Un algorithme qui attribue une note de risque client, un modèle qui pré-remplit des écritures comptables, un assistant qui rédige des réponses contractuelles : dans la plupart des organisations que nous accompagnons, ces systèmes tournent déjà, parfois depuis des mois, sans que le comité d'audit, ni les instances en charge du sujet IA et gouvernance d'entreprise, en aient été informés.

L'IA et la gouvernance d'entreprise forment désormais un seul et même sujet de conseil d'administration, au même titre que la cybersécurité il y a dix ans. La question n'est plus de savoir si les instances doivent s'en saisir, mais avec quels outils, quelles compétences et quel niveau de preuve. Cet article s'adresse aux administrateurs, aux DG et aux membres de CODIR d'entreprises structurées qui veulent passer d'une vigilance de principe à un dispositif de contrôle réel.

IA et gouvernance d'entreprise face aux algorithmes 2026

Temps de lecture : ~10 min

1. Ce que recouvre vraiment l'IA et la gouvernance d'entreprise

2. Pourquoi le comité d'audit devient un acteur de la supervision algorithmique

3. Les risques algorithmiques qui remontent aux instances

4. AI Act, RGPD, ISO/IEC 42001 et NIST, les quatre repères à distinguer

5. Intégrer l'audit des algorithmes au contrôle interne existant

6. Comité d'audit, comité IA et CODIR, qui fait quoi

7. Les indicateurs à présenter au conseil d'administration

8. Par où commencer concrètement

9. Faire de la gouvernance de l'IA un vrai dispositif de contrôle

10. Questions fréquentes sur l'IA et la gouvernance d'entreprise

Ce que recouvre vraiment l'IA et la gouvernance d'entreprise

La gouvernance de l'intelligence artificielle en entreprise désigne l'ensemble des politiques, des responsabilités et des mécanismes de contrôle qui encadrent la conception, l'achat, le déploiement et l'usage des systèmes d'IA. Elle ne se limite pas à la surveillance technique des modèles.

Elle couvre la stratégie, la priorisation des cas d'usage, la gouvernance des données, l'évaluation des risques, la conformité juridique, la cybersécurité, la supervision humaine, la gestion des fournisseurs et la documentation permettant l'auditabilité des modèles.

Sur les systèmes d'information que nous accompagnons, nous observons un décalage systématique entre la réalité des usages et la vision qu'en ont les instances. Les outils officiellement déployés représentent rarement plus de la moitié des systèmes d'IA effectivement utilisés. Le reste se niche dans les fonctions intelligentes ajoutées aux logiciels métiers par les éditeurs, dans les extensions installées par les équipes et dans les abonnements individuels souscrits en dehors de la DSI. Ce que nous appelons l'IA invisible constitue le premier angle mort de toute instance de contrôle.

Pourquoi le comité d'audit devient un acteur de la supervision algorithmique

Le comité d'audit a une mission connue : s'assurer de la fiabilité de l'information financière, de l'efficacité du contrôle interne et de la maîtrise des risques. Dès lors qu'un algorithme décisionnel intervient dans une chaîne de production comptable, dans une estimation de provision, dans une classification de créances douteuses ou dans un calcul de valorisation de stock, il entre mécaniquement dans ce périmètre.

Un modèle statistique qui se dégrade silencieusement produit le même effet qu'un contrôle manuel défaillant, à une différence près : la dérive n'est visible que si quelqu'un l'a instrumentée.

L'Autorité des marchés financiers a souligné que les instances dirigeantes doivent intégrer les risques émergents liés à l'intelligence artificielle, à la cybersécurité et au contexte géopolitique dans leurs décisions et leur stratégie, dans ses travaux sur la gouvernance des sociétés cotées. Les sociétés non cotées ne sont pas soumises aux mêmes obligations de place, mais leurs banques, leurs assureurs, leurs donneurs d'ordres et leurs acquéreurs potentiels posent déjà les mêmes questions. Dans les opérations de cession que nous voyons passer, l'absence de registre des systèmes d'IA devient un point de vigilance de due diligence.

