Gouvernance IA Décider de ce que vous confiez à l’IA.
Pour que vos équipes sachent ce qu’elles peuvent faire, dans quelles conditions et à qui s’adresser lorsqu’une situation change.
La gouvernance IA organise la manière dont votre entreprise choisit, utilise et suit ses systèmes d’intelligence artificielle.
Elle précise les usages autorisés, les données qu’ils peuvent utiliser, les décisions qui restent humaines et les personnes qui en répondent.
VCSTS vous accompagne de l’inventaire des usages à la mise en application du cadre : audit, charte, règles métier, responsabilités, contrôles et suivi.
Les données, les effets et l’autonomie changent. La décision doit les prendre en compte.
Exemple fictif
01
Préparer
Un brouillon à partir de sources publiques.
Documentation publiqueBrouillon
Condition dans cet exempleLe collaborateur vérifie, adapte et envoie.
Examiner cet usage+
1. Préparer un brouillon avec des informations publiques
Le collaborateur pose une question générale sur un produit, sans copier le message ni le dossier d’un client. L’assistant prépare un brouillon à partir de la documentation publique de l’entreprise. Le collaborateur vérifie ensuite le texte et l’adapte à la demande du client hors de l’assistant avant de l’envoyer.
À décider : quelles sources utiliser, qui vérifie leur exactitude et comment éviter qu’une formulation produite par l’outil ne crée un engagement commercial inexistant.
Règle possible : la réponse reste un brouillon. Les prix, délais et conditions sont rapprochés des documents de référence avant envoi. L’assistant n’ajoute pas de promesse qui n’y figure pas.
02
Accéder
Une réponse préparée à partir du dossier client.
Dossier clientBrouillon enrichi
Condition dans cet exempleDonnées nécessaires, accès délimité et vérification.
Examiner cet usage+
2. Préparer une réponse à partir d’un dossier client
L’assistant peut maintenant consulter des tickets, des échanges ou des informations de compte. Il prépare toujours un brouillon, mais la donnée utilisée a changé.
À décider : si ces informations peuvent être traitées dans cet environnement, lesquelles sont nécessaires, qui peut y accéder, quelles conditions fournisseur s’appliquent et comment éviter le mélange de dossiers.
Règle possible : l’accès reste limité au dossier concerné et aux informations nécessaires. La personne qui valide peut consulter les éléments utilisés et vérifier qu’ils correspondent au bon client.
03
Agir
Un message envoyé ou une opération déclenchée.
Action définieEffet dans le système
Condition dans cet exempleDroits, contrôles et reprise à décider.
Examiner cet usage+
3. Envoyer une réponse ou agir dans le compte
L’assistant peut envoyer le message, modifier une information ou déclencher une opération. Son résultat produit désormais un effet directement dans le travail.
À décider : quelles actions peuvent lui être confiées, lesquelles demandent un accord, comment limiter ses droits, détecter une erreur et arrêter ou corriger l’action.
Règle possible : les actions admises sont délimitées. Une demande hors périmètre revient à une personne habilitée. Les conditions de contrôle et de reprise sont définies avant d’étendre les droits.
Exemple fictif : un assistant aide à répondre aux clients. Comparons les informations qu’il reçoit, les actions qu’il peut effectuer et les décisions qui restent à prendre.
Ce que gouverner l’IA veut dire, dans le travail réel
Un collaborateur prépare une réponse avec un assistant. Un service analyse des documents. Un logiciel de recrutement propose un classement. Un agent se connecte aux outils de l’entreprise et exécute des actions. Ces situations ne soulèvent pas les mêmes questions.
Le nom du logiciel ne suffit pas à décider. Il faut regarder ce qu’on lui demande, les informations auxquelles il accède, les personnes concernées et ce qui se produit après sa réponse. Un texte relu avant usage et une action exécutée automatiquement n’engagent pas l’entreprise de la même façon.
Gouverner, c’est rendre ces choix explicites et les faire tenir dans les pratiques. Une personne doit pouvoir reconnaître une situation autorisée, appliquer la bonne règle, obtenir un arbitrage et signaler une difficulté. La direction doit pouvoir retrouver la décision, son responsable et les conditions dans lesquelles elle a été prise.
