Pour une grande organisation qui opère au Québec, en France, en Belgique, et en Afrique francophone simultanément, la question n'est plus "est-on conforme à l'EU AI Act" — c'est "comment on construit un cadre de gouvernance robuste quelle que soit la réglementation qui s'applique demain."
Les valeurs éthiques — et le vrai défi
Toutes les réglementations IA émergentes convergent autour des mêmes valeurs : transparence, équité, responsabilité, robustesse, respect de la vie privée. Ces valeurs semblent évidentes. Elles sont en réalité très difficiles à garantir.
Comment une organisation peut-elle affirmer que son IA est transparente et équitable si elle ne maîtrise pas précisément ce que son IA fait, avec quelles données, et selon quels critères ?
La transparence signifie pouvoir expliquer à un client pourquoi le système a pris telle décision. L'équité signifie avoir vérifié que le modèle ne discrimine pas selon des critères protégés — et pouvoir le prouver. La responsabilité signifie qu'il y a une personne nommée, pas un comité, qui répond de ce que le système fait. Déclarer des valeurs éthiques sans en avoir les mécanismes de vérification, c'est une posture. Pas une gouvernance.
Les quatre niveaux de risque
| Niveau | Exemples | Obligation |
|---|
| Inacceptable — interdit | Notation sociale, manipulation psychologique | Interdit |
| Élevé — obligations strictes | Recrutement, crédit, assurance, RH | Documentation, audit, supervision humaine |
| Limité — transparence | Chatbots, génération de contenu | Informer l'utilisateur |
| Minimal — liberté | Filtres anti-spam, recommandations | Droit commun |
| Obligation EU AI Act | Date |
|---|
| Interdictions risque inacceptable | Février 2025 ✅ |
| Obligations modèles IA générative | Août 2025 ✅ |
| Obligations systèmes risque élevé | Août 2026 ⏳ |
| Sanctions maximales | 35M€ ou 7% CA mondial |
Point souvent manqué
L'EU AI Act s'applique aux fournisseurs ET aux déployeurs de systèmes IA à risque élevé. Si vous utilisez un outil tiers dans le recrutement ou l'évaluation, vous avez des obligations même si vous n'avez pas développé le système. "C'est la responsabilité de notre fournisseur" n'est pas une défense juridique suffisante. Vérifiez vos contrats. Votre DPO (Délégué à la Protection des Données — le responsable déjà nommé dans votre organisation pour la conformité RGPD) est votre premier interlocuteur pour cette démarche.
⬡
Cadre LEAP™ — Couche P · Pivot
▼
Un cadre de gouvernance solide est naturellement aligné avec la majorité des réglementations émergentes — parce qu'elles reposent toutes sur les mêmes valeurs fondamentales. Les organisations qui investissent maintenant n'auront pas de "projet de conformité EU AI Act" à lancer en 2026. Elles seront déjà en grande partie conformes.
Section 03
03
Les 6 leviers : construire le cadre qui fonctionne vraiment
La gouvernance IA n'est pas un projet. C'est un système. Et comme tout système, il ne tient que si chaque composante est en place — pas seulement les plus visibles. Ce que j'observe dans les organisations qui gouvernent bien leur IA : elles n'ont pas nécessairement les outils les plus sophistiqués. Elles ont six choses simples, bien faites, maintenues dans le temps.
Concept — IA-CMDB
On a appris à gouverner les actifs IT avec des CMDB. L'IA appelle désormais le même niveau de discipline : un registre central permettant de savoir quels systèmes IA existent, ce qu'ils font, qui en répond, et ce qu'il se passe s'ils dérivent. Un tableur de 7 colonnes suffit pour commencer. Le fait que le registre existe — même incomplet — change la dynamique organisationnelle.
Levier 1 — L'AI-CMDB : votre registre des actifs IA
Dans les années 2000, les organisations ont appris à leurs dépens ce que coûtait l'absence de CMDB — Configuration Management Database, le registre centralisé de tous les actifs IT. Celles qui n'en avaient pas découvraient leurs angles morts lors des crises, pas avant. L'IA reproduit exactement ce schéma — avec dix ans d'avance sur la prise de conscience.
| Dimension | Ce qu'on documente |
|---|
| Identité | Nom du système, fournisseur, version, date de déploiement |
| Usage | Département, processus concerné, volume de décisions/jour |
| Risque | Niveau EU AI Act, données utilisées, populations affectées |
| Propriétaire | Personne nommée responsable — pas une équipe, une personne |
| Continuité | Mode dégradé, plan de crise, procédure de mise hors ligne |
Ce registre n'est pas un document statique. Comme une CMDB, il est vivant : mis à jour à chaque nouveau déploiement, audité trimestriellement, accessible à la direction. Et comme une CMDB, sa valeur principale n'est pas dans ce qu'il contient le jour où on le crée — c'est dans ce qu'il révèle qu'on ne savait pas.