Les risques algorithmiques qui remontent aux instances

Le travail de cartographie des risques algorithmiques consiste à sortir des généralités sur l'éthique pour nommer des expositions concrètes. Voici les familles de risques que nous retrouvons le plus souvent lors de nos interventions auprès de comités d'audit et de comités des risques.

• Le biais algorithmique, lorsqu'un modèle reproduit ou amplifie une discrimination présente dans les données historiques, avec un risque juridique en matière de recrutement, de tarification ou d'accès à un service.

• L'hallucination des modèles, lorsqu'un système produit une réponse plausible mais fausse, intégrée sans vérification dans un document contractuel, une réponse client ou une note interne.

• L'absence de traçabilité des décisions automatisées, qui rend impossible la reconstitution d'un raisonnement en cas de contestation, de contrôle ou de litige.

• La dépendance aux fournisseurs technologiques, lorsque le modèle sous-jacent change sans préavis, que les conditions tarifaires évoluent ou que la réversibilité n'a jamais été contractualisée.

• La fuite de données confidentielles vers des services non maîtrisés, avec des enjeux de propriété intellectuelle, de secret des affaires et de souveraineté numérique.

• La cybersécurité des systèmes d'IA, avec des vecteurs d'attaque spécifiques qui ne figurent pas dans les plans de test classiques.

KPMG relève que la propriété intellectuelle, la protection des données, la sécurité numérique, la désinformation et l'impact sur l'emploi figurent parmi les préoccupations majeures des conseils face à l'IA, et que les décisions technologiques doivent intégrer la souveraineté et la dépendance aux fournisseurs. Ces sujets ne sont pas techniques, ils sont contractuels et stratégiques, donc parfaitement dans la main d'un comité d'audit.

À retenir

Un système d'IA sans responsable métier nommé est un risque non couvert. La première question à poser en comité n'est pas quel modèle utilisons-nous, mais qui répond de ce système en cas d'incident.

AI Act, RGPD, ISO/IEC 42001 et NIST, les quatre repères à distinguer

La confusion entre obligation légale et référentiel volontaire est fréquente en séance. Elle conduit à deux erreurs symétriques : croire qu'une certification suffit à démontrer la conformité, ou considérer qu'aucune action n'est requise tant que les décrets d'application ne sont pas tous publiés. Le tableau ci-dessous clarifie ce que chaque cadre apporte et ce que le comité d'audit peut en attendre.

Comparaison des quatre référentiels de gouvernance de l'IA

• Référentiel: AI Act Nature: Règlement européen contraignant Apport principal: Obligations graduées selon le rôle de l'organisation, la catégorie du système et son niveau de risque Point de contrôle pour le comité: Classification des cas d'usage, identification des systèmes d'IA à haut risque, documentation technique, supervision humaine

• Référentiel: RGPD Nature: Règlement européen contraignant Apport principal: Encadrement des traitements de données personnelles, du profilage et de la décision automatisée Point de contrôle pour le comité: Base légale, analyse d'impact, information des personnes, durées de conservation, transferts hors Union européenne

• Référentiel: ISO/IEC 42001 Nature: Norme volontaire de système de management Apport principal: Structuration des politiques, des rôles, des revues et de l'amélioration continue Point de contrôle pour le comité: Existence d'audits internes, preuves de revue de direction, articulation avec l'analyse juridique

• Référentiel: NIST AI Risk Management Framework Nature: Cadre méthodologique volontaire Apport principal: Démarche d'identification, de mesure et de gestion des risques Point de contrôle pour le comité: Qualité de la cartographie des risques et des mesures de traitement associées

Le point important pour une instance de contrôle tient en une phrase. ISO/IEC 42001 organise la gouvernance dans une logique de système de management, mais ne constitue pas à elle seule une preuve de conformité aux obligations légales. Le comité d'audit doit donc demander deux choses distinctes : l'état d'avancement du dispositif de management et l'analyse juridique des obligations applicables. Nous détaillons la mécanique de mise en conformité dans notre article sur le plan d'action AI Act.