La politique donne la direction
Elle dit pourquoi l’entreprise utilise l’IA, les principes qu’elle retient et les limites qu’elle se fixe. Elle oriente les décisions futures sans prétendre décrire chaque situation de travail.
La règle permet d’agir
Elle explique à une équipe ce qu’elle peut faire avec un usage donné : informations utilisables, vérifications attendues, droits accordés et conduite à tenir en cas de doute. Une charte peut porter les règles communes ; les situations métier demandent parfois des consignes plus précises.
L’organisation fait appliquer le cadre
Elle attribue les décisions, réunit les avis nécessaires et prévoit la vérification, les exceptions et la reprise. Elle permet aussi de revoir une autorisation lorsqu’un outil, un contrat, une donnée ou un usage évolue.
Un cadre utile laisse une réponse exploitable à deux questions : « Puis-je le faire ? » et « Qui décide si la situation change ? »
Ce que VCSTS prend en charge
Nous construisons votre gouvernance à partir des usages, responsabilités et contraintes de l’entreprise. Vos politiques, contrats et travaux des équipes métier, données personnelles, informatique et droit servent de base au cadre à déployer.
Auditer les usages existants
Nous recensons les usages déclarés, leurs finalités, outils et conditions d’emploi, puis croisons les échanges avec les équipes, les documents, contrats et configurations accessibles dans le périmètre convenu.
Pour l’audit de conformité, nous définissons les usages et exigences à examiner avec les interlocuteurs compétents : règles internes, engagements contractuels et obligations applicables. Nous les confrontons aux documents, réglages et contrôles disponibles.
Vous recevez les écarts, les points à approfondir et les actions à conduire, avec leurs responsables et éléments de clôture. Les priorités distinguent intervention immédiate, arbitrage supplémentaire et application d’une règle existante.
Construire les règles et les responsabilités
Nous définissons le cadre commun, les consignes métier et le circuit de décision : qui autorise, qui conseille, quelles conditions réunir et quelle trace conserver de l’arbitrage.
Le cadre peut comprendre une charte, un registre des usages, des dossiers de décision, une répartition des responsabilités et un plan de contrôle. Leur forme est adaptée à ceux qui doivent s’en servir.
Mettre le cadre en application
Nous traduisons les décisions en consignes, exigences pour les achats et les outils, et cas de vérification. Les équipes les prennent en main sur leurs situations de travail. Avec les responsables techniques, nous définissons les réglages et intégrations nécessaires et réalisons ceux qui nous sont confiés dans le périmètre convenu.
Une règle demandant une validation humaine doit correspondre à une personne disponible, à une information vérifiable et à un moyen réel de reprendre la main.
Organiser le suivi
Nous organisons les revues, les remontées de difficultés, les exceptions et les changements pour maintenir le registre et les décisions à jour.
Confiez-nous une intervention ciblée ou l’ensemble du parcours, de la conception du cadre à son déploiement et à son amélioration. Livrables, responsabilités et rythme de suivi sont définis dans le mandat.
Les décisions à rendre explicites, usage par usage
01
Pour quelle finalité ?
Décrire la tâche attendue et ce qui restera hors de l’usage. « Aider le service client » est trop large pour déterminer des droits. Préparer une réponse, proposer un geste commercial et appliquer ce geste sont des finalités à distinguer.
02
Avec quelles données ?
Identifier les informations nécessaires, leur origine, leur sensibilité et leur circulation. Définir les accès, les conditions de conservation et les usages ultérieurs admis. Le simple fait de retirer un nom ne suffit pas toujours à rendre une donnée anonyme.
03
Pour qui, avec quels effets ?
Regarder les personnes concernées par le résultat et les conséquences possibles d’une erreur. Une aide à la rédaction, une recommandation utilisée par un décideur et une décision affectant une personne réclament un examen adapté.
04
Avec quel pouvoir d’action ?
Écrire ce que le système peut lire, proposer, modifier ou déclencher. Les droits accordés dans les outils doivent correspondre à ce périmètre. Une fonction disponible n’est pas, à elle seule, une fonction autorisée.
05
Quel contrôle humain ?
