La gouvernance arrive souvent après les usages réels
Pour un CTO, la gouvernance IA arrive rarement dans un terrain vierge. Les équipes utilisent déjà des copilotes, des LLM publics, des extensions IDE ou des scripts maison. Le cadre doit donc reprendre le réel, pas décrire un monde idéal.
Une bonne gouvernance autorise clairement les usages utiles et ferme clairement les usages dangereux. Si elle reste théorique, les équipes contournent. Si elle interdit tout, elles se cachent.
"La gouvernance a marché quand elle tenait sur deux pages et un registre vivant."
L'absence de cadre favorise les contournements les plus discrets
L'absence de cadre favorise les usages les moins visibles : copier-coller dans des outils personnels, prompts contenant du contexte client, extensions non validées, agents qui accèdent trop largement aux dépôts.
Les risques ne sont pas abstraits. Ils apparaissent dans le quotidien des équipes :
- shadow AI
- politique trop théorique
- absence de propriétaire
- confusion entre outil et système
Le risque n'est pas seulement réglementaire. Il est opérationnel : impossible de savoir quels usages existent, quels risques sont acceptés et quels incidents ont été évités ou manqués.
Donner des règles applicables plutôt qu'une doctrine abstraite
La bonne réponse ne consiste pas à écrire une politique IA longue que personne n'applique. Elle consiste à installer une gouvernance par niveaux de risque, preuves attendues et responsabilités nommées. Cette approche garde l'ambition, mais elle impose une discipline simple : chaque usage IA doit produire un livrable, une métrique, un propriétaire et une décision explicite de continuation ou d'arrêt.
1. Inventorier les usages réels
L'inventaire doit être non punitif au départ. Si les équipes pensent que déclarer un usage revient à s'exposer, elles ne déclareront rien. Le registre doit capter l'outil, le workflow, les données manipulées, le niveau d'autonomie et le propriétaire.
- Décision attendue : choisir le périmètre pilote et ce qui restera hors champ.
- Preuve attendue : une mesure avant déploiement, même imparfaite.
- Anti-pattern : lancer un assistant généraliste sans workflow prioritaire.
2. Classer les risques par données et autonomie
La matrice de risques doit croiser données et autonomie. Un usage sur données publiques, sans action, n'a pas le même niveau de contrôle qu'un agent connecté à GitHub, Jira ou un SI interne.
Cette classification permet de donner des règles simples : autorisé, autorisé sous conditions, soumis à validation, interdit.
3. Définir permissions et interdits
La politique d'usage doit tenir en peu de pages et parler le langage des équipes : exemples autorisés, exemples interdits, données à ne jamais envoyer, outils validés, procédure d'exception.
Une règle comprise vaut mieux qu'une doctrine complète ignorée. Le CTO doit pouvoir la faire appliquer sans transformer chaque usage en dossier de conformité.
4. Auditer les sorties critiques
La gouvernance doit fonctionner par revues courtes et décisions explicites. Les signaux utiles sont les usages déclarés, les exceptions validées, les incidents évités et le temps de validation. Le livrable de pilotage : processus d'exception.
| Étape | Livrable | Signal de qualité |
|---|---|---|
| Cadrage | registre des usages IA | Baseline usages déclarés disponible |
| Responsabilité | matrice de risques | Validateur humain nommé |
| Contexte | politique d'usage courte | Sources et droits explicités |
| Pilotage | processus d'exception | Décision go/stop à date fixe |
:::
Quand la gouvernance devient enfin un accélérateur
La gouvernance devient un accélérateur quand elle réduit l'incertitude. Les équipes savent quoi utiliser, comment demander une exception et quelles preuves produire pour passer en usage plus large.
Le registre vivant est la pièce centrale. Il montre les usages déclarés, les exceptions validées, les incidents évités et les zones à revoir. Sans registre, la gouvernance reste une note.
Un pilote de cadrage qui ne coupe pas l'élan des équipes
Le pilote démarre par un inventaire anonyme, puis une politique par niveaux de risque. Cette séquence évite de publier des règles hors sol et donne aux équipes le sentiment que le cadre répond à leurs usages réels.
Pour ce thème, le pilote doit contenir cinq éléments :
- un sponsor capable d'arbitrer les priorités ;
- un propriétaire opérationnel du workflow ;
- un jeu de données ou de cas réels relié à politique d'usage courte ;
- une règle claire sur les usages interdits ;
- une date de revue avec décision de continuation ou d'arrêt.
Le cadre doit être assez clair pour sécuriser, assez court pour être lu, assez pratique pour être appliqué.
Ce qu'un CTO doit voir avant d'autoriser plus large
Avant d'autoriser plus large, un CTO doit voir trois choses : les usages remontent dans le registre, les exceptions se traitent vite, les incidents ou quasi-incidents sont discutés sans être masqués.
Si les usages déclarés restent faibles alors que l'usage réel est visible ailleurs, le cadre n'est pas crédible.
Comment inventorier le shadow AI sans pousser les équipes à se cacher ?
Commencez par un recensement non punitif qui décrit l'outil, le workflow, les données manipulées, le niveau d'autonomie et le propriétaire. La déclaration doit aider à cadrer l'usage, pas déclencher automatiquement une sanction.
Comment classer simplement les usages IA par risque ?
Croisez la sensibilité des données avec le niveau d'autonomie. Vous pouvez alors qualifier chaque usage comme autorisé, autorisé sous conditions, soumis à validation ou interdit.
Que doit contenir une politique d'usage réellement applicable ?
Elle donne des exemples autorisés et interdits, les données à ne jamais transmettre, les outils validés et la procédure d'exception. Elle doit rester assez courte pour être lue et utilisée dans le travail quotidien.
Comment savoir si le registre des usages est crédible ?
Les usages réels y remontent, les exceptions sont traitées rapidement et les incidents ou quasi-incidents sont discutés. Un faible taux de déclaration malgré des usages visibles signale un cadre contourné.
Les usages déclarés montrent si le cadre est crédible
Les usages déclarés montrent si le cadre est crédible. Quand les équipes déclarent parce que le processus les aide vraiment, la gouvernance cesse d'être un frein et devient une infrastructure de confiance.