Pourquoi la gouvernance de l'IA est une affaire de conseil d'administration, et pas seulement de direction

Le passage de la gouvernance de l'IA d'une responsabilité opérationnelle à une responsabilité relevant du conseil d'administration est impulsé par les régulateurs du monde entier, et les attentes sont désormais explicites et vérifiables. En Australie, la lettre du 30 avril 2026 de l'Australian Prudential Regulation Authority (APRA) à l'industrie a indiqué directement que les conseils d'administration développent encore la culture technique nécessaire pour exercer un contrôle efficace sur les risques liés à l'IA, et que l'exigence minimale de l'APRA est que les conseils disposent d'une culture de l'IA suffisante pour définir une orientation stratégique et exercer un contrôle et une surveillance réels. Dans l'Union européenne, l'AI Act élève la gouvernance de l'IA au rang de responsabilité du conseil d'administration. L'Australian Institute of Company Directors (AICD), dans son Director's Guide to AI Governance élaboré avec le Human Technology Institute de l'UTS, présente la gouvernance de l'IA comme une responsabilité de gouvernance fondamentale exigeant la même surveillance structurée que la gouvernance financière et la gestion des risques.

Le fondement juridique réside dans le droit existant relatif aux devoirs des administrateurs. En Australie, l'article 180 du Corporations Act 2001 exige des administrateurs qu'ils agissent avec la prudence et la diligence dont ferait preuve une personne raisonnable occupant cette fonction. Un administrateur qui approuve, ou ne remet pas en question, un déploiement significatif de l'IA sans en comprendre les risques, le cadre de gouvernance ou les obligations réglementaires, s'expose à un manquement à ce devoir. Le même principe s'applique en vertu de l'article 174 du Companies Act 2006 britannique, du droit des sociétés du Delaware aux États-Unis, et de dispositions équivalentes dans la plupart des juridictions.

Ce que les conseils d'administration doivent savoir et faire, juridiction par juridiction

Australie. Les entités réglementées par l'APRA (banques, assureurs, fonds de pension) font face aux attentes publiées les plus précises. La lettre d'avril 2026 de l'APRA exige des conseils d'administration qu'ils : définissent l'orientation stratégique de l'IA ; exercent un contrôle efficace de la direction sur les risques liés à l'IA ; maintiennent une culture de l'IA suffisante pour le faire indépendamment des présentations des fournisseurs ; approuvent les cadres de gouvernance et l'appétence au risque en matière d'IA ; veillent à l'existence d'un inventaire de l'IA ; exigent une implication humaine dans les décisions relatives à l'IA à haut risque ; et reçoivent un reporting régulier sur les risques liés à l'IA. La lettre ouverte de l'ASIC (Australian Securities and Investments Commission) du 8 mai 2026 fixe des attentes équivalentes pour tous les titulaires de licence de services financiers : les conseils d'administration et les cadres dirigeants doivent comprendre la position de leur organisation, poser les bonnes questions et confirmer que les mesures de cyber-résilience sont proportionnées. Le rapport REP 798 de l'ASIC d'octobre 2024 (« Beware the Gap ») a conclu que les dispositifs de gouvernance de l'IA dans le secteur des services financiers étaient insuffisants, même avant que l'IA agentique ne devienne significative.

Pour les sociétés cotées à l'ASX, un risque lié à l'IA significatif pour la performance financière ou présentant un risque réputationnel déclenche des obligations d'information continue au titre de la règle 3.1 de cotation de l'ASX. Les administrateurs engagent leur responsabilité personnelle en cas de manquement à ces obligations d'information.

Union européenne. L'AI Act de l'UE (règlement 2024/1689) rend les déployeurs de systèmes d'IA à haut risque responsables, au niveau organisationnel, de la conformité. L'ensemble des exigences applicables aux systèmes d'IA à haut risque de l'annexe III, couvrant l'emploi, le crédit, la biométrie, l'éducation, les forces de l'ordre, les infrastructures critiques et les services essentiels, s'applique à partir du 2 décembre 2027. L'obligation de transparence de l'article 50 (l'obligation d'indiquer qu'un système est une IA) s'applique à partir du 2 août 2026. Les déployeurs d'IA à haut risque doivent désigner une personne responsable, mener des analyses d'impact sur les droits fondamentaux (Fundamental Rights Impact Assessments, FRIA), tenir des journaux, mettre en œuvre une surveillance humaine et signaler les incidents graves. Les conseils d'administration ne peuvent déléguer ces obligations à la direction sans conserver la responsabilité de la surveillance.