Nommer la personne qui vérifie, ce qu’elle doit vérifier et les moyens dont elle dispose. Elle doit pouvoir comprendre la sortie, repérer un écart et intervenir. Une validation demandée à quelqu’un qui ne possède ni les informations ni le temps nécessaires ne règle pas le problème.
06
Quel fournisseur, quelles dépendances ?
Examiner les engagements utiles : traitement des données, accès, sous-traitants, évolution du service, notification des changements et possibilité de sortie. Une mention commerciale du fournisseur ne remplace pas la lecture des conditions correspondant au service réellement utilisé.
07
Quand faut-il revoir la décision ?
Définir les changements qui déclenchent un nouvel examen : autre finalité, nouvelles données, élargissement des destinataires, droits supplémentaires, nouvelle version pertinente, conditions contractuelles modifiées ou incident. La revue doit savoir qui la conduit et quelle règle s’applique pendant l’examen.
Des situations qui demandent un cadre précis
Relation client : ce qui engage votre entreprise jusqu’où le système peut-il parler ou agir au nom de l’entreprise ?
L’IA peut préparer une réponse, résumer un échange ou proposer une suite. La gouvernance précise les informations accessibles, la validation des engagements, les situations à transmettre à une personne habilitée et les conditions d’une éventuelle action automatique.
Ressources humaines : ce qui affecte une personne quel rôle le système joue-t-il dans une décision concernant un candidat ou un salarié, et comment cette décision peut-elle être expliquée et revue ?
Un outil peut aider à rédiger une annonce, analyser un dossier ou contribuer à une évaluation. Ces usages appellent des examens différents. Les finalités, les données et l’influence réelle du résultat doivent être décrites avec les responsables des ressources humaines et les interlocuteurs compétents. Si un classement écarte des candidatures, les critères utilisés et leur rapport avec le poste doivent pouvoir être examinés ; une personne doit savoir comment demander le réexamen d’un résultat contesté.
Communication : ce qui peut être publié qui peut publier quoi, après quelle vérification et avec quelle information du destinataire ?
Textes, images et contenus synthétiques demandent des règles sur les informations confiées, les droits d’utilisation, la vérification des faits et les validations avant diffusion. Les exigences de transparence sont examinées selon le contenu et son contexte.
Documents internes : ce qui devient accessible la personne qui reçoit la réponse a-t-elle le droit d’accéder aux informations qui la composent ?
Un assistant documentaire peut rapprocher des informations auparavant dispersées. Il faut examiner les droits sur les sources, la séparation des périmètres, la fiabilité des réponses et le traitement des documents qui évoluent.
Achats logiciels : l’IA qui arrive avec un service le contrat et les règles existants couvrent-ils cette nouvelle fonction ?
L’intelligence artificielle peut être intégrée à une messagerie, un outil de gestion ou un service métier déjà utilisé. L’examen porte sur la fonction réellement activée, ses conditions, les données traitées et les modifications possibles du service.
Agents et automatisations : ce qui peut être exécuté quelles actions l’entreprise accepte-t-elle de déléguer, et comment garde-t-elle la maîtrise de leurs effets ?
Un agent capable d’utiliser plusieurs outils doit disposer d’un périmètre d’action explicite. La gouvernance fixe les autorisations, les situations exigeant un accord humain, les éléments nécessaires au contrôle et les conditions de suspension ou de reprise.
Qui décide, qui met en œuvre, qui vérifie ?
Une gouvernance peut mobiliser plusieurs fonctions sans créer un comité pour chaque usage. L’essentiel est de savoir qui doit faire quoi et à quel moment.
Rôle
Contribution attendue
La direction ou l’autorité habilitée
Fixer les orientations, attribuer les responsabilités et arbitrer les décisions qui relèvent de son mandat.
Le responsable de l’usage
Décrire la finalité, porter le besoin métier, suivre l’application des conditions et demander le réexamen lorsqu’il le faut.
Les équipes utilisatrices
Appliquer les règles, reconnaître leurs limites et signaler les situations que le cadre ne couvre pas.
Les interlocuteurs spécialisés
Instruire les questions de données personnelles, de droit, de sécurité, de travail ou d’achat qui relèvent de leur compétence.
