Toute organisation d'une certaine taille dispose déjà d'une structure de risque. Un comité des risques, un comité d'audit, une ligne de fonctions de contrôle, un format dans lequel les risques sont consignés, discutés et clôturés. Ce processus a un rythme, un langage et des propriétaires qui savent à quoi s'attendre.
Si la gouvernance de l'IA vient s'ajouter à côté — un comité propre, une ligne de reporting propre, un calendrier propre — un deuxième processus voit alors le jour. Et un deuxième processus parallèle à un processus existant n'est pas exécuté. Non pas parce que les personnes sont de mauvaise volonté, mais parce que la capacité est déjà affectée au processus existant. Traiter le risque lié à l'IA comme un sujet séparé demande du temps supplémentaire, des réunions supplémentaires et des rapports supplémentaires en plus de tout ce qui existe déjà. Cela perd, chaque fois.
L'inventaire et la classification des systèmes d'IA ne produisent pas un nouveau cadre de risque. Ils fournissent des données pour le cadre déjà en place. Concrètement, cela signifie :
L'ensemble de gouvernance qui résulte du scan n'est donc pas un document autonome. C'est un ensemble rédigé pour s'adapter à ce qui existe déjà : la matrice des risques, la structure de reporting, les lignes d'escalade. Là où ces éléments ne fonctionnent pas encore comme ils le devraient, la même logique s'applique que pour l'IA : il s'agit d'intégration, pas d'un nouveau système. La manière dont cela se présente pour un élément concret est décrite dans comment une politique d'IA est intégrée dans la prise de décision existante plutôt que de rester isolée à côté, dans comment une liste de décisions de supervision est intégrée dans la concertation déjà en place et dans comment les voies d'escalade pour l'IA sont intégrées dans la ligne d'incidents existante.
Un cadre de risque IA séparé paraît rigoureux, mais crée un circuit parallèle. Deux vérités apparaissent : le reporting des risques que le dirigeant connaît déjà, et un reporting IA qui vit à côté, avec ses propres définitions de niveau de risque et ses propres propriétaires. Au moment où ces deux circuits ne s'accordent plus — et cela arrive tôt ou tard — il n'est pas clair quel circuit a autorité. C'est précisément le scénario dans lequel la supervision existe sur papier, mais où personne n'est responsable dans la pratique.
L'ensemble de gouvernance qui résulte de l'inventaire vise donc à disparaître dans le processus existant. Pas de nouveau tableau de bord, pas de nouvelle réunion, pas de nouveau formulaire d'approbation — mais une extension du format que le comité des risques utilise déjà, avec l'IA comme composante permanente. C'est aussi la manière dont un dirigeant en tire profit : non pas comme un rapport IA séparé qu'on feuillette, mais comme une ligne dans le reporting déjà lu. La manière dont ce reporting se présente lorsqu'il est suffisamment compact pour être réellement lu est décrite dans la structure d'un rapport au conseil qui tient sur une page.
La raison pour laquelle le raccordement à la structure existante est aussi le choix le plus solide sur le plan juridique et organisationnel réside dans la démonstrabilité. Un régulateur ou un auditeur qui demande comment le risque lié à l'IA est maîtrisé préfère la réponse « via le processus de risque que nous menons déjà, avec l'IA comme composante permanente » à « via une trajectoire IA séparée qui se déroule en parallèle du processus habituel ». La première réponse montre une organisation qui gère le risque de manière intégrée. La seconde montre une organisation qui traite l'IA comme un cas d'exception — avec le risque que, dès que l'attention se déplace, cette exception soit abandonnée.
La même logique s'applique au suivi. Un tableau de bord IA isolé que personne ne consulte n'apporte rien. Un suivi intégré dans l'aperçu que les gestionnaires de risques et le dirigeant utilisent déjà est vu parce qu'il se trouve déjà à l'endroit où l'on regarde. Ce qui est nécessaire à cet effet est expliqué dans comment le suivi des systèmes d'IA est intégré dans l'aperçu déjà utilisé et, plus largement, dans comment le raccordement à la structure de risque existante se construit en pratique.
Une structure de risque dans laquelle l'IA est intégrée répond à la question de ce qui fonctionne et de qui en est responsable. C'est une réponse différente de la question de ce que l'IA pourrait reprendre dans le travail quotidien. Cette seconde question trouve sa réponse dans le scan de travail de FTE TO AI, qui calcule par tâche quelle part du travail se prête à une reprise. Les deux réponses vont de pair : la structure de risque déterminant les conditions dans lesquelles l'IA peut être déployée, le scan de travail montrant où ce déploiement change effectivement le travail.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.