Gouvernance des données et gouvernance de l'IA, pourquoi les deux sont nécessaires et comment elles interagissent

La gouvernance des données et la gouvernance de l'IA sont des disciplines liées mais distinctes, qui traitent des risques différents et exigent des structures de responsabilité différentes. Les confondre, ou traiter la gouvernance de l'IA comme un sous-ensemble de la gouvernance des données, laisse des lacunes importantes que les régulateurs et les auditeurs identifieront.

La gouvernance des données porte sur la gestion des actifs de données tout au long de leur cycle de vie : la manière dont les données sont collectées, classifiées, stockées, consultées, utilisées, conservées et éliminées. Un programme de gouvernance des données mature comprend un dictionnaire de données, des responsabilités de propriété et d'intendance des données, des normes de qualité des données, des contrôles d'accès, ainsi que des calendriers de conservation et d'élimination alignés sur les obligations légales. La gouvernance des données s'applique à toutes les données, et pas seulement à celles utilisées dans les systèmes d'IA.

La gouvernance de l'IA traite des risques spécifiques introduits lorsque des systèmes d'IA utilisent des données pour prendre des décisions ou les éclairer. Elle couvre les données en entrée des systèmes d'IA (données d'entraînement, données d'inférence), les modèles eux-mêmes (conception, entraînement, validation, évaluation des biais, surveillance après mise sur le marché), les décisions produites par les systèmes d'IA (exactitude, équité, explicabilité, supervision humaine) et la responsabilité organisationnelle de ces décisions (qui est responsable lorsqu'un système d'IA cause un préjudice). La gouvernance de l'IA applique un ensemble de contrôles et de structures de responsabilité qui n'ont pas d'équivalent dans la gouvernance des données : la gestion du risque de modèle, l'audit algorithmique, la réponse aux incidents propres à l'IA et la conformité réglementaire aux législations spécifiques à l'IA.

La relation entre les deux : une bonne gouvernance des données est un prérequis d'une bonne gouvernance de l'IA, car la qualité des résultats produits par l'IA dépend directement de la qualité des données en entrée. Mais la gouvernance des données ne remplace pas la gouvernance de l'IA. Une organisation dotée d'une gouvernance des données mature qui n'a pas traité les risques propres à l'IA, biais des modèles, hallucinations, prise de décision autonome, responsabilité des fournisseurs d'IA, présente une exposition non maîtrisée significative.

Ce que la gouvernance de l'IA exige de la gouvernance des données

Les systèmes d'IA imposent à l'infrastructure de gouvernance des données des exigences spécifiques que les organisations doivent traiter à mesure que l'adoption de l'IA progresse :

Qualité et traçabilité des données d'entraînement. L'exactitude et l'équité d'un modèle d'IA dépendent de la qualité des données sur lesquelles il a été entraîné. La gouvernance des données doit s'étendre aux jeux de données d'entraînement : documenter d'où proviennent les données d'entraînement, quels groupes démographiques y sont représentés (et sous-représentés), comment elles ont été nettoyées et préparées, et quels contrôles de qualité ont été appliqués. Les exigences de gouvernance des données du règlement européen sur l'IA (AI Act) pour les systèmes d'IA à haut risque (article 10) imposent que les jeux de données d'entraînement, de validation et de test soient pertinents, suffisamment représentatifs et aussi exempts d'erreurs que possible au regard de la destination prévue. Ces exigences ne peuvent pas être satisfaites sans une infrastructure de gouvernance des données sous-jacente.

Données d'inférence et protection de la vie privée. Les données transmises à un système d'IA lors de l'inférence, c'est-à-dire les entrées qui déterminent les résultats du système, sont soumises aux mêmes obligations de protection de la vie privée que les autres données personnelles. Si des informations personnelles figurent dans les prompts envoyés à un modèle d'IA (qu'il soit déployé en interne ou via l'API d'un fournisseur), elles doivent être traitées conformément au Privacy Act 1988 (Australie), au RGPD (UE) ou à toute autre législation applicable en matière de protection de la vie privée. Cela implique de garantir un consentement approprié ou une base légitime pour le traitement, de mettre en œuvre la minimisation des données et de s'assurer que les pratiques de traitement des données du fournisseur satisfont aux obligations contractuelles et réglementaires de l'organisation.