Les responsables techniques
Traduire les décisions en droits, réglages, intégrations et contrôles réalisables.
VCSTS, selon le mandat
Structurer la démarche, conduire les travaux, rendre les arbitrages possibles, accompagner l’application et organiser le suivi.
Plusieurs rôles peuvent être portés par une même personne. Une décision importante doit toutefois conserver un responsable identifiable et les avis nécessaires. Le fournisseur apporte la documentation et les engagements correspondant à son service ; l’entreprise reste responsable des décisions qui lui reviennent sur son utilisation. Un référent IA ou un comité ne remplace pas cette attribution.
Des documents qui servent à travailler
Le dossier de gouvernance doit permettre de retrouver un usage, comprendre sa décision et appliquer sa règle. Les livrables sont choisis pour ces fonctions. Ils peuvent s’intégrer à vos outils de travail existants.
La fiche d’usage : lire la décision
Exemple fictif — assistant de réponse client, périmètre limité au brouillon.
Rubrique
Exemple de contenu
Finalité
Préparer un brouillon à partir d’une question générale sur un produit ; adaptation à la demande client et envoi effectués par un collaborateur hors de l’assistant.
Sources admises dans cet exemple
Documentation produit publique et question générique ; aucun message, dossier ou renseignement propre à un client transmis à l’assistant.
Hors périmètre
Accès au compte client, modification d’une commande, geste commercial, envoi automatique.
Responsable d’usage
Responsable du service client ; une personne est nommée dans le dossier réel.
Décision illustrée
Usage autorisé sous conditions, limité à la préparation de brouillons.
Qui autorise dans cet exemple
Direction du service disposant de la délégation prévue pour ce périmètre, après les vérifications préalables.
Conditions préalables
Environnement, accès et conditions fournisseur examinés ; contrôles définis et éprouvés avant l’utilisation.
Motif du périmètre retenu
Sources publiques définies, aucun accès au compte ni droit d’envoi ; vérification des faits et engagements par le collaborateur.
Vérification avant envoi
Exactitude des faits, adéquation à la demande, absence d’engagement absent des documents de référence.
En cas de doute
Reprendre la réponse à partir des sources et faire arbitrer la demande par le responsable prévu.
Déclencheur de revue
Ajout d’une source interne, accès à des données clients, droit d’envoi ou changement pertinent du service.
Dans le dossier réel, la décision est datée et versionnée, les personnes sont identifiées et les éléments de vérification sont rattachés à l’autorisation. Les conditions de cet exemple ne dispensent pas d’examiner celles d’un usage réel.
La consigne métier : savoir quoi faire
Exemple fictif — une réponse contient un délai qui ne figure pas dans la documentation.
« Ne reprenez pas ce délai dans le message client. Vérifiez la condition applicable dans la source de référence. Si elle ne permet pas de répondre, faites préciser l’engagement par la personne habilitée. Corrigez le brouillon avant l’envoi. »
La consigne identifie un écart, une action et un recours. Elle donne plus de prise à l’utilisateur qu’une formule générale telle que « vérifier les réponses de l’IA ».
Le dossier de mission peut aussi comprendre la charte, le dossier fournisseur, le plan de contrôle et de reprise, les supports de prise en main et le programme de revue. Le devis précise les pièces attendues et leur articulation.
La règle à l’épreuve du changement
Une gouvernance doit permettre de traiter une situation nouvelle et de vérifier qu’une règle fonctionne. La fiche de changement conserve le lien entre ce qui était autorisé et ce qui est demandé.
Périmètre initial
Extension demandée
Exemple fictif
BrouillonContrôle humainEnvoi humain
Préparer. Vérifier. Envoyer soi-même.
L’autorisation porte sur la préparation d’un brouillon. Le collaborateur vérifie, adapte et envoie la réponse.
Le système pourrait envoyer la réponse.
Ce droit nouveau demande un réexamen. Pendant l’examen, le périmètre déjà autorisé est maintenu et l’envoi automatique reste désactivé.
Droit d’envoi demandéDécision à réexaminer
Une évolution normale : ajouter le droit d’envoyer
Exemple fictif — demande d’activation de l’envoi automatique.
