Gouvernance de l’IA : des bonnes intentions à un cadre qui fonctionne

Vos équipes utilisent déjà l’IA, avec ou sans politique. Des assistants rédigent des e-mails, des copilotes écrivent du code, des agents lisent les tickets et mettent à jour les fiches. La question n’est plus de savoir s’il faut adopter l’IA, mais de savoir où elle tourne, quelles données elle voit et qui répond de ses décisions. C’est l’objet de la gouvernance de l’IA : garder les bénéfices tout en maîtrisant les risques.

Pourquoi cela ne peut pas attendre

Le coût d’une IA non gouvernée est désormais mesuré. Dans le rapport Cost of a Data Breach 2025 d’IBM, 63 % des organisations victimes n’avaient pas de politique de gouvernance de l’IA ou étaient encore en train de la rédiger. Le shadow AI, c’est-à-dire les outils utilisés sans validation, était impliqué dans une violation sur cinq et ajoutait jusqu’à 670 000 dollars au coût moyen. La plupart de ces incidents ont commencé de façon banale : des données confidentielles collées dans un outil public, ou un assistant doté de droits plus larges que nécessaire.

Les référentiels de base

Inutile d’inventer la gouvernance de zéro. Trois références structurent désormais le domaine :

• L’AI Act européen (règlement 2024/1689), en vigueur depuis le 1er août 2024. Les pratiques interdites le sont depuis le 2 février 2025 et les obligations des modèles d’IA à usage général s’appliquent depuis le 2 août 2025. La plupart des règles pour les systèmes à haut risque étaient prévues pour août 2026, et la Commission européenne a proposé d’en reporter une partie : vérifiez le calendrier définitif. Le texte s’applique aussi aux entreprises hors UE dont les systèmes sont mis sur le marché européen ou dont les résultats sont utilisés dans l’UE, ce qui concerne de nombreuses entreprises tunisiennes travaillant pour des clients européens.
• ISO/IEC 42001:2023, première norme de système de management de l’IA certifiable. Elle reprend la structure d’ISO/IEC 27001 : les organisations déjà certifiées en sécurité de l’information peuvent étendre leur système existant.
• Le NIST AI Risk Management Framework, organisé en quatre fonctions (Govern, Map, Measure, Manage), complété en 2024 par un profil dédié à l’IA générative. Volontaire et pratique, il sert souvent de liste de contrôle.

En Tunisie, tout système d’IA qui traite des données personnelles relève aussi de la loi organique 2004-63 et du contrôle de l’instance nationale de protection des données (INPDP) : finalité, consentement, conservation et transferts à l’étranger s’appliquent aux données d’entraînement comme aux prompts.

Une démarche pratique en six étapes

• 1. Inventorier. Construire un registre de l’IA : chaque modèle, assistant, agent et fonctionnalité SaaS utilisé, y compris le shadow AI repéré dans les flux réseau et les notes de frais. Noter le responsable, la finalité, les données et le fournisseur.
• 2. Classer le risque. Évaluer chaque cas d’usage selon son impact (clients, argent, sécurité, droits) et la sensibilité des données. Un assistant de rédaction et un modèle de scoring de crédit ne méritent pas les mêmes contrôles.
• 3. Attribuer les rôles. Nommer un responsable par système, créer un petit comité IA (métier, IT, sécurité, juridique, DPO) et définir qui valide les nouveaux cas d’usage.
• 4. Appliquer les contrôles. Accès au moindre privilège pour les modèles et agents, règles sur les données, revue humaine des décisions à fort impact, journalisation, tests contre l’injection de prompt et les biais avant la mise en production.
• 5. Surveiller. Suivre la qualité, la dérive, les incidents et les coûts. Traiter une défaillance d’IA comme tout incident de sécurité, avec un playbook et un retour d’expérience.
• 6. Former et documenter. Des formations courtes adaptées à chaque rôle, et des preuves qu’un auditeur, un régulateur ou un client peut consulter.

Une bonne gouvernance n’est pas un frein. C’est ce qui vous permet de dire oui rapidement au prochain projet IA, parce que vous savez déjà comment l’évaluer.

Partir de l’existant

La plupart des organisations n’ont pas besoin d’un programme séparé. Si vous avez ISO/IEC 27001, un processus ITSM et un registre des traitements, la gouvernance de l’IA en est le prolongement : de nouveaux actifs dans le registre, de nouveaux risques dans l’analyse, de nouveaux contrôles dans la déclaration d’applicabilité. Le premier livrable peut être prêt en quelques semaines : une politique IA, un registre des usages actuels et un circuit de validation léger.