Royaume-Uni. L'approche sectorielle du Royaume-Uni signifie que les obligations des conseils d'administration découlent des régulateurs sectoriels. La Financial Conduct Authority attend des conseils d'administration des entreprises agréées par la FCA qu'ils supervisent les risques liés à l'IA dans le cadre de leurs obligations de Consumer Duty et de résilience opérationnelle. L'ICO a publié des orientations spécifiques sur l'IA à l'intention des organisations traitant des données personnelles au moyen de systèmes d'IA, incluant la responsabilité du conseil d'administration en matière de protection des données dès la conception. Le futur AI Opportunities Action Plan et toute future législation sur l'IA viendront s'ajouter à ces obligations existantes.

États-Unis. Les attentes au niveau fédéral et au niveau des États varient selon les secteurs. Le NIST AI Risk Management Framework est d'application volontaire au niveau fédéral, mais il est cité dans des actions coercitives et des orientations sectorielles. Au niveau des États, l'AI Act du Colorado (le SB 24-205 initial, abrogé et remplacé par le SB 189, en vigueur au 1er janvier 2027), le Texas Responsible AI Governance Act (TRAIGA) et d'autres lois d'État sur l'IA prévoient des obligations pour les déployeurs, que les conseils d'administration des entreprises opérant dans ces États doivent comprendre et dont ils doivent assurer le respect.

Les huit questions auxquelles tout conseil d'administration devrait pouvoir répondre

Le Director's Guide to AI Governance de l'AICD et la lettre d'avril 2026 de l'APRA identifient ensemble un socle de questions auxquelles les membres du conseil d'administration devraient être en mesure de répondre, non pas en tant qu'experts technologiques, mais en tant que responsables de la gouvernance chargés de la redevabilité de l'organisation :

1. Quels systèmes d'IA notre organisation utilise-t-elle dans des processus métier significatifs, et qui est responsable de chacun d'entre eux ? (La question de l'inventaire de l'IA ; l'APRA a constaté son absence dans plusieurs entités.)

2. Quelle est notre appétence au risque en matière d'IA approuvée par le conseil, et comment la direction en rend-elle compte ?

3. Lesquels de nos systèmes d'IA pourraient être qualifiés de systèmes à haut risque au regard de la réglementation applicable (annexe III de l'AI Act de l'UE, lois des États américains, cadre de matérialité de l'APRA), et quel programme de conformité s'applique à chacun ?

4. Comment gérons-nous le risque lié aux fournisseurs d'IA, y compris les dépendances vis-à-vis de quatrièmes parties, dans le cadre de nos dispositifs de gestion des risques liés aux tiers et d'approvisionnement ?

5. Quel est notre processus d'identification des incidents liés à l'IA, d'escalade et, le cas échéant, de notification aux régulateurs ?

6. Notre conseil d'administration reçoit-il un reporting régulier et indépendant (n'émanant pas des fournisseurs) sur les risques liés à l'IA, et disposons-nous de la culture nécessaire pour le remettre en question ?

7. Si l'un de nos systèmes d'IA significatifs venait à défaillir ou à produire des erreurs systématiques à grande échelle, pourrions-nous l'arrêter, en annuler les effets et poursuivre notre activité ? (La question de la résilience opérationnelle.)

8. Comment développons-nous la culture de l'IA au niveau du conseil d'administration, au moyen d'une formation indépendante des fournisseurs et de la direction ?

À quoi ressemble, en pratique, une bonne gouvernance de l'IA au niveau du conseil d'administration

Compte tenu des attentes réglementaires observées dans l'ensemble des juridictions, une gouvernance efficace de l'IA au niveau du conseil d'administration comporte quatre composantes pratiques. Premièrement, un cadre de gouvernance de l'IA approuvé par le conseil, non pas un document technique mais un instrument de gouvernance définissant l'appétence au risque, la structure de responsabilité, les mécanismes de surveillance et les voies d'escalade. Deuxièmement, un reporting régulier des risques liés à l'IA au conseil, indépendant des unités opérationnelles qui déploient l'IA, couvrant l'inventaire de l'IA, le pipeline des incidents, l'état de la conformité réglementaire et les risques émergents. Troisièmement, une culture de l'IA entretenue au niveau du conseil au moyen d'une formation indépendante plutôt que de présentations des fournisseurs ; les administrateurs n'ont pas besoin de comprendre le fonctionnement d'un modèle transformer, mais doivent comprendre ce qui peut mal tourner, ce qu'attend le régulateur et quelles questions poser. Quatrièmement, une responsabilité claire au niveau exécutif, avec un cadre dirigeant désigné (généralement le directeur des risques (CRO), le directeur technique (CTO) ou le responsable de la sécurité des systèmes d'information (RSSI), selon l'organisation) personnellement responsable du programme de gestion des risques liés à l'IA et qui rend compte directement au conseil d'administration.

Pour aller plus loin

Pour aller plus loin : Gouvernance d'entreprise de l'OCDE