Cela ne signifie pas que chaque administrateur doit devenir ingénieur. En revanche, le conseil doit disposer d’un socle commun de connaissances pour poser les bonnes questions et repérer les hypothèses, contrôles ou indicateurs insuffisants.

Les 7 règles proposées par le guide

1. Former un conseil prêt pour l’IA

Le guide recommande à chaque administrateur d’acquérir une compréhension opérationnelle des notions clés de l’IA, de ses implications commerciales et des enjeux de gouvernance. Plusieurs membres du conseil doivent être capables de challenger la direction sur la stratégie, les déploiements, la gouvernance des données et les arbitrages entre risques et bénéfices. Pour les questions techniques, réglementaires ou opérationnelles complexes, le conseil doit également pouvoir s’appuyer sur une expertise approfondie.

Le véritable test n’est donc pas de connaître le dernier modèle à la mode. Il consiste à comprendre les cas d’usage de l’entreprise, à identifier ce qui pourrait mal tourner et à évaluer la capacité de la direction à réagir.

2. Mesurer les résultats, pas l’agitation autour de l’IA

Les investissements dans l’IA doivent être jugés à partir de résultats commerciaux concrets, et non de simples statistiques d’adoption. Le guide distingue l’activité — projets pilotes, licences, formations ou expérimentations — de la valeur réellement créée : amélioration des processus, temps gagné, expérience client et effets sur les opérations.

Les conseils devraient notamment demander :

• Quel problème métier le système cherche-t-il à résoudre ?
• Quel résultat doit progresser, et dans quelle proportion ?
• Comment cette progression sera-t-elle mesurée ?
• Quels éléments justifient le passage d’un projet pilote à un déploiement plus large ?
• Quels sont les coûts liés à la supervision, à la sécurité, à l’intégration et à un éventuel échec ?

Multiplier les expérimentations peut témoigner d’un intérêt réel, mais ne prouve pas à lui seul un retour sur investissement.

3. Transformer les expérimentations des salariés en capacités encadrées

Les salariés découvrent souvent des usages utiles de l’IA avant même la mise en place de programmes officiels. Le guide encourage les entreprises à tirer parti de cette connaissance tout en intégrant ces expérimentations à leur dispositif de contrôle.

Cela suppose de recenser les outils créés avec l’IA, de préciser qui peut les utiliser et dans quel but, et de vérifier qu’ils respectent les exigences de sécurité et de gouvernance applicables. L’objectif n’est pas de tuer l’expérimentation dans l’œuf, mais d’éviter que des prototypes utiles ne deviennent des systèmes invisibles et non suivis, susceptibles d’affecter des clients, des salariés ou des données de l’entreprise sans garde-fous suffisants.

4. Considérer le risque lié à l’IA comme un risque d’entreprise

La gouvernance de l’IA ne doit pas se limiter aux performances d’un modèle. Les administrateurs sont invités à examiner les risques éthiques, cyber, liés aux données, à la sécurité, à la confidentialité et aux compétences, ainsi que les conséquences possibles sur la résilience et la création de valeur à long terme.

Le conseil doit donc savoir où l’IA est utilisée, quelles données et quels prestataires interviennent, qui est responsable de chaque système, comment les incidents sont signalés et dans quelles circonstances un déploiement doit être suspendu ou réévalué. Les contrôles doivent rester proportionnés aux conséquences d’une défaillance : un outil interne de productivité à faible impact ne nécessite pas le même niveau de supervision qu’un système influençant l’emploi, l’accès d’un client à un service ou la sécurité des personnes.

5. Fixer des règles de supervision humaine et des lignes rouges

Le guide préconise de définir explicitement les limites de la décision automatisée. Les conseils doivent déterminer les situations dans lesquelles une validation humaine est obligatoire et établir des « lignes rouges » interdisant certaines décisions automatisées, en particulier lorsqu’elles concernent des clients, des salariés, la sécurité ou la vie privée.

Une supervision humaine n’est réelle que si la personne chargée du contrôle dispose de suffisamment d’informations, d’autorité et de temps pour contester ou annuler une recommandation issue de l’IA. Une validation de façade ne doit pas se transformer en simple approbation automatique.

