Qui est responsable de la gouvernance de l’IA dans une entreprise réglementée ?

La gouvernance de l’IA est l’ensemble des décisions et des contrôles qui déterminent quels systèmes d’IA une entreprise réglementée peut utiliser, comment ils sont vérifiés, et qui répond quand l’un d’eux fait défaut. Cette page traite de la troisième question, qui doit être réglée avant qu’un système d’IA ne fasse défaut, pas après. Voir ce qu’est la gouvernance de l’IA pour la vue d’ensemble.

• Le conseil d’administration : porte la responsabilité du risque IA et de sa supervision.
• Un dirigeant nommément désigné : pilote le programme au quotidien et sert de point de contact.
• Le DPO : porte la partie protection des données lorsqu’un système d’IA traite des données personnelles. Selon l’article 39 du RGPD, le DPO informe, conseille et contrôle le respect du règlement, y compris pour les analyses d’impact relatives à la protection des données.
• Le RSSI : porte la partie sécurité des systèmes d’IA et des données qu’ils utilisent.
• Le responsable métier de chaque système d’IA : porte la partie liée au système qu’utilise son équipe.

Un comité peut coordonner ce travail. Il ne peut pas porter la responsabilité : le programme a besoin d’une personne nommée à sa tête.

Les programmes échouent quand la responsabilité repose sur un groupe plutôt que sur une personne. Tout le monde assiste à la réunion, personne ne détient la décision, et quand un système d’IA dysfonctionne, personne ne sait qui peut agir. L’ISO/IEC 42001 dit la même chose dans son chapitre sur le leadership : la direction attribue les responsabilités et autorités du système de management de l’IA (paragraphe 5.3). Voir le guide ISO 42001.

Demandez qui peut arrêter un système d’IA un vendredi soir, et si cette personne sait qu’elle a l’autorité pour agir. Si la réponse est un comité, le programme n’est pas encore prêt. Si c’est une personne nommée qui peut joindre les bonnes personnes, le programme fonctionne.

Pour les systèmes d’IA à haut risque, l’article 26 de l’AI Act place l’obligation sur le déployeur, l’entreprise qui utilise le système :

• Article 26(2) : confier le contrôle humain à des personnes physiques qui disposent de la compétence, de la formation et de l’autorité nécessaires, ainsi que du soutien nécessaire.
• Article 26(5) : surveiller le fonctionnement du système sur la base de la notice d’utilisation. Lorsque l’utilisation peut présenter un risque, informer sans retard injustifié le fournisseur ou le distributeur et l’autorité de surveillance du marché, et suspendre l’utilisation du système.

Depuis le règlement (UE) 2026/1744, les obligations relatives au haut risque s’appliquent aux systèmes autonomes de l’annexe III à partir du 2 décembre 2027. Voir le guide de l’AI Act.

Dans le module Gouvernance de l’IA d’Acuna GRC, chaque système d’IA a ses superviseurs. Chaque affectation enregistre une personne de votre organisation, le type de supervision, si elle peut annuler un résultat ou suspendre le système, une base de compétence et une date de prise d’effet. Les deux cases d’autorité restent décochées tant qu’on ne les coche pas. Les vues « Aucun superviseur » et « Personne ne peut l’arrêter » montrent les systèmes qui échouent au test du vendredi, et chaque incident IA a un responsable. Voir la Gouvernance de l’IA dans Acuna GRC.