7 min de lecture<\/p>\n
37\u00a0pour cent des CIO affirment avoir une visibilit\u00e9 compl\u00e8te sur tous les outils d\u2019intelligence artificielle utilis\u00e9s dans leur organisation. Le reste prend des d\u00e9cisions de gouvernance sur un syst\u00e8me qu\u2019ils ne ma\u00eetrisent pas enti\u00e8rement. L\u2019IA autonome aggrave ce manque de visibilit\u00e9 : lorsque les mod\u00e8les d\u00e9cident seuls, il ne manque souvent pas seulement l\u2019explicabilit\u00e9 \u2013 c\u2019est l\u2019int\u00e9gralit\u00e9 du cheminement d\u00e9cisionnel qui fait d\u00e9faut.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n En lien\u00a0:<\/span>Les CIO sous pression : 62\u00a0% en mati\u00e8re de gouvernance de l\u2019IA<\/a> \/<\/span> Rapport CIO Logicalis 2026 : Seuls 37\u00a0% ont une visibilit\u00e9 compl\u00e8te<\/a><\/p>\n Qu\u2019est-ce que l\u2019IA autonome ?<\/strong> Un syst\u00e8me d\u2019IA est consid\u00e9r\u00e9 comme autonome lorsqu\u2019il prend des d\u00e9cisions op\u00e9rationnelles ou d\u00e9clenche des actions sans qu\u2019un humain n\u2019ait \u00e0 valider chaque cas individuel. Le crit\u00e8re n\u2019est pas la technologie, mais le processus : les d\u00e9cisions de cr\u00e9dit, la d\u00e9tection d\u2019anomalies dans les installations de production ou la pr\u00e9s\u00e9lection de personnel peuvent tous fonctionner de mani\u00e8re autonome \u2013 le fait qu\u2019ils le fassent d\u00e9pend de l\u2019architecture, pas du mod\u00e8le.<\/p>\n L\u2019IA autonome prend des d\u00e9cisions. C\u2019est l\u00e0 que r\u00e9side le changement. Il ne s\u2019agit plus de dire que l\u2019IA \u00ab\u00a0soutient\u00a0\u00bb les d\u00e9cisions \u2013 ce langage appartient \u00e0 la phase pilote. La question \u00ab\u00a0Avons-nous une gouvernance de l\u2019IA ?\u00a0\u00bb survient souvent un ou deux ans apr\u00e8s la question \u00ab\u00a0Avons-nous une IA autonome ?\u00a0\u00bb. C\u2019est pr\u00e9cis\u00e9ment cette lacune qui est critique.<\/p>\n Le r\u00e8glement europ\u00e9en sur l\u2019IA (AI Act)<\/a> classe les syst\u00e8mes selon leur niveau de risque. Les applications \u00e0 haut risque \u2013 d\u00e9cisions de cr\u00e9dit, outils RH, infrastructures critiques \u2013 doivent fournir une documentation de transparence, faire l\u2019objet de tests r\u00e9guliers et \u00eatre supervis\u00e9es par un humain. Cela ressemble \u00e0 une exigence de conformit\u00e9. Mais c\u2019est d\u2019abord une question d\u2019ing\u00e9nierie : qui a la ma\u00eetrise de ce qui est d\u00e9cid\u00e9 \u2013 et qui peut le reconstituer ?<\/p>\n Le premier probl\u00e8me est celui du Shadow AI<\/a>. Les employ\u00e9s utilisent des outils d\u2019intelligence artificielle via des extensions de navigateur, des comptes SaaS ou des acc\u00e8s API qui n\u2019apparaissent jamais dans les achats informatiques. Ce n\u2019est pas de la mauvaise volont\u00e9, c\u2019est de l\u2019efficacit\u00e9. Lorsque ces outils prennent des d\u00e9cisions ou fournissent des bases d\u00e9cisionnelles, ils n\u2019existent pourtant pas aux yeux de la gouvernance.<\/p>\n Trois questions permettent d\u2019\u00e9valuer le risque : existe-t-il des contenus g\u00e9n\u00e9r\u00e9s par l\u2019IA qui s\u2019int\u00e8grent \u00e0 des processus m\u00e9tiers document\u00e9s sans \u00eatre identifi\u00e9s comme tels ? Les acc\u00e8s aux outils d\u2019IA sont-ils factur\u00e9s via des comptes personnels afin d\u2019\u00e9viter les circuits d\u2019achat informatique ? L\u2019\u00e9quipe IT a-t-elle d\u00e9couvert au cours des six derniers mois un outil d\u2019IA dont elle ignorait l\u2019existence ? Une seule r\u00e9ponse par \u00ab oui \u00bb suffit : la gouvernance intervient alors structurellement trop tard.<\/p>\n Le deuxi\u00e8me probl\u00e8me r\u00e9side dans la confusion entre explicabilit\u00e9 et tra\u00e7abilit\u00e9. Les m\u00e9thodes d\u2019explicabilit\u00e9 comme SHAP ou LIME permettent de comprendre pourquoi un mod\u00e8le a pris une d\u00e9cision dans un cas pr\u00e9cis. C\u2019est utile, mais ce n\u2019est pas un audit-trail. Un audit-trail doit documenter : quel mod\u00e8le, quelle version, quelles donn\u00e9es, quel horodatage, et qui a utilis\u00e9 la d\u00e9cision ? En pratique, les DSI mettent en \u0153uvre l\u2019XAI et croient ainsi avoir r\u00e9solu la question de l\u2019explicabilit\u00e9.