Rubrique
Exemple de contenu
Ce qui change
L’assistant pourrait envoyer directement une réponse.
Décision actuelle
Elle couvre la préparation de brouillons avec envoi humain.
Instruction nécessaire
Définir les réponses admissibles, les exclusions, les droits, les contrôles et la reprise ; examiner les obligations et tester le périmètre retenu.
Règle pendant l’examen
Maintenir le périmètre déjà autorisé ; ne pas activer le nouveau droit d’envoi.
Décision suivante
Accord, modification de la demande ou refus par l’autorité habilitée, avec conditions et éléments de justification.
Vérifier que la règle peut réellement être appliquée
Dans le même exemple fictif, un essai peut présenter un brouillon contenant un délai absent des sources. Le résultat attendu est explicite : le collaborateur repère l’engagement, retrouve la consigne et obtient l’arbitrage nécessaire avant l’envoi. Si le délai passe inaperçu, il faut comprendre pourquoi : source difficile à retrouver, consigne ambiguë, charge de travail ou contrôle inadapté.
Un autre essai peut porter sur une question hors périmètre ou l’indisponibilité du responsable habituel. Il vérifie que le recours prévu existe et que la personne sait quoi faire pendant l’attente. Ces exemples décrivent des vérifications à organiser, pas des résultats d’essais déjà réalisés.
Un changement de fournisseur, l’ajout de documents internes ou un écart répété peut également justifier une revue. Chaque fois, il faut identifier la décision concernée et les conditions à maintenir ou à modifier.
Lorsqu’un écart est constaté
La personne concernée doit savoir comment le signaler. Le dispositif prévoit qui examine la nature et les conséquences de l’écart, décide d’une éventuelle suspension, organise les corrections et autorise la reprise. Les notifications ou obligations spécifiques sont examinées avec les responsables compétents selon la situation.
Les traces conservées doivent aider à comprendre et traiter le problème. Leur contenu, leurs accès et leur durée sont proportionnés à la finalité ; enregistrer tous les échanges sans distinction ne constitue pas une politique de preuve.
Relier le cadre d’usage aux exigences applicables
Les règles de votre entreprise doivent tenir compte de la réglementation et des engagements qui concernent ses usages. Ce travail commence par la finalité du système, le rôle de l’entreprise et les personnes affectées.
L’AI Act : déterminer les exigences qui concernent votre usage
Le règlement européen sur l’intelligence artificielle distingue des pratiques interdites et différentes exigences selon les systèmes et les rôles. Utiliser un système, le fournir ou mettre un modèle à disposition ne correspond pas aux mêmes responsabilités. Les obligations et leurs échéances doivent être examinées dans le texte applicable, avec ses dispositions transitoires.
Notre travail consiste à relier cette analyse au dossier d’usage et aux décisions opérationnelles, avec les avis spécialisés nécessaires.
Les données personnelles : examiner leur traitement
Lorsqu’un usage implique des données personnelles, le règlement général sur la protection des données (RGPD) doit aussi être pris en compte : finalité, base légale permettant le traitement, données nécessaires, information et droits des personnes, acteurs impliqués et protection des informations. Une analyse d’impact est à examiner lorsque ses conditions sont réunies ; elle n’est pas automatiquement exigée pour tout usage d’IA.
La décision se construit avec les responsables compétents, notamment le délégué à la protection des données (DPO) lorsqu’il existe. Le caractère professionnel d’un abonnement ne suffit pas, à lui seul, à régler l’ensemble de ces questions.
Le cadre de gestion des risques de l’IA du NIST, organisme américain de normalisation et de métrologie, et la norme de management de l’IA ISO/IEC 42001 peuvent aider à structurer la démarche. Ils ne se confondent pas avec la loi. Leur utilisation ne signifie pas qu’une entreprise ou une mission est certifiée.
Le choix d’un référentiel dépend de votre besoin, de vos engagements et de vos exigences clients. La mission de gouvernance décrite ici ne délivre pas de certification.
Nous précisons le motif de la démarche, les usages et entités concernés, les interlocuteurs, contraintes et résultats attendus, en distinguant analyse, décisions et travaux de mise en œuvre.
