Le nouveau guide de Singapour sur l’IA impose une règle aux conseils d’administration : mesurer la valeur et assumer les risques

Cette méthode permet de distinguer les indicateurs de performance des simples indicateurs d’activité. Le nombre de projets pilotes lancés, de licences achetées ou de collaborateurs formés peut témoigner d’un effort, mais ne prouve pas qu’un programme d’IA produit une valeur réelle. Les administrateurs devraient donc demander des informations sur les bénéfices réalisés, les coûts, les limites et les risques, en plus des chiffres d’adoption.

L’approche peut aussi éviter deux écueils fréquents : multiplier les expérimentations sans perspective de passage à l’échelle, ou au contraire bloquer un déploiement utile parce que personne n’a défini les critères de réussite. En reliant stratégie, sélection des cas d’usage et rendement des investissements, le guide cherche à rattacher les dépenses d’IA aux priorités générales de l’entreprise.

Faire entrer les expérimentations des salariés dans le cadre de gouvernance

Les collaborateurs utilisent parfois déjà des outils d’IA de manière informelle ou conçoivent leurs propres méthodes de travail. Pour le SID, la bonne réponse n’est pas d’ignorer ces pratiques, mais de transformer les expérimentations utiles en capacités organisationnelles encadrées.

Le conseil devrait attendre de la direction qu’elle sache quels outils et quels cas d’usage sont utilisés, qui en est responsable, quelles données sont traitées et quels contrôles s’appliquent. Le guide recommande notamment de documenter les outils créés avec l’IA, d’établir des règles de gouvernance et de veiller au respect des exigences de sécurité.

Dans la pratique, cela suppose des règles internes sur les outils autorisés, les informations sensibles, la responsabilité, la surveillance et les procédures d’alerte. Il faut également reconnaître et développer les compétences déjà présentes dans l’entreprise, plutôt que de considérer l’adoption comme une directive imposée exclusivement par la direction.

Une stratégie dépourvue de plan de compétences, de modèle de responsabilité et de discipline opérationnelle aura du mal à passer de l’expérimentation à l’exécution de façon fiable.

Donner au conseil une culture de l’IA suffisante pour challenger la direction

Le guide présente la culture de l’IA comme une compétence du conseil d’administration. Tous les administrateurs n’ont pas besoin de devenir ingénieurs en apprentissage automatique. En revanche, le conseil dans son ensemble doit comprendre les effets possibles de l’IA sur les secteurs d’activité, les modèles opérationnels, la concurrence, la prise de décision et les risques.

Plusieurs administrateurs doivent être capables d’interroger les hypothèses, les promesses de valeur et les évaluations de risques présentées par la direction. Le conseil devrait aussi pouvoir s’appuyer sur au moins une personne — administrateur, conseiller ou membre d’un comité — disposant d’une expertise technique suffisante pour examiner les choix relatifs aux systèmes, aux données, aux tests et aux contrôles.

Il s’agit d’aller plus loin que la simple attribution du sujet à un comité technologique qui ferait ensuite rapport au conseil à intervalles réguliers. L’IA doit entrer dans la surveillance stratégique et fiduciaire du conseil, tout en laissant une place aux avis spécialisés lorsque les questions techniques dépassent ses compétences.

Définir les droits de décision avant le déploiement

La gouvernance de l’IA devient concrète lorsqu’une organisation définit qui peut approuver, exploiter, surveiller et arrêter un système. Les conseils devraient exiger des limites de décision proportionnées aux risques, en distinguant :

• les décisions que la direction peut prendre dans le cadre de limites approuvées ;
• celles qui doivent être soumises au conseil ou à un comité ;
• celles que l’IA ne doit jamais prendre de manière autonome.

Plus les conséquences potentielles sont importantes, plus les contrôles doivent être stricts. Pour les usages sensibles dans le domaine de l’emploi — recrutement, promotion, licenciement ou évaluation des performances — le conseil devrait fixer des lignes rouges autour d’un examen humain significatif et de la désignation d’un décideur responsable.

Les résultats produits par une IA ne doivent pas devenir, sans contrôle, une décision automatisée déterminant les moyens de subsistance d’une personne. Ce principe rejoint l’attente plus large selon laquelle l’IA doit soutenir le jugement humain, et non le remplacer silencieusement.

Avant la mise en service, l’organisation doit donc pouvoir répondre à quatre questions : qui est responsable du système, quel seuil d’approbation s’applique, à quel moment intervient la supervision humaine et selon quelle procédure le système peut être interrompu ?

Tester l’équité, la qualité des données et la possibilité de contester une décision

Une procédure d’approbation responsable ne peut pas se limiter à vérifier qu’un modèle fonctionne correctement en moyenne. Le conseil devrait demander comment l’organisation évalue la qualité des données, documente les limites du système, examine les biais éventuels et surveille les performances après le déploiement.