<\/p>\n \nL\u2019explicabilit\u00e9 est une fonctionnalit\u00e9. La tra\u00e7abilit\u00e9 est une exigence. Ces deux notions sont trop souvent confondues dans le cadre de la gouvernance.\n<\/p><\/blockquote>\n Le troisi\u00e8me probl\u00e8me survient plus tard, mais frappe plus fort : le verrouillage fournisseur (vendor lock-in) sur les mod\u00e8les d\u2019IA. Celui qui affine un mod\u00e8le fondamental (foundation model) d\u2019un fournisseur cloud se retrouve avec des poids propri\u00e9taires sur une infrastructure propri\u00e9taire. Changer de fournisseur implique l\u2019exportation des donn\u00e9es, un nouvel entra\u00eenement, une nouvelle validation et une recertification. Pour les syst\u00e8mes \u00e0 haut risque, cela prend g\u00e9n\u00e9ralement entre six et dix-huit mois. Ce n\u2019est pas un probl\u00e8me en phase pilote. Cela devient critique si le fournisseur modifie ses conditions ou ne r\u00e9pond plus aux exigences de conformit\u00e9.<\/p>\n Le r\u00e8glement sur l\u2019IA impose aux syst\u00e8mes \u00e0 haut risque<\/a> : une documentation technique, un syst\u00e8me de gestion des risques, la documentation des jeux de donn\u00e9es, la journalisation, une supervision humaine et des m\u00e9triques de pr\u00e9cision. C\u2019est le cadre r\u00e9glementaire minimal.<\/p>\n Ce que le r\u00e8glement n\u2019apporte pas : un cadre de gouvernance pour l\u2019organisation elle-m\u00eame. Qui, en interne, est responsable d\u2019un syst\u00e8me \u00e0 haut risque ? Quel processus d\u00e9cide si un nouvel outil d\u2019IA est \u00e0 haut risque ? Que se passe-t-il lorsqu\u2019un syst\u00e8me est utilis\u00e9 pour une nouvelle application qui est ult\u00e9rieurement class\u00e9e comme \u00e0 haut risque ? Chaque organisation doit r\u00e9pondre seule \u00e0 ces questions. Le r\u00e8glement sur l\u2019IA est une barri\u00e8re d\u2019entr\u00e9e, pas un cadre complet.<\/p>\n Ce qui aide structurellement<\/p>\n Ce qui rel\u00e8ve du th\u00e9\u00e2tre de la gouvernance<\/p>\n Premi\u00e8re question : Quelles d\u00e9cisions le syst\u00e8me prend-il \u2013 et quelles en sont les cons\u00e9quences ? Pas : \u00ab Quel probl\u00e8me r\u00e9sout-il ? \u00bb, mais : Que se passe-t-il si le syst\u00e8me se trompe ? Qui assume les cons\u00e9quences \u2013 sur le plan juridique, op\u00e9rationnel, r\u00e9putationnel ?<\/p>\n Deuxi\u00e8me question : Qui peut interrompre la d\u00e9cision ? Tout syst\u00e8me autonome doit disposer d\u2019un parcours d\u2019escalade clairement d\u00e9fini. En l\u2019absence de tel parcours, la d\u00e9cision sera prise jusqu\u2019\u00e0 ce qu\u2019un incident grave se produise.<\/p>\n Troisi\u00e8me question : Combien de temps faudrait-il pour remplacer le syst\u00e8me ? R\u00e9pondez \u00e0 cette question avant la mise en production. Une fois le syst\u00e8me d\u00e9ploy\u00e9, la r\u00e9ponse n\u2019a plus d\u2019importance.<\/p>\n Les registres de risques pour les IA autonomes sont utiles \u00e0 condition que quelqu\u2019un les consulte r\u00e9ellement, et que les questions qu\u2019ils contiennent portent sur des syst\u00e8mes concrets, et non sur des cat\u00e9gories abstraites. Le NIST AI Risk Management Framework<\/a> offre ici une entr\u00e9e pratique qui va au-del\u00e0 du niveau minimum exig\u00e9 par l\u2019AI Act.<\/p>\n Un syst\u00e8me est consid\u00e9r\u00e9 comme autonome lorsqu\u2019il prend des d\u00e9cisions ou d\u00e9clenche des actions sans qu\u2019un humain n\u2019examine chaque cas individuel. Le crit\u00e8re n\u2019est pas la technologie, mais le processus : si un employ\u00e9 reprend syst\u00e9matiquement la d\u00e9cision du syst\u00e8me sans la v\u00e9rifier sur le fond, le syst\u00e8me fonctionne de facto de mani\u00e8re autonome.