Comprendre la gouvernance de l’IA

La gouvernance de l’IA est le tissu de lois, de normes, d’institutions et d’usages qui détermine comment l’IA peut être conçue et utilisée, et qui doit rendre des comptes lorsque les choses tournent mal. Cet article cartographie les principaux instruments et acteurs, et montre ce qu’ils impliquent pour une école, un hôpital ou une mairie.

Quatre niveaux plutôt qu’une loi unique

On se représente souvent la gouvernance comme une loi unique. Dans la pratique, elle repose sur plusieurs niveaux qui se renforcent mutuellement, et une lacune à un niveau est généralement comblée, bien ou mal, par un autre.

• Le droit contraignant : des obligations assorties de sanctions, comme le règlement européen sur l’IA (AI Act) ou le droit de la protection des données.
• Les normes et les cadres de référence : des méthodes communes qui traduisent les obligations légales en pratiques vérifiables.
• Les institutions : régulateurs, organes de contrôle et tribunaux qui interprètent, surveillent et font appliquer les règles.
• Les usages : l’éthique professionnelle, les politiques internes et les attentes du public, qui façonnent les comportements avant qu’aucun inspecteur ne se présente.

Le droit contraignant : le règlement européen sur l’IA et les textes voisins

Le règlement européen sur l’IA (AI Act), règlement (UE) 2024/1689, en vigueur depuis le 1er août 2024, est le premier cadre juridique contraignant et complet consacré à l’IA ; il s’applique par étapes, selon le niveau de risque. Un petit nombre de pratiques sont interdites depuis le 2 février 2025, et les fournisseurs de modèles d’IA à usage général sont soumis à des obligations qui leur sont propres depuis le 2 août 2025. Les systèmes utilisés à des fins énumérées par le règlement, dans des domaines tels que l’emploi, l’éducation, la notation de crédit, les prestations sociales et les activités répressives, sont à haut risque et doivent satisfaire à des exigences de gestion des risques, de qualité des données, de documentation, de supervision humaine et de robustesse. Ces exigences devaient s’appliquer à partir du 2 août 2026, et à partir du 2 août 2027 pour l’IA à haut risque intégrée dans des produits déjà couverts par la législation européenne sur les produits, comme les dispositifs médicaux ; en juillet 2026, un règlement modificatif, le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, les a reportées respectivement au 2 décembre 2027 et au 2 août 2028.

L’article 22 du RGPD ajoute le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques ou des effets significatifs similaires, assorti d’exceptions et de garanties telles que l’intervention humaine. Au-delà de l’UE, la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, ouverte à la signature en septembre 2024, est le premier traité international juridiquement contraignant sur l’IA ; elle engage les États qui la ratifient à protéger les droits de l’homme, la démocratie et l’État de droit.

Les normes : transformer les obligations en preuves

Les lois énoncent le plus souvent des résultats, non des méthodes ; les normes traduisent une obligation telle que la gestion des risques en tests, en registres et en preuves. ISO/IEC 42001 (2023) est une norme de système de management appliquée à l’IA : l’organisation définit des politiques, attribue des rôles, évalue les risques et s’améliore en continu. Le NIST AI Risk Management Framework 1.0 (janvier 2023) est un cadre américain d’application volontaire, articulé autour de quatre fonctions : gouverner, cartographier, mesurer et gérer. Dans l’UE, les normes harmonisées élaborées à la demande de la Commission confèrent aux fournisseurs une présomption de conformité une fois publiées au Journal officiel, et le code de bonnes pratiques pour l’IA à usage général (2025), élaboré avec l’appui du Bureau européen de l’IA, offre aux fournisseurs de modèles une voie comparable pour démontrer leur conformité.

Détecter les biais d’un modèle de recrutement ou de crédit, par exemple, exige généralement des attributs sensibles comme l’origine ethnique ou l’état de santé. L’article 4a du règlement sur l’IA, ajouté en 2026, n’autorise le traitement de ces données à des fins de détection et de correction des biais que moyennant des garanties, et seulement lorsque des données synthétiques ou anonymisées ne suffiraient pas. Le rapport technique de la Fondation sur la détection des biais au titre de l’article 4a du règlement européen sur l’IA examine dans quels cas des données synthétiques, anonymisées ou à confidentialité différentielle suffisent, et où elles atteignent leurs limites.

Les institutions : qui interprète, surveille et fait appliquer les règles

Dans l’UE, le Bureau de l’IA, rattaché à la Commission européenne, surveille les modèles d’IA à usage général et coordonne la mise en œuvre ; les autorités nationales de surveillance du marché contrôlent les systèmes à haut risque ; les organismes notifiés vérifient certains systèmes à haut risque avant leur mise sur le marché ; les autorités de protection des données font appliquer le RGPD ; les tribunaux tranchent les litiges.

Les institutions internationales coordonnent davantage qu’elles ne contraignent. Les Principes de l’OCDE sur l’IA (2019, mis à jour en 2024) ont été la première norme intergouvernementale sur l’IA, et la Recommandation de l’UNESCO sur l’éthique de l’intelligence artificielle (2021) a élargi ce consensus. Les sommets sur l’IA de Bletchley Park (2023) et de Séoul (2024) ont réuni gouvernements et développeurs autour des risques liés aux modèles de pointe, et plusieurs pays ont créé des instituts de sécurité de l’IA. Le Sommet pour l’action sur l’IA de Paris (2025) a ensuite mis l’accent sur une IA inclusive et durable. Aucune de ces instances ne peut infliger d’amende à une entreprise ; elles agissent au moyen d’engagements, de la pression des pairs et d’un travail technique préparatoire qui peut ensuite alimenter la législation.

