gouvernance IA

En profondeur

Une gouvernance utile répond à quatre questions récurrentes, et sa qualité tient à ce que ces réponses existent avant qu’on en ait besoin. Qui peut décider d’ouvrir un usage nouveau, et jusqu’à quel niveau d’enjeu. Sur quelles catégories de données un usage peut s’appuyer, sachant qu’un raisonnement par catégorie survit aux outils alors qu’une liste d’outils autorisés est périmée dès la publication. Quelle vérification s’impose avant qu’un résultat sorte de l’organisation ou touche une personne. Et qui répond quand cela se passe mal, ce qui suppose que quelqu’un ait été nommé plutôt que désigné après coup.

Les mécanismes qui font tenir l’ensemble sont peu nombreux et se renforcent mutuellement. Le premier est un inventaire des usages réels, qui n’existe que si déclarer coûte moins cher que contourner : c’est une propriété du circuit, pas de la bonne volonté des équipes. Le deuxième est la proportionnalité, c’est-à-dire des niveaux d’exigence indexés sur la conséquence, faute de quoi la règle unique est soit inapplicable, soit inutile. Le troisième est la trace, qui rend une décision reconstituable quand elle est contestée, des mois plus tard, par quelqu’un qui n’était pas là. Le quatrième est la mesure, car un usage se juge sur des résultats observés plutôt que sur des impressions, et une gouvernance sans évaluation reste une opinion bien rangée.

Trois modes d’échec reviennent. Le premier est la gouvernance écrite pour l’auditeur plutôt que pour celui qui travaille : elle produit des documents exacts et des pratiques inchangées. Le deuxième est le comité qui ne décide rien, faute de mandat ou faute de compréhension technique suffisante pour trancher, et qui renvoie les arbitrages à des équipes qui n’ont pas l’autorité pour les rendre. Le troisième est la confusion entre valider un outil et valider un usage : l’approbation d’un logiciel ne dit rien de ce qu’on lui confie, ce qui laisse passer les emplois les plus sensibles sous couvert d’un accord ancien. Ce que la gouvernance cherche à obtenir se résume assez bien : que l’organisation puisse dire ce qu’elle fait, pourquoi, et sur quelle base, ce qui recoupe largement ce que la réglementation attend sans se confondre avec elle.