Qu’est-ce que la gouvernance de l’IA?
Par Nick Jang, fondateur de MINERVA Studio ·
La réponse courte
La gouvernance de l’IA, c’est la façon dont une organisation décide qui peut construire, acheter et utiliser l’IA, pour quoi faire, sous quels contrôles, et qui répond quand ça tourne mal. Concrètement : un inventaire des systèmes d’IA, une façon de coter leur risque, des politiques et des approbations proportionnées à ce risque, une supervision humaine là où les décisions comptent, une surveillance après le lancement, et un dossier qui prouve que tout cela a eu lieu.
Les six questions qu’elle doit régler
On emploie l’expression pour tout, d’une déclaration d’éthique d’une page à un tableau de bord. Il est plus utile de rester concret : la gouvernance de l’IA doit pouvoir répondre à six questions pour chaque système d’IA.
- Qu’est-ce que c’est, et qui en est responsable? Un inventaire avec un responsable nommé, outils des fournisseurs compris.
- Quel est son risque? Une classification selon ce que le système décide ou fait, qui il touche et son autonomie.
- Que peut-il faire? Des politiques, des usages approuvés et des limites, décidés par une personne responsable, pas par l’équipe qui l’a construit.
- Qui le vérifie? Un examen indépendant avant l’usage, proportionné au risque.
- Fonctionne-t-il encore? Une surveillance de la dérive, des erreurs, des biais et des abus, avec une voie de remontée.
- Pouvons-nous le prouver? Un dossier des décisions, des examens et des incidents qu’un auditeur ou un régulateur peut vérifier.
Pourquoi maintenant
Trois raisons, à peu près dans l’ordre où les conseils d’administration les remarquent. L’IA est sortie du laboratoire pour entrer dans les décisions sur les clients et l’argent. Une bonne partie arrive à l’intérieur de logiciels déjà achetés, souvent activée par une mise à jour que personne n’a examinée. Et les régulateurs posent des questions précises : au Canada, l’E-23 du BSIF fait entrer les modèles d’IA dans la gestion du risque de modèle à compter du 1er mai 2027, et l’AMF a sa propre ligne directrice sur l’IA pour les institutions québécoises; dans l’Union européenne, la loi sur l’IA impose des obligations pour les usages à risque élevé comme l’évaluation du crédit.
Les éléments d’un cadre
| Élément | Ce qu’il contient |
|---|---|
| Principes et politique | Ce pour quoi l’organisation utilisera ou n’utilisera pas l’IA; l’appétit pour le risque; la politique qui l’applique. |
| Rôles et responsabilités | La supervision du conseil, un dirigeant responsable du risque lié à l’IA, les responsables de systèmes, les examinateurs indépendants. Souvent un comité de l’IA. |
| Inventaire de l’IA | Chaque système et modèle d’IA, interne ou de fournisseur, avec son responsable, son usage, ses données et son palier de risque. |
| Classification du risque | Des paliers qui fixent la profondeur de l’examen, des tests et de la supervision. |
| Contrôles du cycle de vie | Exigences à la conception, aux données, au développement, aux tests, à l’approbation, au déploiement, aux changements et au retrait. |
| Supervision humaine | Où une personne doit examiner ou approuver un résultat ou une action de l’IA, et comment l’arrêter. |
| IA des tiers | Diligence raisonnable, clauses contractuelles et surveillance de l’IA achetée. Voir B-10. |
| Surveillance et incidents | Indicateurs, seuils, gestion et déclaration des incidents. |
| Dossiers et assurance | La preuve de chaque décision, et l’audit interne du cadre lui-même. |
Les principaux référentiels ne s’excluent pas : une banque canadienne répond aux attentes du BSIF, emprunte une structure au NIST AI RMF ou à la norme ISO/IEC 42001, et vérifie la loi européenne sur l’IA pour ce qu’elle offre en Europe.
Par où commencer
- Nommer un dirigeant responsable du risque lié à l’IA, et la personne ou le comité qui approuve les usages à risque élevé.
- Bâtir l’inventaire d’abord, IA des fournisseurs comprise. La plupart des organisations en trouvent plus que prévu.
- Fixer trois ou quatre paliers de risque et décider ce que chacun exige avant l’usage.
- Faire passer les systèmes les plus risqués par un examen indépendant et consigner les approbations.
- Pour les agents d’IA, écrire ce que chacun peut faire et exiger une personne pour les actions à fort impact; voir la gouvernance de l’IA agentique.
- Tenir le dossier au fur et à mesure, plutôt que de le reconstituer avant un audit.
MINERVA est un logiciel de gouvernance de l’IA pour les banques et les assureurs canadiens : un seul dossier pour les modèles d’IA, les agents et les fournisseurs, avec des approbations appliquées et des preuves qu’un examinateur peut vérifier, en français et en anglais.
Questions connexes
Quelle est la différence entre la gouvernance de l’IA et l’éthique de l’IA?
L’éthique de l’IA énonce des valeurs, comme l’équité et la transparence. La gouvernance de l’IA est la mécanique qui les met en œuvre : responsables, politiques, examens, approbations, surveillance et dossiers.
Qui est responsable de la gouvernance de l’IA?
Le conseil la supervise et un dirigeant est responsable du risque lié à l’IA. Les responsables de systèmes répondent de leur IA, des examinateurs indépendants la remettent en question et l’audit interne vérifie le cadre.
La gouvernance de l’IA ralentit-elle l’adoption de l’IA?
Bien faite, elle l’accélère : des paliers clairs laissent passer rapidement les usages à faible risque et concentrent l’examen là où il compte.
Sources
- BSIF — Ligne directrice E-23, Gestion du risque de modèle (2027)
- NIST — AI Risk Management Framework
- ISO — ISO/IEC 42001:2023, système de management de l’IA
Les nouvelles réponses sont publiées sur la page LinkedIn de MINERVA. Suivez-nous, ou envoyez la question à laquelle vous aimeriez une réponse à minerva@minerva.studio.
Une explication en langage clair, pas un avis juridique. Le texte du régulateur fait foi; lisez-le, et obtenez un avis sur la façon dont il s’applique à votre institution.