Intégrer l'audit des algorithmes au contrôle interne existant

Créer un dispositif parallèle est la meilleure façon de ne jamais le faire vivre. Ce qui fonctionne, sur le terrain, c'est le greffage sur les processus de contrôle interne déjà en place. Un système d'IA se traite comme n'importe quel composant critique du système d'information, avec un propriétaire, une fiche d'identité, une évaluation avant mise en production, des contrôles périodiques et un plan de retrait.

Le registre des systèmes d'IA est la pierre angulaire

Il recense les modèles, leurs finalités, les données exploitées, les fournisseurs, les utilisateurs, le niveau de criticité, le responsable désigné, les contrôles appliqués et la date de dernière évaluation. Tant que ce registre n'existe pas, aucune affirmation de maîtrise ne peut être étayée devant un comité. L'audit interne peut ensuite vérifier par sondage la complétude du registre, la réalité des évaluations préalables et l'existence d'une procédure d'escalade et d'arrêt opérationnelle, c'est-à-dire testée et non seulement documentée.

L'étude IBM sur la maturité de la gouvernance de l'IA rappelle que la mauvaise qualité des données et les insuffisances de gouvernance des données figurent parmi les principaux obstacles au déploiement. Ce constat a une traduction directe pour un comité d'audit : la revue des contrôles sur la provenance, la fraîcheur et la représentativité des données vaut souvent mieux qu'une inspection du modèle lui-même.

Comité d'audit, comité IA et CODIR, qui fait quoi

La répartition des rôles est la question la plus posée en séance. Le comité IA, lorsqu'il existe, est une instance opérationnelle qui réunit la direction générale, la DSI, le juridique, le DPO, le RSSI, les métiers concernés et les achats. Il valide les cas d'usage, classe les risques, impose des contrôles et suit les incidents.

Le comité d'audit ne fait pas ce travail : il s'assure qu'il est fait, correctement et avec des preuves. Il challenge la méthode, vérifie l'indépendance des contrôles et alerte le conseil d'administration lorsque le dispositif ne suit pas le rythme des déploiements.

Le CODIR occupe la position charnière. C'est lui qui arbitre entre vitesse de déploiement et niveau de risque acceptable, qui alloue les moyens et qui donne au dispositif son autorité réelle. Sans une lecture partagée du sujet au sein du CODIR, la gouvernance reste un document. Nous animons précisément ce cadrage lors de l'atelier IA CODIR, une demi-journée de quatre heures dans les locaux du client, dont le budget se situe souvent entre 5 000 et 7 000 euros HT selon la taille de l'entreprise. Chaque membre en ressort avec le même langage, des pistes de valeur issues de ses propres irritants et un cadre clair pour avancer.

Bon à savoir

La charte d'usage ne se rédige pas avant le cadrage. Une politique publiée trop tôt, sans inventaire ni arbitrage du CODIR, produit des règles que personne n'applique et que personne ne contrôle.

Les indicateurs à présenter au conseil d'administration

Un reporting utile tient sur une page et porte sur la maîtrise, pas sur le nombre de projets lancés. Les indicateurs que nous installons le plus souvent couvrent le pourcentage de systèmes d'IA inventoriés, la part de cas d'usage évalués avant déploiement, le nombre d'outils non autorisés détectés, le nombre d'incidents algorithmiques et leur délai de traitement, le taux de systèmes disposant d'un responsable identifié, la part de fournisseurs évalués et le délai constaté pour suspendre un système à risque. Ce dernier indicateur est le plus révélateur : il mesure la capacité réelle d'arrêt, qui est la seule garantie opérationnelle dont dispose une instance de gouvernance.

