Episode 164 - Gouvernance de l'IA : pourquoi la conformité RGPD et IA Act ne peut plus être un sujet réservé au DPO

Gouvernance de l'IA en entreprise : pourquoi la conformité RGPD et IA Act ne peut plus être un sujet réservé au DPO

Conformité, RGPD, IA Act : dans beaucoup d'entreprises, ces mots renvoient directement à un service : le juridique, le DPO, parfois la DSI. Un sujet que l'on délègue, que l'on coche, et dont on espère ne plus avoir à s'occuper. C'est justement l'angle mort que j'ai voulu creuser dans ce nouvel épisode de Digital Feeling, avec Leïla Chaudhry, consultante et experte en éthique et IA responsable.

Nous avions déjà co-animé un webinaire ensemble sur ces questions, et la demande de clarification était trop forte pour s'arrêter là. Dans ce 164 ème épisode, Leïla revient sur ce qui distingue une simple mise en conformité d'une véritable gouvernance de l'IA, sur le risque très concret du Shadow IA, et sur les premières jurisprudences qui commencent à dessiner les contours de la responsabilité des entreprises.

Gouvernance de l'IA : une définition

La gouvernance de l'IA en entreprise désigne l'ensemble des règles, rôles et responsabilités permettant de savoir qui fait quoi avec l'intelligence artificielle, dans quel cadre de sécurité, avec quelles limites, et avec quelle auditabilité. Contrairement à une approche de conformité classique, elle repose sur un pilotage collectif et non sur un seul département.

Comme le rappelle Leïla Chaudhry, la gouvernance ne se décrète pas depuis un seul bureau : elle se construit dès qu'une entreprise commence à intégrer des outils liés à l'intelligence artificielle, et elle engage plusieurs fonctions à la fois.

Pourquoi la conformité IA ne peut pas reposer sur un seul service

C'est la première idée forte de cet échange : dès qu'on parle d'IA, les responsabilités s'entremêlent. Il ne s'agit pas d'opposer le juridique, la DSI ou le métier, mais de les faire travailler ensemble au sein d'un même comité de pilotage.

Leïla détaille les rôles qui doivent, selon elle, être représentés autour de la table :

• Le métier / business owner, qui prend la décision et engage l'entreprise vis-à-vis de ses clients
• L'IT, qui évalue l'architecture et la performance de la solution
• La sécurité, qui contrôle les risques cyber sur la durée de vie du système
• Le juridique et la conformité, qui posent le cadre, définissent les usages autorisés et veillent au respect des obligations
• Le DPO, sur les questions de données personnelles et d'anonymisation

L'objectif : construire une gouvernance suffisamment robuste pour que les responsabilités soient claires et partagées, plutôt que diluées.

L'erreur la plus fréquente : se renvoyer la balle

Sur le terrain, l'erreur qu'elle observe le plus souvent chez ses clients n'est pas un manque de bonne volonté, mais un jeu de ping-pong organisationnel : l'IT qui dit que ce n'est pas son ressort, le métier qui renvoie vers la sécurité ou le juridique, et personne qui n'avance vraiment. Résultat : l'innovation attend, les projets prennent du retard, et l'absence de cadre clair finit par exposer l'entreprise à un non-respect des réglementations.

Cette gouvernance n'a d'ailleurs pas besoin d'être lourde ou ultra-formalisée pour être efficace. Ce que décrit Leïla ressemble davantage à un espace de dialogue régulier entre profils non techniques et techniques, chacun apportant sa brique : le juridique pose le cadre, le métier exprime le besoin, l'IT évalue la faisabilité, le DPO signale les points d'anonymisation nécessaires.

Le Shadow IA : le risque que la RGPD n'avait pas anticipé

Deuxième sujet central de l'épisode, et sans doute le plus concret pour beaucoup d'entreprises : le Shadow IA. On connaît le Shadow IT depuis longtemps ; le Shadow IA en est le prolongement direct, à une différence près : la vitesse à laquelle il se répand.

Le Shadow IA désigne l'usage, par des collaborateurs, d'outils d'intelligence artificielle non validés par l'entreprise (souvent des LLM grand public gratuits) pour traiter des données professionnelles, parfois personnelles, confidentielles ou stratégiques.

Un chiffre partagé par Leïla lors de notre précédent webinaire donne la mesure du problème : près de 70 % des entreprises auraient déjà été concernées par du Shadow IA, sans même en avoir conscience.

Le mécanisme est souvent le même : une entreprise peut interdire l'accès à certains outils sur les postes de travail professionnels, mais rien n'empêche un collaborateur d'utiliser son smartphone personnel pour poser une question, rédiger un email, ou transmettre des informations client : noms, données personnelles, parfois des éléments confidentiels comme un brevet ou un futur modèle de véhicule pas encore annoncé.

Pourquoi les dirigeants sous-estiment ce risque

Leïla identifie plusieurs biais récurrents chez les dirigeants :

1. Le biais de la fausse sécurité : penser que les données de l'entreprise sont bien protégées, alors qu'elles transitent par des outils grand public sans consentement ni cadre.
2. Le biais de la taille : se dire que la CNIL cible surtout les grands groupes (Google, Amazon) et que les sanctions record ne concernent pas les PME.
3. Le calcul de risque à court terme : préférer encaisser une éventuelle amende plutôt que d'investir dans la formation ou l'accompagnement, sans intégrer le coût réel d'un contrôle.

Or, comme le rappelle Leïla, la réglementation s'applique à toutes les entreprises, quelle que soit leur taille. Une sanction proportionnelle au chiffre d'affaires reste un choc financier, même pour une structure modeste.

Comment limiter le Shadow IA sans bloquer l'innovation

Interdire ne suffit pas : dans les faits, un employeur ne peut pas emp