6. Renforcer les garanties pour les décisions concernant les salariés

L’utilisation de l’IA dans le recrutement, les promotions ou l’évaluation des performances peut influencer les possibilités professionnelles et les revenus des personnes concernées. Le guide recommande, pour ces usages, une revue humaine, des tests de biais et des contrôles de qualité des données, ainsi qu’une procédure claire permettant de contester une décision ou d’en demander le réexamen.

Pour les conseils, la question de l’équité devient ainsi un sujet concret de supervision : quelles preuves montrent que le système fonctionne comme prévu ? Quels groupes pourraient être défavorisés ? Comment une personne peut-elle contester le résultat obtenu ?

7. Maintenir la résilience cyber et la responsabilité au niveau du conseil

Le guide inscrit l’IA dans la responsabilité plus large de l’entreprise en matière de résilience organisationnelle et numérique. Ses recommandations reflètent l’attente croissante de voir les conseils superviser activement les risques liés à l’IA et aux cybermenaces, plutôt que de supposer que les équipes techniques peuvent les gérer seules.

Les administrateurs devraient demander à la direction comment l’IA modifie la surface d’attaque de l’entreprise, comment les données sensibles sont protégées, comment les fournisseurs sont évalués et comment l’organisation réagirait si un système était compromis ou produisait un résultat préjudiciable. Les contrôles précis varieront selon les entreprises, mais la responsabilité de poser ces questions reste celle du conseil.

Cinq questions pour commencer

Un premier examen peut s’appuyer sur cinq questions simples :

1. Où l’IA est-elle déjà utilisée, y compris dans les outils créés par les salariés ?
2. Quels déploiements sont stratégiques ou présentent un fort impact ?
3. Quels indicateurs de valeur et de risque la direction présente-t-elle au conseil ?
4. Dans quelles situations la supervision humaine est-elle obligatoire, et quelles décisions sont interdites à l’automatisation ?
5. Les personnes concernées peuvent-elles contester une décision, et l’entreprise peut-elle suspendre un système sans mettre ses activités en danger ?

La leçon générale du guide est claire : une gouvernance responsable de l’IA ne se résume pas à adopter une politique une fois pour toutes. Les conseils doivent avoir assez de connaissances pour superviser la stratégie, assez d’éléments concrets pour juger la valeur créée et assez d’autorité pour imposer des limites lorsque les risques dépassent les bénéfices.

Cela ne signifie pas que chaque administrateur doit devenir ingénieur. En revanche, le conseil doit disposer d’un socle commun de connaissances pour poser les bonnes questions et repérer les hypothèses, contrôles ou indicateurs insuffisants.

Les 7 règles proposées par le guide

1. Former un conseil prêt pour l’IA

Le guide recommande à chaque administrateur d’acquérir une compréhension opérationnelle des notions clés de l’IA, de ses implications commerciales et des enjeux de gouvernance. Plusieurs membres du conseil doivent être capables de challenger la direction sur la stratégie, les déploiements, la gouvernance des données et les arbitrages entre risques et bénéfices. Pour les questions techniques, réglementaires ou opérationnelles complexes, le conseil doit également pouvoir s’appuyer sur une expertise approfondie.

Le véritable test n’est donc pas de connaître le dernier modèle à la mode. Il consiste à comprendre les cas d’usage de l’entreprise, à identifier ce qui pourrait mal tourner et à évaluer la capacité de la direction à réagir.

2. Mesurer les résultats, pas l’agitation autour de l’IA

Les investissements dans l’IA doivent être jugés à partir de résultats commerciaux concrets, et non de simples statistiques d’adoption. Le guide distingue l’activité — projets pilotes, licences, formations ou expérimentations — de la valeur réellement créée : amélioration des processus, temps gagné, expérience client et effets sur les opérations.

Les conseils devraient notamment demander :

• Quel problème métier le système cherche-t-il à résoudre ?
• Quel résultat doit progresser, et dans quelle proportion ?
• Comment cette progression sera-t-elle mesurée ?
• Quels éléments justifient le passage d’un projet pilote à un déploiement plus large ?
• Quels sont les coûts liés à la supervision, à la sécurité, à l’intégration et à un éventuel échec ?

Multiplier les expérimentations peut témoigner d’un intérêt réel, mais ne prouve pas à lui seul un retour sur investissement.

3. Transformer les expérimentations des salariés en capacités encadrées

Les salariés découvrent souvent des usages utiles de l’IA avant même la mise en place de programmes officiels. Le guide encourage les entreprises à tirer parti de cette connaissance tout en intégrant ces expérimentations à leur dispositif de contrôle.