La maturité se lit aussi dans les compétences présentes autour de la table. Un comité d'audit n'a pas besoin d'un data scientist, il a besoin de membres capables de poser les bonnes questions sur l'explicabilité des modèles, sur les indicateurs de performance suivis, sur la gouvernance des données et sur les clauses contractuelles liant l'entreprise à ses fournisseurs. Faire intervenir un tiers de confiance une à deux fois par an pour une revue indépendante est souvent plus efficace que de recruter une compétence rare qui siégera trois heures par trimestre. Pour préparer ces échanges, notre article sur la présentation de l'IA au conseil d'administration propose une trame de séance.

Par où commencer concrètement

La séquence qui fonctionne commence toujours par l'état des lieux. Tant que le périmètre réel des usages, l'état des données et la faisabilité des cas d'usage prioritaires ne sont pas connus, toute décision de gouvernance repose sur des hypothèses. C'est l'objet de notre Diagnostic IA, dont la durée et le budget varient avec le périmètre, le nombre de directions et de sites, les processus à couvrir et l'état des données.

Vient ensuite le cadrage en CODIR, puis la mise sous contrôle progressive, enfin l'industrialisation des cas d'usage retenus, que nous pilotons dans la durée comme décrit dans notre pilotage de projets et de mise à l'échelle.

Ce que nous constatons chez nos clients est assez constant. Les entreprises qui structurent leur gouvernance avant le passage à l'échelle déploient moins vite les six premiers mois, puis beaucoup plus vite ensuite, parce que les contrôles sont mutualisés, les responsabilités claires et les arbitrages déjà tranchés. Celles qui laissent les usages se multiplier sans cadre finissent par devoir tout reprendre, souvent après un incident.

Faire de la gouvernance de l'IA un vrai dispositif de contrôle

L'IA et la gouvernance d'entreprise ne se jouent pas sur la sophistication des modèles, mais sur la qualité des instances. Un comité d'audit qui dispose d'un registre à jour, d'une classification des risques, d'indicateurs de maîtrise et d'une procédure d'arrêt testée fait son travail, quel que soit son niveau de culture technique.

Un comité qui se contente d'une présentation annuelle sur les promesses de l'intelligence artificielle ne couvre rien. Le passage de l'un à l'autre demande une décision de direction générale, un inventaire honnête et un peu de méthode. Pour en discuter sur votre périmètre, contactez notre équipe.

FAQ

Une entreprise non cotée doit-elle créer un comité d'audit dédié à l'IA ?

Dans la plupart des cas, non. La création d'une instance supplémentaire disperse l'attention et dilue les responsabilités. Il est plus efficace d'ajouter un point permanent sur les risques algorithmiques à l'ordre du jour de l'instance de contrôle existante, et de la faire alimenter par un comité IA opérationnel.

À quelle fréquence réévaluer un système d'IA déjà en production ?

La fréquence se calibre sur la criticité. Un système à fort impact sur les personnes ou sur l'information financière justifie une revue trimestrielle des indicateurs de performance et une réévaluation complète annuelle. Un usage interne à faible enjeu peut se contenter d'une revue annuelle, à condition que toute modification du modèle par le fournisseur déclenche un contrôle.

Que doit contenir une procédure d'escalade en cas d'incident algorithmique ?

Elle précise qui détecte, qui qualifie la gravité, qui décide de suspendre, dans quel délai, qui informe les personnes concernées et les autorités le cas échéant, et comment la reprise est validée. Elle doit avoir été testée au moins une fois, sinon elle reste théorique.

L'audit interne peut-il évaluer seul un modèle d'intelligence artificielle ?

Il peut auditer le dispositif, les preuves, la documentation et les contrôles, ce qui couvre l'essentiel du risque. L'évaluation technique approfondie d'un modèle, notamment sur les biais ou la robustesse, demande en revanche un appui externe ou une compétence data dédiée.

Comment traiter les fonctions d'IA ajoutées par nos éditeurs de logiciels sans que nous l'ayons demandé ?

Elles entrent dans le registre au même titre que les projets internes. Il faut interroger l'éditeur sur l'hébergement des données, sur leur éventuelle utilisation pour l'entraînement, sur la possibilité de désactiver la fonction et sur la notification des changements de modèle, puis contractualiser ces réponses lors du prochain renouvellement.