Les arbitrages auxquels aucun cadre n’échappe

Toute architecture de gouvernance arbitre entre des objectifs concurrents. Des règles détaillées apportent des certitudes mais vieillissent vite ; des principes généraux s’adaptent mais laissent les organisations dans l’incertitude. Les contrôles avant mise sur le marché détectent les problèmes tôt, mais prennent du temps et tendent à favoriser les grandes entreprises ; la responsabilité après dommage coûte moins cher au départ, mais ne répare les dégâts que tardivement. Au titre du règlement sur l’IA, la plupart des obligations pèsent sur les fournisseurs, mais les déployeurs doivent tout de même utiliser le système conformément à sa notice d’utilisation, confier la supervision humaine à du personnel formé et le surveiller pendant son utilisation, souvent avec de petites équipes.

Une mairie qui utilise un outil de notation pour classer les demandes de prestations sociales agit dans un domaine que le règlement sur l’IA considère comme à haut risque ; si les décisions sont prises sans intervention humaine significative, l’article 22 du RGPD s’applique déjà. Un hôpital qui achète un logiciel de diagnostic constituant lui-même un dispositif médical, ou intégré à un tel dispositif, relève de la période de transition plus longue, jusqu’en 2028, parce que le dispositif est déjà soumis aux règles européennes sur les produits. Une école qui adopte un service de tutorat fondé sur l’IA est généralement un déployeur, et non un fournisseur, ce qui change ses obligations et les questions qu’elle doit poser à son prestataire.

Ce qu’il faut en retenir

Pour quiconque achète, développe ou supervise un système d’IA, la gouvernance se résume pour l’essentiel à trois points.

• Le rôle : savoir si l’organisation est fournisseur, déployeur, ou les deux.
• La catégorie de risque : laquelle s’applique, et quelles obligations en découlent.
• Les preuves : ce que l’organisation pourrait montrer demain pour prouver que le système fonctionne comme annoncé.

Consigner ces réponses par écrit et les réexaminer à mesure que les règles évoluent est une habitude que toute organisation peut prendre dès maintenant. La Fondation étudie la manière dont le règlement européen sur l’IA fonctionne dans la pratique et les preuves techniques qu’il exige des fournisseurs, et publie ses conclusions dans la rubrique Research & Insights.

En bref

La gouvernance de l’IA est le tissu de lois, de normes, d’institutions et d’usages qui détermine comment l’IA peut être conçue et utilisée, et qui doit rendre des comptes lorsque les choses tournent mal. Elle repose sur quatre niveaux : le droit contraignant, comme le règlement européen sur l’IA, les normes et cadres de référence, les institutions, comme les régulateurs et les tribunaux, et les usages, comme l’éthique professionnelle.

Questions fréquentes

Qu’est-ce que le règlement européen sur l’IA et quand s’applique-t-il ?

Le règlement européen sur l’IA, le règlement (UE) 2024/1689, est la première loi contraignante complète sur l’IA et il est en vigueur depuis le 1er août 2024. Il s’applique par étapes selon le niveau de risque. Un petit nombre de pratiques sont interdites depuis le 2 février 2025, et les fournisseurs de modèles d’IA à usage général ont leurs propres obligations depuis le 2 août 2025.

L’UE a-t-elle reporté les exigences applicables aux systèmes à haut risque ?

Oui. Les exigences applicables aux systèmes à haut risque devaient s’appliquer à partir du 2 août 2026, et du 2 août 2027 pour l’IA à haut risque intégrée à des produits déjà couverts par la législation européenne sur les produits, comme les dispositifs médicaux. En juillet 2026, l’omnibus numérique sur l’IA (règlement (UE) 2026/1744) les a reportées au 2 décembre 2027 et au 2 août 2028 respectivement.

Quelle est la différence entre l’ISO/IEC 42001 et le cadre de gestion des risques liés à l’IA du NIST ?

L’ISO/IEC 42001 (2023) est une norme de système de management de l’IA, dans laquelle une organisation définit des politiques, attribue des rôles, évalue les risques et s’améliore en continu. Le cadre de gestion des risques liés à l’IA du NIST (AI Risk Management Framework 1.0, janvier 2023) est un cadre américain volontaire construit autour de quatre fonctions : gouverner, cartographier, mesurer et gérer.

Qui fait appliquer les règles sur l’IA dans l’UE ?

Dans l’UE, le Bureau européen de l’IA, au sein de la Commission européenne, supervise les modèles d’IA à usage général et coordonne la mise en œuvre. Les autorités nationales de surveillance du marché contrôlent les systèmes à haut risque, les organismes notifiés vérifient certains de ces systèmes avant leur mise sur le marché, les autorités de protection des données font respecter le RGPD et les tribunaux tranchent les litiges.

Une école qui utilise un service de tutorat par IA est-elle fournisseur ou déployeur ?

Une école qui adopte un service de tutorat par IA est en général déployeur et non fournisseur, ce qui change ses obligations et ce qu’elle doit demander à son prestataire. Selon le règlement sur l’IA, la plupart des obligations incombent aux fournisseurs, mais les déployeurs doivent tout de même utiliser le système conformément à sa notice, confier la supervision humaine à du personnel formé et le surveiller pendant son usage.

Comment citer Fondation LASTHUMAN. (2026, 12 août). Comprendre la gouvernance de l’IA. https://lasthuman.today/fr/insights/ai-governance-explained.html