Lorsqu’un système d’IA a un effet important sur des personnes, celles-ci doivent disposer d’un moyen réel de comprendre la décision, d’en contester le résultat et de demander un nouvel examen humain. Les explications n’ont pas à révéler les détails techniques propriétaires, mais elles doivent être assez compréhensibles pour permettre un contrôle et un recours effectifs.

Cette exigence s’inscrit dans un environnement de contrôle plus large. Les documents singapouriens sur la gouvernance d’entreprise insistent sur la nécessité d’une prise de décision assistée par l’IA qui soit transparente et responsable, ainsi que sur le respect des normes réglementaires et éthiques. Le rôle du conseil est de faire de ces principes des procédures documentées, avec un responsable désigné et des éléments vérifiables.

Intégrer l’IA à la cyber-résilience et à la continuité des opérations

L’IA crée un problème de sécurité à double face. Les entreprises doivent se préparer aux campagnes d’hameçonnage, aux manipulations sociales, à la fraude, aux attaques automatisées et à l’identification accélérée de vulnérabilités rendues possibles par l’IA. Elles doivent également protéger leurs propres systèmes contre les fuites de données, l’injection de prompts, la manipulation des modèles et les failles liées aux fournisseurs ou aux prestataires tiers.

Les risques liés à l’IA doivent donc apparaître dans les rapports de cyber-résilience, les travaux d’assurance et les plans de réponse aux incidents — et non rester confinés à un silo technologique. Les questions à poser sont notamment les suivantes : qui peut désactiver un système, comment les incidents sont-ils signalés, comment les données et les décisions affectées sont-elles examinées, et comment l’entreprise se rétablit-elle si un service d’IA devient indisponible ou compromis ?

Cette approche prolonge les attentes existantes des conseils en matière de cyber-résilience et de gestion des risques. Le guide du SID consacré à la cybersécurité considère lui aussi la résilience comme un élément à intégrer à la stratégie d’entreprise, plutôt que comme une mission purement technique.

Des exigences renforcées pour les systèmes critiques

Les conséquences d’une défaillance de l’IA varient fortement selon le cas d’usage. Un outil interne de productivité à faible risque ne nécessite pas le même niveau de surveillance qu’un système utilisé pour des services essentiels, des infrastructures critiques ou d’autres activités à forts enjeux.

Dans ces environnements, le conseil devrait exiger des standards plus stricts en matière de résilience, de sécurité, de tests, de surveillance, d’escalade et de reprise d’activité. Une panne ou une compromission pourrait en effet dépasser les conséquences financières ou réputationnelles immédiates pour l’entreprise et perturber des services importants, avec des effets opérationnels plus larges.

L’approche fondée sur les risques évite de soumettre toutes les applications d’IA aux mêmes règles. Elle invite plutôt les conseils à ajuster le niveau d’autorité et de contrôle à l’impact potentiel d’une défaillance.

Le tableau de bord que les administrateurs peuvent demander

Les recommandations du guide peuvent être converties en un registre ou un tableau de bord destiné au conseil. Pour chaque cas d’usage significatif, la direction devrait pouvoir préciser :

1. Le responsable, chargé du système et de ses résultats.
2. Le résultat opérationnel attendu, ainsi que la manière dont il sera mesuré.
3. Les droits de décision et les seuils d’escalade.
4. Les sources de données et les règles applicables à leur traitement.
5. Le niveau de risque et la justification de cette classification.
6. Les contrôles, notamment ceux relatifs à la sécurité, à l’équité et à la qualité des données.
7. Le point de supervision humaine et la personne responsable de la décision finale.
8. Les résultats des tests et du suivi, y compris les limites connues.
9. Les incidents, réclamations ou recours, ainsi que leur résolution.
10. La prochaine date de réexamen ou le déclencheur imposant une nouvelle évaluation.

Cette structure fait apparaître, dans un même document, la création de valeur et la gestion des risques. Elle donne aussi aux administrateurs des éléments concrets à examiner, au lieu de les laisser s’en remettre à des déclarations générales sur une utilisation « responsable » de l’IA.

Ce que les administrateurs doivent faire maintenant

Le guide du SID ne présente pas l’adoption de l’IA et sa gouvernance comme deux choix opposés. Il invite les conseils à rechercher les applications utiles avec la même rigueur que pour tout investissement stratégique important : définir la valeur attendue, attribuer les responsabilités, comprendre les risques, tester les contrôles et vérifier les résultats.

La première étape consiste à inscrire l’IA à l’ordre du jour régulier du conseil, à recenser les cas d’usage significatifs et à repérer les lacunes en matière de compétences, de responsabilité, de droits de décision, de supervision humaine, de tests et de résilience.

La meilleure stratégie d’IA n’est pas celle qui affiche le plus d’activité. C’est celle que le conseil peut expliquer, mesurer et gouverner.