Gouvernance de l’IA : pourquoi les conseils d’administration doivent agir

…

Le budget est approuvé au printemps. Lorsque la réunion stratégique arrive, l’intelligence artificielle figure sur presque toutes les diapositives : plan de croissance, objectifs de productivité, évaluation des menaces concurrentielles, demande de financement. Le conseil l’approuve, car l’alternative, prendre du retard, semble pire. Puis, vers la fin de la réunion, un administrateur pose une question simple : « Alors, qui en est réellement responsable ? »

Et le silence s’installe.

Ce silence révèle le retard en matière de gouvernance de l’IA, dans lequel se trouvent aujourd’hui la plupart des conseils d’administration des grandes entreprises. Ils ont financé l’IA. Ils ont validé la stratégie qui en dépend. Mais ils n’ont pas encore décidé clairement, ni officiellement, qui en est responsable, où se situe la supervision et ce que signifie concrètement une utilisation « responsable ». Pendant un certain temps, cette situation pouvait être tolérée. Ce n’est plus le cas. Il n’est plus possible de repousser la décision.

Pourquoi il n’est plus possible de reporter la décision

Pendant quelques années, les conseils pouvaient considérer l’IA comme un sujet opérationnel, que la direction devait expérimenter avant de revenir présenter ses conclusions. Cette position pouvait se comprendre lorsque l’IA se limitait à quelques expérimentations en marge de l’entreprise. Elle n’a plus de sens dès lors que l’IA est intégrée à la stratégie que le conseil est chargé de superviser.

Les administrateurs ressentent eux-mêmes cette évolution. Soixante-quinze pour cent des administrateurs d’entreprise déclarent que leurs rôles et responsabilités s’élargissent, et l’expertise numérique a désormais dépassé la planification stratégique et l’expertise financière comme compétence la plus recherchée au sein des conseils. Relisez cette phrase : pour la première fois, on demande aux conseils d’apporter avant tout une véritable compréhension des technologies, devant les deux disciplines qui ont défini le travail des conseils pendant une génération.

Pourtant, seuls 24 % des administrateurs de sociétés privées se déclarent satisfaits de la compréhension qu’a leur conseil des risques liés à l’IA générative. Ce n’est pas un simple manque de connaissances auquel une présentation de la direction pourrait remédier. C’est un problème de gouvernance que le conseil doit prendre en charge, car l’écart se situe au sein même de l’organe responsable de la supervision.

Voici ce qui rend le report réellement dangereux, et pas seulement inconfortable : l’IA est déjà réglementée. Les conseils qui considèrent l’IA comme un territoire sans règles, qu’ils peuvent attendre avant d’explorer, se méprennent sur la réalité.

Le mythe du territoire inexploré

L’erreur la plus courante que j’observe au niveau des conseils est de supposer que, puisqu’il n’existe pas de loi unique et exhaustive sur l’IA, aucune règle ne s’applique encore. C’est l’inverse qui est vrai. Le droit existant encadre l’IA de toutes parts :

• Le droit de la protection des données encadre les données que vos systèmes d’IA utilisent, comme l’explique cet article sur la gouvernance de l’information et les risques liés aux données.
• Le droit de la propriété intellectuelle encadre les données sur lesquelles les modèles sont entraînés et détermine à qui appartiennent les résultats produits.
• Le droit de la consommation interdit de surestimer les capacités réelles d’un outil.
• Le droit boursier impose une communication exacte et cohérente sur la manière dont l’entreprise utilise l’IA et sur les risques associés.
• Le droit de la non-discrimination s’applique dès que l’IA intervient dans des décisions de recrutement, de crédit ou de logement.
• La responsabilité du fait des produits peut être engagée lorsqu’un produit intégrant de l’IA cause un dommage.

Le régime spécifiquement consacré à l’IA est la partie qui continue de se construire : aux États-Unis, il n’existe pas encore de loi fédérale exhaustive ; l’AI Act européen a été le premier à avancer ; les États américains légifèrent par secteurs ; et des cadres comme le NIST AI Risk Management Framework et les principes de l’OCDE sur l’IA deviennent des références communes. Cette mosaïque réglementaire explique précisément pourquoi les conseils ne peuvent pas déléguer leur jugement à une stratégie d’attente. Le droit qui s’applique déjà suffit à créer une exposition réelle, et les nouvelles règles n’attendront pas que votre conseil soit parfaitement à l’aise avec le sujet.

Deux idées que chaque conseil doit intégrer

Si l’on écarte la complexité technique, le rôle du conseil repose ici sur deux principes.

Premièrement, la gouvernance de l’IA fait partie intégrante de la gouvernance de l’entreprise, ce n’est pas un projet annexe. Si l’IA doit transformer la manière dont l’entreprise se positionne face à la concurrence, la supervision ne peut pas être conçue pour un fonctionnement habituel. Il est impossible de piloter une transformation avec une structure de gouvernance conçue pour un environnement stable. Lorsque l’IA entre dans la stratégie, elle doit aussi entrer dans la supervision, avec le même niveau d’exigence que celui consacré à l’allocation du capital ou à la succession des dirigeants.