Cela suppose de recenser les outils créés avec l’IA, de préciser qui peut les utiliser et dans quel but, et de vérifier qu’ils respectent les exigences de sécurité et de gouvernance applicables. L’objectif n’est pas de tuer l’expérimentation dans l’œuf, mais d’éviter que des prototypes utiles ne deviennent des systèmes invisibles et non suivis, susceptibles d’affecter des clients, des salariés ou des données de l’entreprise sans garde-fous suffisants.

4. Considérer le risque lié à l’IA comme un risque d’entreprise

La gouvernance de l’IA ne doit pas se limiter aux performances d’un modèle. Les administrateurs sont invités à examiner les risques éthiques, cyber, liés aux données, à la sécurité, à la confidentialité et aux compétences, ainsi que les conséquences possibles sur la résilience et la création de valeur à long terme.

Le conseil doit donc savoir où l’IA est utilisée, quelles données et quels prestataires interviennent, qui est responsable de chaque système, comment les incidents sont signalés et dans quelles circonstances un déploiement doit être suspendu ou réévalué. Les contrôles doivent rester proportionnés aux conséquences d’une défaillance : un outil interne de productivité à faible impact ne nécessite pas le même niveau de supervision qu’un système influençant l’emploi, l’accès d’un client à un service ou la sécurité des personnes.

5. Fixer des règles de supervision humaine et des lignes rouges

Le guide préconise de définir explicitement les limites de la décision automatisée. Les conseils doivent déterminer les situations dans lesquelles une validation humaine est obligatoire et établir des « lignes rouges » interdisant certaines décisions automatisées, en particulier lorsqu’elles concernent des clients, des salariés, la sécurité ou la vie privée.

Une supervision humaine n’est réelle que si la personne chargée du contrôle dispose de suffisamment d’informations, d’autorité et de temps pour contester ou annuler une recommandation issue de l’IA. Une validation de façade ne doit pas se transformer en simple approbation automatique.

6. Renforcer les garanties pour les décisions concernant les salariés

L’utilisation de l’IA dans le recrutement, les promotions ou l’évaluation des performances peut influencer les possibilités professionnelles et les revenus des personnes concernées. Le guide recommande, pour ces usages, une revue humaine, des tests de biais et des contrôles de qualité des données, ainsi qu’une procédure claire permettant de contester une décision ou d’en demander le réexamen.

Pour les conseils, la question de l’équité devient ainsi un sujet concret de supervision : quelles preuves montrent que le système fonctionne comme prévu ? Quels groupes pourraient être défavorisés ? Comment une personne peut-elle contester le résultat obtenu ?

7. Maintenir la résilience cyber et la responsabilité au niveau du conseil

Le guide inscrit l’IA dans la responsabilité plus large de l’entreprise en matière de résilience organisationnelle et numérique. Ses recommandations reflètent l’attente croissante de voir les conseils superviser activement les risques liés à l’IA et aux cybermenaces, plutôt que de supposer que les équipes techniques peuvent les gérer seules.

Les administrateurs devraient demander à la direction comment l’IA modifie la surface d’attaque de l’entreprise, comment les données sensibles sont protégées, comment les fournisseurs sont évalués et comment l’organisation réagirait si un système était compromis ou produisait un résultat préjudiciable. Les contrôles précis varieront selon les entreprises, mais la responsabilité de poser ces questions reste celle du conseil.

Cinq questions pour commencer

Un premier examen peut s’appuyer sur cinq questions simples :

1. Où l’IA est-elle déjà utilisée, y compris dans les outils créés par les salariés ?
2. Quels déploiements sont stratégiques ou présentent un fort impact ?
3. Quels indicateurs de valeur et de risque la direction présente-t-elle au conseil ?
4. Dans quelles situations la supervision humaine est-elle obligatoire, et quelles décisions sont interdites à l’automatisation ?
5. Les personnes concernées peuvent-elles contester une décision, et l’entreprise peut-elle suspendre un système sans mettre ses activités en danger ?

La leçon générale du guide est claire : une gouvernance responsable de l’IA ne se résume pas à adopter une politique une fois pour toutes. Les conseils doivent avoir assez de connaissances pour superviser la stratégie, assez d’éléments concrets pour juger la valeur créée et assez d’autorité pour imposer des limites lorsque les risques dépassent les bénéfices.