Conformité & Gouvernance de l'IA

Le point de départ de tout programme de gouvernance est un inventaire complet : quels systèmes et fonctions d'IA sont utilisés – développement interne, service acheté ou fonction intégrée à un logiciel standard – et quels métiers les utilisent, pour quoi faire ? Chaque cas d'usage est ensuite classé selon les catégories de risque du règlement sur l'IA : pratiques interdites (art. 5, applicable depuis le 2 février 2025), systèmes à haut risque (art. 6 en lien avec l'annexe III), systèmes soumis à des obligations de transparence (art. 50) et systèmes à risque minimal. À prendre en compte pour la planification : le règlement (UE) 2026/1744 (« Digital Omnibus », en vigueur depuis le 27 juillet 2026) a reporté l'application des obligations relatives aux systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (systèmes intégrés à des produits relevant de l'annexe I). La classification détermine la profondeur des contrôles, l'étendue de la documentation et les circuits d'approbation – et doit être répétée à chaque modification substantielle d'un cas d'usage.

Depuis le 2 février 2025, l'art. 4 exige des fournisseurs et des déployeurs de systèmes d'IA des mesures garantissant la maîtrise de l'IA de leur personnel et des tiers mandatés – adaptées au rôle, aux connaissances préalables et au contexte d'utilisation. Aucun format de formation particulier, aucune certification ni aucun référent IA formellement désigné ne sont imposés ; l'essentiel est une documentation traçable des mesures prises. Avec le règlement (UE) 2026/1744, l'art. 4 a été assoupli en une obligation de promotion et il a été précisé qu'aucun niveau de connaissances déterminé ne doit être garanti pour chaque personne – les approches de formation fondées sur les risques restent donc admissibles. En pratique, la combinaison qui a fait ses preuves associe une formation de base pour l'ensemble des collaborateurs et des modules approfondis, spécifiques à chaque rôle, pour le développement, les achats, les métiers aux cas d'usage plus risqués et le management.

Le règlement sur l'IA rattache les obligations à des rôles – avant tout fournisseurs et déployeurs –, une même organisation pouvant endosser des rôles différents selon le cas d'usage ; celui qui modifie substantiellement un système tiers ou le met à disposition sous son propre nom peut basculer dans le rôle de fournisseur. En interne, un programme de gouvernance a besoin de responsabilités claires : un comité ou une fonction qui approuve les cas d'usage et est responsable de l'inventaire, des owners désignés pour chaque système d'IA, ainsi que l'implication du CISO, du délégué à la protection des données, du service juridique et des métiers. ISO/IEC 42001 ancre cette structure dans le système de management : engagement de la direction générale, politique d'IA documentée et rôles définis avec leurs pouvoirs. Il n'existe pas de « référent IA » imposé par la loi – la responsabilité doit néanmoins être attribuée sans ambiguïté et exercée au quotidien.

Les contrôles ne sont efficaces que s'ils couvrent l'ensemble du cycle de vie : analyse d'impact et évaluation des risques avant le développement ou l'achat, contrôles de qualité des données et de biais, tests et validation avant la mise en production, supervision humaine et journalisation en exploitation, surveillance de la dérive et des comportements erronés, et processus encadrés de modification et de mise hors service. Le NIST AI RMF structure ces tâches autour de ses quatre fonctions Govern, Map, Measure et Manage ; ISO/IEC 42005:2025 fournit en complément un guide pour les analyses d'impact de l'IA comme brique du système de management. Pour les services cloud d'IA achetés, le catalogue de critères AIC4 du BSI définit des critères auditables sur tout le cycle de vie – de la sécurité et de la robustesse aux performances, à la fiabilité, à la qualité et à la gestion des données, jusqu'à l'explicabilité et aux biais. Toute modification substantielle du modèle ou de la finalité devrait déclencher automatiquement une réévaluation de la classe de risque.

Les briques se complètent au lieu de se concurrencer. En tant que loi, le règlement sur l'IA fixe le cadre contraignant ; ISO/IEC 42001:2023, première norme certifiable pour les systèmes de management de l'IA (AIMS), décrit la mise en œuvre organisationnelle – selon la même logique de système de management qu'ISO/IEC 27001 ; le NIST AI RMF (AI RMF 1.0, 2023) est un référentiel volontaire pour la gestion des risques de chaque système d'IA, complété par le profil IA générative NIST AI 600-1 (2024) ; le BSI AIC4 (2021), extension du catalogue C5, traite de l'auditabilité des services cloud d'IA. Un programme de gouvernance combine généralement tous ces niveaux : la loi comme obligation, ISO/IEC 42001 comme système de management, le NIST comme méthodologie, l'AIC4 comme instrument d'assurance vis-à-vis des fournisseurs. Les analyses approfondies « ISO 42001 en pratique », « Obligations de transparence de l'AI Act » et « Référentiels d'IA du NIST » de cette base de connaissances vous permettront d'aller plus loin.

Dès lors qu'un système d'IA traite des données à caractère personnel, le RGPD s'applique pleinement à côté du règlement sur l'IA ; pour de nombreux cas d'usage de l'IA, une analyse d'impact relative à la protection des données (AIPD) selon l'art. 35 du RGPD est nécessaire. Certains déployeurs de systèmes à haut risque – en particulier les organismes publics et les prestataires privés de services publics – doivent en outre réaliser une analyse d'impact sur les droits fondamentaux selon l'art. 27 de l'AI Act ; selon l'art. 27, paragraphe 4, celle-ci complète une AIPD déjà réalisée au lieu de la remplacer. Les publications de la Datenschutzkonferenz (DSK, conférence des autorités allemandes de protection des données) offrent des repères pratiques : le guide « Künstliche Intelligenz und Datenschutz » (version 1.0, mai 2024) sur les bases juridiques, la limitation des finalités et les droits des personnes concernées, ainsi que le guide sur les mesures techniques et organisationnelles pour le développement et l'exploitation de systèmes d'IA (juin 2025). Sur le plan organisationnel, il est judicieux de mettre en place un processus d'admission commun, dans lequel la classification IA et l'examen de protection des données évaluent le même cas d'usage une seule fois au lieu de deux.