IA et gouvernance d'entreprise : nouvelles responsabilités

Un conseil d'administration se réunit quelques fois par an. Pendant ce temps, le comité exécutif déploie des agents IA capables de gérer d'autres agents IA, sans attendre la prochaine réunion pour en discuter. L'écart entre la vitesse de l'exécutif et celle du conseil n'a jamais été aussi visible. La gouvernance d'entreprise, historiquement construite autour de cycles trimestriels et de présentations annuelles, doit désormais superviser une technologie qui change de version plus vite qu'elle ne change de slide. Voici ce que cela signifie concrètement pour les responsabilités des dirigeants et des administrateurs.

Le décalage est documenté. Selon une analyse relayée par Management & RSE, un changement majeur s'est opéré du côté des dirigeants : les CEO se positionnent désormais en tête des décisions liées à l'IA, pilotant directement l'intégration de la technologie dans la stratégie. Les conseils d'administration, eux, continuent trop souvent à considérer l'IA comme un simple outil informatique, plutôt que comme un sujet de reconception du modèle d'affaires et de différenciation stratégique relevant directement de leur responsabilité.

Cette lenteur structurelle du conseil n'est pas nouvelle, elle est simplement plus coûteuse aujourd'hui. Des chercheurs de l'INSEAD décrivent les administrateurs comme des professionnels à temps partiel de la gouvernance : les conseils se réunissent rarement, quelques fois par an tout au plus, et leurs membres n'ont pas toujours le temps de traiter en profondeur l'information qui leur est transmise. Résultat, ils se concentrent sur le court terme, la validation des résultats financiers, et laissent de côté les arbitrages stratégiques de long terme que l'IA impose pourtant. Cette situation crée une asymétrie d'information difficile à combler avec les méthodes traditionnelles de reporting, où un administrateur découvre en une réunion ce que la direction observe et ajuste en continu.

Superviser l'IA ne se limite pas à approuver un budget technologique. Selon une étude KPMG, une majorité d'entreprises françaises mettent déjà en place une gouvernance transverse de l'IA, et la quasi-totalité d'entre elles ont adopté une charte d'usage responsable. Ce n'est pas un effet de mode réglementaire : le cadre européen prévoit des sanctions pouvant atteindre plusieurs dizaines de millions d'euros ou un pourcentage significatif du chiffre d'affaires mondial en cas de manquement grave.

Concrètement, une gouvernance solide couvre quatre volets qui se recoupent rarement dans une seule direction : la traçabilité de la chaîne algorithmique, pour savoir comment une décision automatisée a été produite ; l'auditabilité des systèmes, pour pouvoir remonter le fil en cas d'incident ; la répartition claire des responsabilités entre équipes techniques, juridiques et métiers ; et la surveillance des biais, qui ne sont pas l'apanage de la seule machine puisqu'ils reproduisent souvent des préjugés déjà présents dans les données historiques de l'organisation.

Un phénomène plus discret inquiète davantage les spécialistes de la gouvernance. Une étude relayée par Aivancity montre que 92 % des dirigeants estiment que la vitesse des décisions stratégiques a augmenté ces dernières années, un rythme qui les pousse à s'appuyer toujours plus sur des systèmes d'IA pour éclairer leurs arbitrages. Le risque n'est pas que l'IA décide à la place du dirigeant. Le risque est plus insidieux : une dépendance croissante qui, sans cadre explicite, glisse vers une délégation partielle de la responsabilité décisionnelle à un système dont personne ne questionne plus les recommandations.

Ce glissement n'est pas théorique. Des systèmes de recrutement automatisés ont, par le passé, favorisé certains profils de candidats au détriment d'autres, illustrant comment l'automatisation peut renforcer des déséquilibres existants plutôt que les corriger. Une gouvernance qui n'exige pas d'explication sur le pourquoi d'une recommandation algorithmique s'expose exactement à ce type de dérive, avec un conseil d'administration qui découvre le problème après coup, dans la presse plutôt que dans son propre reporting.

Face à ce constat, deux chercheurs de l'IMD, Didier Cossin et Yukie Saito, décrivent une évolution tangible de la pratique du conseil : « les administrateurs peuvent demander aux systèmes d'IA de créer des scénarios à la demande » (Management & RSE), plutôt que d'attendre une présentation annuelle figée. Cette capacité à explorer rapidement plusieurs futurs possibles change la nature même du travail d'administrateur : moins un rôle de validation a posteriori, davantage un rôle de questionnement continu sur les hypothèses de la direction.

Cela suppose des compétences nouvelles au niveau du conseil. Un administrateur n'a pas besoin de savoir entraîner un modèle, mais il doit être capable de poser les bonnes questions : la direction dispose-t-elle d'un cadre de gouvernance documenté pour l'usage de l'IA ? Comment l'organisation détecte-t-elle un biais avant qu'il ne cause un préjudice ? Qui, concrètement, porte la responsabilité en cas d'incident lié à un système automatisé ? Ces questions, simples en apparence, suffisent souvent à révéler si un conseil supervise réellement le sujet ou se contente d'un rapport de conformité produit une fois par an pour la forme.

Cinq principes reviennent dans les cadres de référence les plus sérieux, notamment celui développé par KPMG avec l'INSEAD. D'abord, superviser l'alignement entre stratégie IA et mission de l'organisation, sans entrer dans le rôle opérationnel du management. Ensuite, interroger les choix technologiques sous l'angle de la souveraineté, de la confidentialité et de la dépendance à un fournisseur unique, des sujets qui dépassent largement la seule performance technique.

Troisième principe, s'assurer qu'un comité ou une instance existante porte explicitement la responsabilité de la supervision, plutôt que de laisser le sujet flotter entre plusieurs directions sans propriétaire clair. Quatrième principe, exiger une cartographie régulière des usages de l'IA dans l'organisation, secteur par secteur, pour visualiser les risques avant qu'ils ne deviennent des incidents. Cinquième et dernier principe, accepter que cette gouvernance évolue aussi vite que la technologie elle-même, ce qui suppose de revoir les dispositifs bien plus souvent qu'un cycle de gouvernance classique ne le prévoit.

La gouvernance d'entreprise à l'ère de l'IA ne consiste donc pas à ajouter une ligne de plus à l'ordre du jour du conseil. Elle suppose de reconnaître que la vitesse de l'exécutif a changé de nature, et que la responsabilité du conseil, elle, ne peut plus se satisfaire d'un rythme trimestriel face à des décisions qui, elles, se prennent parfois en quelques secondes.