Transparence de la prise de décision automatisée. Le Privacy and Other Legislation Amendment Act 2024 australien a introduit des obligations de transparence en matière de prise de décision automatisée (ADM, automated decision-making) applicables à compter du 10 décembre 2026. Les entités soumises aux APP (Australian Privacy Principles) devront inclure dans leur politique de confidentialité des informations sur les types de renseignements personnels utilisés dans des décisions substantiellement automatisées ayant un effet juridique, ou un effet significatif similaire, sur les personnes. Le respect de cette obligation exige une infrastructure de gouvernance des données permettant de suivre quelles informations personnelles sont utilisées dans quels processus de décision assistés par l'IA.

Accès aux données et moindre privilège pour les systèmes d'IA. Les systèmes d'IA, en particulier l'IA agentique capable d'accéder aux données et d'agir sur elles de manière autonome, doivent être soumis aux mêmes contrôles d'accès que les utilisateurs humains. La lettre d'avril 2026 de l'APRA (Australian Prudential Regulation Authority, l'autorité australienne de régulation prudentielle) a relevé que la gestion des identités et des accès ne s'est pas encore adaptée aux acteurs non humains tels que les agents d'IA. Les cadres de gouvernance des données doivent être étendus pour couvrir les identités des systèmes d'IA : limiter l'accès aux seules données nécessaires à la fonction concernée, journaliser les accès de l'IA aux données et mettre en place des capacités de révocation.

Construire une gouvernance intégrée des données et de l'IA

L'approche la plus efficace consiste à traiter la gouvernance des données et la gouvernance de l'IA comme des programmes intégrés mais distincts, dotés d'une infrastructure partagée et d'une responsabilité coordonnée :

Au niveau de la couche données, l'infrastructure de gouvernance des données existante, catalogue de données, contrôles de qualité des données, gestion des accès, calendriers de conservation, doit être étendue pour couvrir explicitement les cas d'usage de l'IA. Cela suppose d'étiqueter les actifs de données selon leur usage par l'IA (utilisés pour l'entraînement, utilisés pour l'inférence), d'ajouter des exigences de qualité des données propres à l'IA et d'étendre la gestion des accès aux identités des systèmes d'IA.

Au niveau de la couche IA, la gouvernance de l'IA ajoute la responsabilité propre aux modèles que la gouvernance des données ne peut pas fournir : gestion du risque de modèle (validation des modèles, évaluation des biais, suivi des performances), réponse aux incidents d'IA, diligence raisonnable vis-à-vis des fournisseurs d'IA et conformité réglementaire aux obligations spécifiques à l'IA. Ces éléments exigent des structures de responsabilité, généralement un comité des risques de modèle ou un comité de gouvernance de l'IA, avec une représentation des fonctions juridique, risques, technologie et métiers.

Le point d'intégration clé est l'inventaire des systèmes d'IA : un registre de tous les systèmes d'IA en service, des données utilisées par chaque système, des décisions influencées par chaque système et du responsable désigné pour chacun. Cet inventaire sert à la fois la gouvernance des données (comprendre quelles données sont utilisées dans quels systèmes d'IA) et la gouvernance de l'IA (comprendre quels systèmes d'IA nécessitent une supervision). L'APRA attend des entités régulées qu'elles tiennent un tel inventaire, et son absence a constitué un constat lors de l'engagement de supervision d'avril 2026.

Du point de vue de la conformité réglementaire, les cadres qui exigent des capacités de gouvernance des données au titre de la conformité en matière d'IA comprennent : le règlement européen sur l'IA (exigences de gouvernance des données de l'article 10 pour l'IA à haut risque) ; l'obligation de transparence ADM du Privacy Act australien (décembre 2026) ; les exigences de gestion du risque opérationnel de la norme CPS 230 relatives à la qualité des données dans les opérations critiques ; et le NIST AI Risk Management Framework (cadre de gestion des risques de l'IA du NIST, qui traite la qualité des données comme une dimension essentielle de la fiabilité de l'IA au titre des fonctions Map et Measure).

Lectures associées

Pour aller plus loin : ISO/IEC 42001