À l’issue : une mission définie, des responsabilités et des critères de fin compréhensibles.
02
Retrouver et décrire l’existant
L’inventaire croise les échanges avec les équipes et les éléments accessibles dans le mandat ; il signale les zones non couvertes.
À l’issue : un inventaire exploitable et une première lecture des priorités.
03
Qualifier et faire arbitrer
Les avis nécessaires éclairent l’arbitrage de chaque usage : autoriser dans un périmètre défini, demander des conditions supplémentaires, différer ou renoncer.
À l’issue : des arbitrages documentés et les conditions à mettre en place.
04
Écrire les règles qui seront utilisées
Nous rédigeons les règles pour ceux qui les appliqueront : direction, équipes, achats et responsables techniques.
À l’issue : un cadre dont chacun peut comprendre la part qui lui revient.
05
Déployer et vérifier
Les équipes prennent en main les règles et leur application dans les outils. Les cas de travail servent aux vérifications prévues et aux corrections avant d’élargir le périmètre.
À l’issue : des règles appliquées, des essais documentés et des actions attribuées.
06
Organiser la suite
Nous fixons les responsables, événements et rythme de revue, le traitement des changements et incidents, ainsi que les éléments à suivre. L’accompagnement peut se poursuivre selon le mandat retenu.
À l’issue : un dispositif que l’entreprise peut maintenir et faire évoluer.
Un cadre qui reste utilisable
Les usages déjà examinés et autorisés suivent un circuit défini, dans leurs conditions d’autorisation. Les exceptions et extensions sont identifiées et orientées vers le bon interlocuteur, sans faire remonter toutes les décisions au même niveau.
L’effort de gouvernance se dimensionne selon les conséquences de l’usage, sa complexité et son évolution. Une petite structure peut commencer avec un registre simple, quelques règles explicites et un responsable. Un ensemble d’usages répartis entre plusieurs métiers ou entités demande une coordination plus formalisée.
Ce que l’on peut suivre
Les usages ont-ils un responsable ? Les décisions arrivées à leur terme ont-elles été revues ? Les actions correctives avancent-elles ? Les exceptions ont-elles une condition de sortie ? Les contrôles prévus sont-ils réalisés ?
Rapportés au périmètre suivi, ces indicateurs montrent où intervenir, sans dépendre d’une note globale de « maturité IA ».
Par où commencer ?
Vous avez des usages, mais peu de visibilité
Commencer par un audit des usages et des règles existantes permet de distinguer les situations, de retrouver leurs responsables et de hiérarchiser le travail. Le périmètre peut porter sur une équipe, un ensemble d’outils ou plusieurs entités.
Vous préparez un projet ou devez répondre à une exigence
Une mission ciblée peut examiner un usage, un fournisseur, une charte ou un circuit de décision. Le livrable attendu est défini à partir de la décision à prendre et des pièces nécessaires pour la soutenir.
Un accompagnement A à Z relie l’inventaire, les décisions, la rédaction, la mise en application et le suivi. Il permet de travailler la continuité entre la direction, les métiers et les systèmes.
Le nombre et la diversité des usages, les métiers et entités concernés, la sensibilité des données, les effets sur les personnes, l’autonomie des systèmes, les territoires et l’état des documents existants déterminent le travail nécessaire.
Le devis précise les analyses, ateliers, documents, essais et travaux de mise en œuvre compris dans la mission. Il identifie les contributions attendues de votre entreprise et les interventions spécialisées ou techniques nécessaires. Une consultation ponctuelle ne remplace pas un audit approfondi ; une charte livrée seule n’inclut pas automatiquement son déploiement.
Pour la conception ou l’intégration du système lui-même, notre expertise Intelligence artificielle prend le relais. Pour faire évoluer le processus et ses outils, la mission peut s’articuler à Transformation digitale.
Questions avant d’engager une mission
Nous sommes une petite équipe : qui doit porter les rôles ?
Une personne peut porter plusieurs rôles, si elle dispose de l’autorité, des informations et des compétences nécessaires. Il faut surtout nommer celui qui autorise, celui qui utilise et celui qui traite les difficultés. Un recours doit être prévu lorsque la personne ne peut pas trancher seule. Les avis spécialisés nécessaires dépendent de l’usage, même dans une petite structure.
