Gouvernance AI Act : de l’inventaire au pilotage.

Installer un mandat qui permet réellement de décider

La première décision porte sur le périmètre. L’organisation doit savoir quels usages elle veut gouverner, qui peut en autoriser le déploiement et dans quelles situations une expertise juridique, technique ou métier devient obligatoire. Le mandat gagne à couvrir les outils achetés, les développements internes, les modèles intégrés à un produit et les usages individuels tolérés ou non encadrés.

Le pilotage peut être confié à une instance existante. Un comité des risques, une direction de la conformité ou une gouvernance numérique convient si les rôles sont nommés et si les arbitrages laissent une trace. Le point décisif n’est pas le nom du comité. C’est sa capacité à suspendre un usage, demander une preuve au fournisseur, imposer un contrôle ou accepter un risque résiduel en connaissance de cause.

Construire un inventaire qui alimente les décisions

Un inventaire utile décrit l’usage plutôt que le seul logiciel. Il relie une finalité, un processus métier, un fournisseur, des données, des utilisateurs et des personnes affectées. Il précise aussi la version du système, son mode d’intégration, les décisions qu’il influence et le rôle probable de l’organisation au sens du règlement.

La collecte peut commencer avec les achats, les responsables métiers et la direction des systèmes d’information. Elle doit aussi permettre de faire remonter les usages non contractuels, notamment les assistants génératifs utilisés sans intégration officielle. Chaque fiche reçoit un propriétaire, un statut de qualification et une prochaine date de revue. Les zones d’incertitude restent visibles au lieu d’être transformées en réponses artificiellement définitives.

Prioriser sans transformer la conformité en file d’attente

Tous les systèmes ne méritent pas le même effort au même moment. Les pratiques potentiellement interdites, les décisions concernant des personnes, les usages susceptibles de relever du haut risque et les échéances déjà applicables passent en premier. Viennent ensuite les systèmes largement déployés, les fournisseurs peu documentés et les usages dont les conséquences sont difficiles à corriger.

La feuille de route distingue les mesures immédiates, les analyses à mener et les contrôles à industrialiser. Cette séparation évite d’attendre une qualification parfaite avant de sécuriser un usage sensible. Une mesure provisoire peut être décidée avec une durée, un responsable et une condition de sortie. La gouvernance reste ainsi capable d’agir pendant que l’analyse progresse.

Trois situations pour appliquer la même méthode

Dans les ressources humaines, un outil qui classe des candidatures demande de décrire la décision influencée, la population concernée, les critères utilisés et la possibilité d’intervention humaine. Le propriétaire métier ne peut pas déléguer entièrement la qualification à l’éditeur. Il doit comprendre la configuration réellement utilisée et les effets du processus dans son organisation.

Dans l’industrie, un modèle de détection de défauts peut avoir des conséquences très différentes selon qu’il aide un opérateur, commande une mise à l’arrêt ou constitue un composant de sécurité d’un produit réglementé. L’inventaire doit donc relier l’algorithme à son contexte physique et à la procédure suivie lorsque le résultat paraît incohérent.

Dans une association ou une entreprise de services, un assistant génératif utilisé pour préparer des réponses au public peut être gouverné avec un périmètre autorisé, une règle de validation, une liste de données exclues et un canal de signalement. Le niveau de formalisation reste proportionné, mais les responsabilités et les limites sont compréhensibles par les utilisateurs.

Constituer un dossier de gouvernance vérifiable

Le dossier de gouvernance ne doit pas devenir une collection de modèles vides. Il rassemble les éléments qui expliquent pourquoi un système est autorisé, limité, réévalué ou retiré. Une personne extérieure au projet doit pouvoir retrouver la version analysée, les faits retenus, la source juridique, les réserves et le responsable de la décision.

Certaines obligations détaillées visent les fournisseurs de systèmes à haut risque, d’autres les déployeurs ou d’autres opérateurs. Le dossier interne peut reprendre une structure commune tout en signalant clairement ce qui relève d’une obligation, d’une mesure contractuelle ou d’un choix de maîtrise. Cette distinction renforce la crédibilité du dispositif lors d’un contrôle ou d’une revue de direction.

Parcours de lecture recommandé

Commencez par le guide qui correspond à votre décision immédiate, puis utilisez les autres contenus pour relier qualification, contrôles, compétences et preuves. Le maillage suit l’ordre du travail réel plutôt qu’un classement purement juridique. Chaque article précise la source, les rôles concernés et les livrables qui permettent de passer de la lecture à l’action.

Décider et démontrer

Pour chaque sujet, conservez les faits, le texte applicable, le raisonnement, le décideur, les réserves, les actions et la date de prochaine revue. Cette structure rend la décision compréhensible et facilite sa mise à jour. Elle distingue ce qui relève d’une obligation juridique, d’un engagement contractuel et d’un choix de maîtrise interne.

Passer à l’action sur un premier système

Choisissez un périmètre représentatif et appliquez la méthode sur un système réel. Commencez par les faits disponibles, puis transformez chaque question non résolue en action avec un responsable et une date. Une première boucle complète apporte davantage qu’un catalogue de procédures sans propriétaire.

Les modèles téléchargeables permettent ensuite d’harmoniser le travail à l’échelle de l’organisation. Ils restent des supports à adapter. La validation finale doit tenir compte du rôle de l’organisation, du système, de son contexte d’utilisation et des autres droits applicables.