.

Commencez par un périmètre observable : une direction, une famille d’outils ou quelques usages déjà actifs. Nommez un sponsor, un pilote de registre et les propriétaires métier. Définissez ensuite la fiche minimale, la grille de triage et les décisions qui exigent une validation. Testez ce parcours sur des situations contrastées, puis corrigez les champs que personne ne sait renseigner ou maintenir.

La maturité ne se mesure pas au nombre de règles publiées, mais à la capacité de retrouver rapidement un usage, son responsable, ses limites connues et la dernière décision qui l’autorise.