Nous avons déjà une charte. Que faut-il examiner ?
Sa relation avec les pratiques : les équipes reconnaissent-elles leurs situations ? Savent-elles quelles données utiliser et qui peut décider ? Les usages sont-ils suivis ? Une mission peut reprendre la charte, préciser ses consignes et organiser son application sans reconstruire ce qui fonctionne.
Notre fournisseur affirme que sa solution est conforme. Est-ce suffisant ?
Son engagement doit être lu avec son périmètre, ses conditions et la documentation du service. Votre entreprise doit aussi examiner sa propre utilisation : finalité, données, destinataires, droits d’action et responsabilités. Le dossier fournisseur est une pièce de l’analyse, pas la décision complète.
Faut-il interdire tous les outils qui n’ont pas été approuvés ?
La règle doit être définie à partir des usages et contraintes de l’entreprise. Il faut aussi prévoir comment une équipe fait examiner un besoin et quelle solution elle peut utiliser en attendant. Une interdiction sans circuit de demande ni alternative peut laisser le besoin métier entier. Certaines situations imposent toutefois de suspendre ou d’écarter un usage ; elles doivent être examinées comme telles.
Comment travaillez-vous avec nos responsables des données, de la sécurité ou du droit ?
Leurs travaux sont repris dans le dispositif. Nous organisons la description des usages, les questions à examiner et les décisions à préparer. Le DPO, la direction des systèmes d’information (DSI), le responsable de leur sécurité (RSSI) et les juristes interviennent dans leurs champs respectifs. La mission précise qui arbitre et qui réalise. Les consultations juridiques spécialisées nécessaires sont identifiées dans le périmètre.
La gouvernance concerne-t-elle uniquement les assistants génératifs ?
Non. Selon le périmètre, elle peut concerner des systèmes de classement, de prédiction, de recommandation, de vision ou d’automatisation utilisant l’IA. La finalité et les effets de chaque système guident l’examen. Toutes les automatisations ne sont pas pour autant des systèmes d’IA.
Proposez-vous une certification de conformité ?
La mission présentée ici structure et met en application votre gouvernance. Elle ne délivre pas de certification et ne promet pas une conformité universelle. Si votre objectif comporte une certification, ses exigences et la place des organismes compétents doivent être cadrées séparément.
Comment accompagner les équipes sans se limiter à leur envoyer un document ?
Les règles sont expliquées à partir des situations de travail. La prise en main permet de vérifier qu’une personne reconnaît un cas autorisé, sait traiter un écart et trouve son interlocuteur. Un parcours autonome de formation approfondie relève d’une prestation distincte ; l’explication du cadre et de ses consignes appartient à sa mise en application.
Que faire si la personne qui doit valider est absente ?
Le circuit doit prévoir un remplaçant habilité ou une règle d’attente. L’absence d’un responsable n’élargit pas automatiquement les droits accordés à l’outil ou à l’utilisateur. Les usages déjà autorisés peuvent continuer dans leurs conditions ; les décisions nouvelles suivent le recours prévu. Si cette attente se répète, le suivi permet de revoir l’organisation plutôt que de laisser se former des contournements.
Devons-nous changer d’outils pour travailler avec vous ?
Le point de départ est votre fonctionnement. Un registre et ses dossiers peuvent s’organiser dans un environnement existant. Si un outil spécifique devient utile, son rôle, ses accès, ses coûts et les conditions de reprise sont examinés dans la mission. Une plateforme ne remplace pas les personnes qui doivent décider et maintenir le cadre.
Vous avez des usages à reprendre, un projet à examiner ou un cadre à construire. Le premier échange sert à comprendre votre situation et à définir l’intervention pertinente.
Pour le préparer, quelques éléments suffisent :
les usages ou outils concernés ;
ce qui déclenche votre démarche ;
les équipes et interlocuteurs impliqués ;
les règles ou travaux déjà disponibles ;
la décision que vous devez prendre.
Décrivez le contexte ; il n’est pas nécessaire de transmettre des données clients, des informations sur les salariés ou des documents confidentiels dans ce premier message.