Levier 2 — Le propriétaire nommé et le système Andon
Chaque système IA dans votre AI-CMDB doit avoir un propriétaire. Une personne. Pas un comité. Quand un système IA prend une mauvaise décision à 23h un vendredi soir, un comité ne répond pas au téléphone.
Toyota a construit l'un des systèmes de production les plus fiables au monde sur un principe simple : chaque ouvrier sur la chaîne de montage a le pouvoir d'arrêter la production s'il détecte un défaut. C'est le système Andon. La logique est imparable — le coût d'arrêter la chaîne cinq minutes est infiniment moindre que le coût de livrer cinq cents voitures défectueuses.
Le même principe s'applique à l'IA. Le propriétaire doit avoir — par écrit, validé par la direction — l'autorité de mettre le système hors ligne sans obtenir six niveaux de validation. Vos organisations ont déjà intégré ce réflexe ailleurs : chaque collaborateur a aujourd'hui le pouvoir de signaler un email suspect comme phishing, sans demander la permission à son manager. C'est exactement le mécanisme à construire pour l'IA.
Levier 3 — La classification des risques
Tous vos systèmes IA ne méritent pas le même niveau de surveillance. La classification EU AI Act donne le cadre légal. Ajoutez-y deux dimensions propres à votre organisation :
L'impact réputationnel. Si ce système fait une erreur et qu'un journaliste en parle, quel est le niveau de dommage ? Faible, modéré, sévère, existentiel. Cette classification est souvent plus parlante pour un comité de direction que les catégories légales.
La dépendance opérationnelle. Si ce système tombe en panne, combien de temps votre organisation peut-elle fonctionner normalement ? Les systèmes à dépendance forte ont besoin d'un mode dégradé documenté — exactement comme vos systèmes IT critiques.
Levier 4 — L'exercice de crise IA
Quand avez-vous fait un exercice de continuité d'activité pour votre IA ? Un exercice de crise IA n'est pas un projet de six mois. C'est une demi-journée, une fois par an, avec les bonnes personnes dans la pièce.
Scénario de base : votre système de présélection RH vient de rejeter automatiquement 200 candidatures. Un candidat vous contacte avec des preuves que le rejet semble lié à son origine. Un journaliste a été contacté. Questions à tester : qui est prévenu en premier ? Qui a l'autorité pour suspendre le système ? Que dit-on au candidat dans les deux prochaines heures ? Comment on audite les 200 décisions en moins de 24 heures ?
Levier 5 — La formation des équipes métier
La gouvernance IA n'est pas l'affaire de la DSI. C'est l'affaire de chaque collaborateur qui utilise un système IA pour prendre des décisions. Trois questions que chaque collaborateur doit savoir répondre : Quand faire confiance au système ? Quand ne pas le faire ? Comment remonter une anomalie ?
Sur ce dernier point : pas un formulaire de 15 champs. Un canal simple — un email dédié, un canal Teams ou Slack, un formulaire simplifié dans votre intranet. L'outil importe peu — ce qui compte, c'est que chaque collaborateur sache où aller et que quelqu'un réponde.
Levier 6 — L'audit trimestriel
Une revue de direction, 90 minutes, quatre fois par an, sur quatre questions : L'AI-CMDB est-elle à jour ? Les systèmes à risque élevé performent-ils dans les limites attendues ? Les équipes sont-elles formées ? Le cadre est-il aligné avec les évolutions réglementaires ?
⬡
Cadre LEAP™ — Les 6 leviers en perspective
▼
Ces 6 leviers ne sont pas nouveaux. Vos organisations les appliquent déjà à d'autres domaines critiques — la sécurité informatique, la conformité RGPD, la continuité d'activité. Ce qui est nouveau, c'est de les appliquer à l'IA avec la même rigueur. La gouvernance IA n'est pas une discipline à inventer — c'est une discipline à transférer.
<
