Le faux dilemme

Face à l'IA générative, beaucoup d'organisations hésitent entre deux réflexes. Le premier consiste à tout bloquer en attendant d'y voir clair. Le second consiste à laisser chaque équipe expérimenter librement. Les deux échouent. Le blocage n'empêche pas l'usage : il le rend invisible, avec des outils grand public alimentés par des données qui ne devraient pas en sortir. La liberté totale produit des dizaines d'initiatives isolées, impossibles à évaluer, dont certaines exposent l'organisation sans que personne ne le sache.

La gouvernance que je défends part d'un principe simple : le niveau de contrôle doit être proportionné au niveau de risque. La grande majorité des usages sont à faible risque et doivent pouvoir démarrer vite. Quelques-uns exigent un cadre strict.

Cinq briques suffisent pour commencer

Un registre des cas d'usage

Tout part de là. L'équipe qui porte un usage de l'IA le déclare avec son objectif, son propriétaire, les données utilisées, l'outil ou le fournisseur, son niveau de risque et sa date de prochaine revue. Le registre donne une vision d'ensemble, évite les doublons et sert de base au dialogue avec le juridique et la sécurité.

Une classification des risques

Elle s'appuie sur l'AI Act européen, qui distingue les pratiques interdites, les systèmes à haut risque comme l'évaluation de solvabilité ou le tri de candidatures, les systèmes soumis à des obligations de transparence comme les assistants conversationnels, et la grande majorité des usages à risque minimal. Je la complète par des critères internes : présence de données personnelles, impact d'une erreur, réversibilité, exposition client.

Une politique d'usage lisible

Une seule page. Quels outils sont autorisés, quelles données ne doivent jamais être saisies dans un prompt, quand informer les utilisateurs qu'un contenu est généré, à qui s'adresser en cas de doute. Une politique que personne ne lit ne protège personne.

Une instance de décision légère

Produit, juridique, sécurité, data et un représentant métier, réunis à intervalle régulier. Ils ne voient que les cas qui le justifient. Les usages à faible risque passent par une validation simplifiée, parfois automatique après déclaration au registre.

Une revue proportionnée

Avant la mise en production, une checklist adaptée au niveau de risque. Après, une revue périodique, parce qu'un modèle, un fournisseur ou un usage peut changer. Un cas validé il y a un an n'est pas automatiquement valide aujourd'hui.

Pourquoi un cadre accélère

Un cadre bien conçu fait gagner du temps parce qu'il supprime l'incertitude. Une équipe qui sait que son cas d'usage est à faible risque, que l'outil est autorisé et que les données sont acceptables peut démarrer le jour même. Sans cadre, la même équipe attend une réponse qui ne vient pas, ou avance sans demander et prend un risque qu'elle ne mesure pas.

Une bonne gouvernance ne dit pas non. Elle dit oui, dans ces conditions.

C'est exactement la logique d'un Design System : en rendant explicites les règles et en fournissant des briques validées, on permet aux équipes d'aller plus vite tout en restant cohérentes.

Le rôle du Product Manager IA

Le juridique ne porte pas la gouvernance seul. Le Product Manager IA en est un acteur central, parce que c'est lui qui décide ce que le produit fait. Il qualifie le cas d'usage, choisit le niveau d'autonomie, définit les seuils d'évaluation, prévoit la place de l'humain et organise le suivi en production. Il traduit les exigences réglementaires en décisions de conception : afficher qu'un contenu est généré, citer les sources, permettre de contester une décision, journaliser ce qui doit l'être.

S'appuyer sur des référentiels existants

Il n'est pas nécessaire de tout inventer. La norme ISO/IEC 42001, publiée en 2023, décrit un système de management de l'IA. Le cadre de gestion des risques du NIST, dans sa version 1.0, propose quatre fonctions faciles à retenir : gouverner, cartographier, mesurer, gérer. Le RGPD et les recommandations de la CNIL restent la référence dès que des données personnelles sont en jeu. Côté calendrier, l'AI Act s'applique par étapes depuis 2025 ; les dates qui concernent les systèmes à haut risque doivent être vérifiées avec le service juridique, car elles font l'objet d'ajustements au niveau européen.

Par où commencer demain

  1. Lancer le registre avec les usages déjà en place, y compris ceux que personne n'a déclarés.
  2. Publier une politique d'usage d'une page.
  3. Classer chaque usage selon la grille de risque et traiter d'abord les éventuels cas à haut risque.
  4. Choisir deux ou trois cas à faible risque et forte valeur pour montrer que le cadre accélère.
  5. Mesurer : usages déclarés, délais de validation, incidents, satisfaction des équipes.

Ce qu'il faut retenir

Gouverner l'IA, ce n'est pas choisir entre vitesse et maîtrise. C'est concevoir un cadre où les usages simples avancent sans friction et où les usages sensibles reçoivent l'attention qu'ils méritent. Les organisations qui y parviennent n'utilisent pas moins l'IA que les autres : elles l'utilisent davantage, parce qu'elles savent ce qu'elles font.