<\/p>\n<\/details>\n L\u2019annexe III de l\u2019AI Act \u00e9num\u00e8re huit domaines : identification biom\u00e9trique, infrastructures critiques, \u00e9ducation, emploi, services essentiels, forces de l\u2019ordre, gestion des fronti\u00e8res, justice. Dans ces domaines, c\u2019est l\u2019usage concret qui d\u00e9termine le classement. La plupart des entreprises sous-estiment le nombre de leurs outils internes potentiellement concern\u00e9s.<\/p>\n<\/details>\n Les m\u00e9thodes XAI (SHAP, LIME, contre-factuels) expliquent pourquoi un mod\u00e8le a pris telle d\u00e9cision dans un cas pr\u00e9cis. Une piste d\u2019audit, en revanche, documente l\u2019int\u00e9gralit\u00e9 du processus d\u00e9cisionnel : version du mod\u00e8le, donn\u00e9es d\u2019entr\u00e9e, horodatage, utilisateur. Les deux sont n\u00e9cessaires \u2013 l\u2019un ne remplace pas l\u2019autre. Les DSI qui n\u2019impl\u00e9mentent que l\u2019XAI ne disposent pas d\u2019une tra\u00e7abilit\u00e9 conforme aux exigences de conformit\u00e9.<\/p>\n<\/details>\n Commencez par inventorier plut\u00f4t que sanctionner. Les employ\u00e9s utilisent des outils d\u2019IA par souci d\u2019efficacit\u00e9, pas pour saboter les politiques informatiques. Une approche pragmatique combine des processus r\u00e9guliers d\u2019auto-d\u00e9claration (d\u00e9claration trimestrielle des outils utilis\u00e9s), une surveillance via extensions de navigateur, et une communication claire sur les outils autoris\u00e9s. Les politiques de tol\u00e9rance z\u00e9ro, sans alternative, poussent l\u2019IA fant\u00f4me encore plus loin dans l\u2019ombre.<\/p>\n<\/details>\n Quatre \u00e9tapes, dans cet ordre : (1) \u00c9tablir un inventaire des IA \u2013 tous les syst\u00e8mes utilis\u00e9s, leurs responsables, leurs finalit\u00e9s. (2) Classer les risques selon l\u2019AI Act \u2013 quels syst\u00e8mes rel\u00e8vent des cat\u00e9gories \u00e0 haut risque ? (3) D\u00e9signer des responsables \u2013 un nom par syst\u00e8me, pas \u00ab le service informatique \u00bb. (4) Mettre en place des cycles de revue \u2013 mise \u00e0 jour trimestrielle de l\u2019inventaire, \u00e9valuation annuelle des risques, revue imm\u00e9diate en cas de modification du syst\u00e8me ou de son usage.<\/p>\n<\/details>\n Cr\u00e9dit image principale : Pexels \/ Vlada Karpovich<\/p>\n","protected":false},"excerpt":{"rendered":" 37 % des directeurs informatiques voient tous les outils d’intelligence artificielle dans leur organisation.<\/p>\n","protected":false},"author":115,"featured_media":21746,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Risques bo\u00eete noire IA","_yoast_wpseo_title":"IA autonome : comment les DSI ma\u00eetrisent les risques de la bo\u00eete noire","_yoast_wpseo_metadesc":"Seuls 37 % des DSI ma\u00eetrisent leurs outils IA. D\u00e9couvrez les cadres de gouvernance pour l\u2019IA autonome, leur mise en \u0153uvre et leurs failles structurelles.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":["autonome-ki-im-unternehmen-wie-cios-das-risiko-von-black-box"],"footnotes":""},"categories":[683],"tags":[],"class_list":["post-21842","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-new-work-leadership","entry"],"wpml_language":"fr","wpml_translation_of":21747,"yoast_head":"\n\n
La question que les CIO posent trop tard<\/h2>\n
Trois points o\u00f9 la gouvernance \u00e9choue structurellement<\/h2>\n
Ce que pr\u00e9voit le r\u00e8glement europ\u00e9en sur l\u2019IA \u2013 et ce qu\u2019il ne pr\u00e9voit pas<\/h2>\n
\n
\n
Trois questions avant toute mise en \u0153uvre d’une IA autonome<\/h2>\n
Foire aux questions<\/h2>\n
Qu\u2019est-ce qu\u2019un syst\u00e8me d\u2019IA \u00ab autonome \u00bb au sens de la gouvernance ?<\/strong><\/summary>\n
Quelles applications d\u2019IA sont class\u00e9es comme \u00e0 haut risque selon l\u2019AI Act de l\u2019UE ?<\/strong><\/summary>\n
Quelle est la diff\u00e9rence entre l\u2019XAI et une piste d\u2019audit (audit trail) ?<\/strong><\/summary>\n
Comment g\u00e9rer l\u2019IA fant\u00f4me (Shadow AI) au sein de mon organisation ?<\/strong><\/summary>\n
Quelles sont les \u00e9tapes concr\u00e8tes recommand\u00e9es pour mettre en place un cadre de gouvernance de l\u2019IA ?<\/strong><\/summary>\n
Plus du r\u00e9seau MBF Media<\/h2>\n
\n