Playbook 1 — Démarrer la gouvernance
Décider si — et combien — de gouvernance un usage donné de l'IA exige réellement
La règle de fond : une gouvernance proportionnée
Tous les usages de l’IA n’ont pas besoin d’un comité. Un filtre antispam et un outil de présélection des candidatures ne présentent pas le même risque, et les traiter de la même façon paralyse l’entreprise ou laisse le vrai risque sans contrôle. La règle est simple : plus l’impact sur les personnes est élevé, plus le contrôle doit être strict.
Faites passer chaque nouvel usage de l’IA par le triage en 3 questions ci-dessous avant qu’il ne touche des clients, des employés ou de l’argent.
Le triage en 3 questions
1. Touche-t-il à une décision sensible ?
Recrutement, crédit ou tarification, évaluation de performance, accès à un service, santé ou sécurité. Si oui, c’est au minimum « Élevé » ci-dessous.
2. Traite-t-il des données personnelles ou sensibles ?
Noms, coordonnées, historique financier, données de santé, suivi comportemental. Si oui, le RGPD s’applique quelle que soit la réponse à la Q1 — passez au playbook 3.
3. Agit-il sans qu’un humain ne vérifie d’abord le résultat ?
Envoie un e-mail automatiquement, approuve une transaction automatiquement, rejette une candidature automatiquement. L’autonomie fait monter d’un niveau là où la Q1 et la Q2 vous ont placé.
Les domaines d’impact — à vérifier avant de fixer le niveau
Évaluer le niveau de gouvernance dont un cas d’usage a besoin, c’est le confronter à chacun de ces domaines. Un cas d’usage qui en touche plusieurs n’est pas automatiquement à haut risque ; celui qui n’en touche aucun est un bon candidat à une gouvernance légère.
- Équité — traite-t-il des personnes ou des cas comparables de la même façon ?
- Responsabilité — est-il clair qui répond d’un mauvais résultat ?
- Transparence et explicabilité — pouvez-vous dire pourquoi il a fait ce qu’il a fait ?
- Sécurité et vie privée — quelles données touche-t-il, et comment sont-elles protégées ?
- Sécurité et santé — un résultat erroné pourrait-il causer un dommage physique ou financier ?
- Conséquences financières — pour l’entreprise, ou pour les personnes concernées.
- Accessibilité — tous ceux qui doivent l’utiliser peuvent-ils réellement l’utiliser ?
- Droits humains — expression galvaudée à l’échelle d’une PME, mais qui mérite un temps d’arrêt dès qu’il s’agit de recrutement, de crédit ou d’accès à un service.
Niveaux de risque — version PME
Adaptés du modèle à quatre niveaux de l’EU AI Act, réécrits avec des exemples qu’une PME rencontre réellement plutôt que des cas bancaires ou hospitaliers.
| Niveau | Ce que cela signifie | Exemple en PME |
|---|---|---|
| Minimal | Aucun effet notable sur les personnes ; interne ou à faible enjeu | Filtre antispam, recherche interne, un outil qui résume des notes de réunion |
| Limité | Un effet, mais réversible et à faible enjeu ; généralement, il suffit de le signaler | Génération de textes marketing, un chatbot FAQ, suppression d’arrière-plan sur des photos produit |
| Élevé | Touche à une décision sensible, traite des données sensibles ou agit de façon autonome (selon le triage ci-dessus) | Outil de présélection des candidatures, un moteur de crédit ou de tarification, une notation d’évaluation de performance |
| Inacceptable | Usage manipulatoire, exploiteur ou de type notation sociale — pas quelque chose à atténuer, quelque chose à ne pas construire | Manipulation comportementale dissimulée, collecte biométrique non ciblée, notation sociale d’employés ou de clients |
Avant d’approuver tout nouvel usage de l’IA — liste de contrôle
- J’ai fait le triage en 3 questions et attribué un niveau de risque.
- S’il est Élevé ou Inacceptable, personne ne l’utilise encore en production.
- Je sais si nous le construisons ou l’achetons à un fournisseur (cela change le playbook applicable ensuite).
- J’ai nommé une personne responsable de cet usage de l’IA à l’avenir — pas « l’équipe ».
- Il est consigné dans l’inventaire des systèmes d’IA (playbook 6) — même si la réponse à tout ce qui précède est « risque faible ».
Formulaire d’admission d’un usage de l’IA — une page
Une page, remplie avant approbation. Tirez les réponses directement du triage et de la liste de contrôle ci-dessus :
- Nom de l’usage de l’IA / description en une ligne
- Demandé par / date
- Responsable métier (une personne nommée — pas « l’équipe »)
- Construit en interne ou acheté à un fournisseur
- Réponses au triage : décision sensible ? données personnelles ? action autonome ?
- Niveau de risque qui en résulte
- Types de données concernées
- Prochain(s) playbook(s) à compléter avant la mise en service
- Approbation : nom + date
Étapes suivantes
Niveau = Minimal ou Limité sans données personnelles : consignez-le (playbook 6) et passez à la suite. Niveau = Élevé, ou des données personnelles sont en jeu, ou il est acheté à un fournisseur : passez au playbook 2 (si fourni par un tiers) et au playbook 3 (données et biais) avant la mise en service. Niveau = Inacceptable : arrêtez, ce n’est pas un problème de gouvernance à résoudre, c’est une décision de ne pas l’utiliser.