Deuxièmement, un être humain doit rester dans la boucle, et cette personne doit être désignée. Les régulateurs, les tribunaux et, de plus en plus, les actionnaires recherchent tous la même chose : la responsabilité. Quelqu’un doit être responsable de la décision, comprendre les limites du système et pouvoir intervenir pour l’annuler. « Le modèle l’a recommandé » ne constitue pas une défense. La responsabilité ne peut jamais être transférée à la machine. La véritable mission du conseil n’est donc pas de comprendre chaque algorithme, mais de s’assurer qu’une personne disposant de l’autorité et des connaissances nécessaires répond de chaque système d’IA important.

Les questions à poser avant le prochain cycle budgétaire

Les conseils ne supervisent pas l’IA en ajoutant un point permanent « actualités IA » à l’ordre du jour et en laissant la direction occuper le temps prévu. Ils la supervisent en posant les questions auxquelles les rapports actuels ne répondent pas, et en acceptant ce que le silence peut révéler. Voici quelques questions à inscrire à l’ordre du jour :

• Où l’IA est-elle réellement utilisée aujourd’hui dans l’entreprise, et qui a validé chaque usage ? Une bonne réponse prend la forme d’un inventaire réel, avec des responsables nommément désignés. Si personne ne peut le produire, c’est déjà un constat.
• Que ne pourrions-nous pas défendre si une utilisation tournait mal demain ? Une bonne réponse identifie les deux ou trois usages les plus risqués. Si chaque usage semble présenter un risque faible, personne n’a encore examiné la situation assez attentivement.
• Quel être humain est responsable de nos décisions d’IA les plus sensibles ? Une bonne réponse donne un nom et une fonction, pas un comité et un haussement d’épaules.
• Nos communications publiques sur l’IA, dans nos documents réglementaires, nos supports marketing et nos échanges avec les clients, sont-elles exactes et cohérentes ? Une bonne réponse indique qu’une personne coordonne ces communications. Si le Juridique, les Relations Investisseurs et le Marketing s’expriment chacun de leur côté, l’exposition est déjà là.
• Ce conseil dispose-t-il des connaissances nécessaires pour superviser ce qu’il vient de financer ? Une bonne réponse est honnête. Si la réponse sincère est non, il s’agit d’une décision concernant la composition et la formation du conseil, pas d’un embarras à dissimuler.

La plupart des conseils, s’ils devaient répondre aujourd’hui, répondraient avec assurance à une ou deux de ces questions. L’écart entre ce que l’entreprise fait avec l’IA et ce que son conseil en comprend réellement est précisément l’endroit où la gouvernance échoue silencieusement.

Où doit se situer la supervision ?

L’une des décisions les plus concrètes auxquelles un conseil doit faire face semble étonnamment banale : quel organe doit être responsable de la supervision de l’IA ? Il n’existe pas une seule bonne réponse, et c’est précisément le point. La responsabilité peut relever du comité d’audit si l’IA est principalement considérée comme un sujet de risques et de conformité, d’un comité technologique ou des risques, du comité des nominations et de la gouvernance, du conseil plénier, ou d’un comité dédié à l’IA si les enjeux le justifient. Le bon choix dépend du profil de risque, des cas d’usage, de la taille de l’entreprise et des attentes des investisseurs.

Ce qui compte, c’est que le choix soit délibéré et documenté, et non le résultat d’un choix par défaut. De plus en plus, les investisseurs veulent constater que le conseil lui-même dispose d’une compréhension suffisante de l’IA, et pas uniquement qu’il peut faire appel à un expert externe. La composition du conseil devient donc une partie de la réponse.

Le piège qui porte déjà un nom

Si votre conseil a besoin d’une raison concrète d’agir maintenant, la voici : surestimer les capacités de l’IA est déjà une priorité pour les autorités de contrôle. La SEC, le DOJ et la FTC ont engagé une série de procédures liées à l’« AI washing » contre des entreprises qui affirmaient que leur IA était capable de faire davantage qu’en réalité. La discipline qui permet de prévenir ces situations est peu spectaculaire, mais elle est entièrement à la portée du conseil : savoir où l’IA est utilisée, coordonner les prises de parole publiques, rester exact, assurer la cohérence entre documents réglementaires et marketing, faire remonter rapidement les difficultés et tenir le conseil informé. Rien de tout cela ne nécessite un data scientist. Cela nécessite une gouvernance réelle.

L’essentiel

On ne demande pas aux conseils de devenir des experts techniques. On leur demande de faire ce pour quoi les conseils existent : assurer une supervision responsable de la stratégie qu’ils financent, à un moment où cette stratégie repose sur une technologie que la plupart des administrateurs sont encore en train d’apprivoiser. En l’état, seulement environ un tiers du temps des conseils est consacré à la stratégie. La tentation de reporter l’IA à plus tard est donc compréhensible. Elle constitue désormais un risque à part entière.

Les entreprises qui réussiront ne seront pas celles qui disposeront de l’IA la plus spectaculaire. Ce seront celles dans lesquelles, lorsqu’un administrateur demandera « Qui en est responsable ? », quelqu’un pourra répondre sans que la salle ne retombe dans le silence.

Cette réponse commence au sommet. Elle commence maintenant.