Gouvernance de l'IA : rôles, risque, cadre — Cours — Académie

Au-delà de l'article 10 : la carte complète des acteurs, des niveaux de risque et des cadres de gouvernance — le monde de la certification AIGP.

1Acteurs et niveaux de risque

L'AI Act distingue plusieurs acteurs le long de la chaîne : fournisseur (met sur le marché), déployeur (utilise), importateur, distributeur. Les obligations diffèrent selon le rôle — l'article 10 ne vise que le fournisseur, mais un déployeur a ses propres devoirs (surveillance humaine, information…).

Il classe aussi les systèmes par niveau de risque :

Inacceptable

Interdit

Notation sociale, manipulation… prohibés.

Haut

Annexe III

Emploi, crédit, éducation… obligations lourdes (dont art. 10).

Limité

Transparence

Chatbots, deepfakes : signaler que c'est de l'IA.

Minimal

Libre

Anti-spam, jeux… pas d'obligation spécifique.

2Cadres de gestion du risque

La gouvernance s'appuie sur des cadres structurés. Le NIST AI RMF propose quatre fonctions en boucle :

Govern — culture, rôles, politiques ;
Map — contexte et risques identifiés ;
Measure — évaluer, tester, mesurer ;
Manage — prioriser, traiter, surveiller.

Et des principes d'IA responsable transverses : équité, transparence, redevabilité, robustesse, supervision humaine, protection de la vie privée.

La supervision humaine désigne la capacité des humains à comprendre, superviser et, au besoin, interrompre ou corriger le système — ni une validation manuelle de chaque prédiction, ni la suppression de toute automatisation.

Gouverner au-delà de l'obligation. Même sans y être strictement contrainte, une organisation a intérêt à gouverner son IA : gérer les risques (réputation, juridique, sécurité), anticiper les évolutions réglementaires, gagner la confiance des clients. C'est un dispositif continu et organisationnel — pas un livrable ponctuel comme un dossier.

3Obligations et cycle de vie

Une réglementation proportionnée

L'AI Act module les exigences selon le niveau de risque : léger pour le minimal, exigeant pour le haut risque, interdit pour l'inacceptable. Certaines pratiques sont restreintes ou interdites selon le contexte — par exemple la reconnaissance des émotions sur le lieu de travail.

Ce que doit le fournisseur (haut risque)

Au-delà de l'article 10 sur les données, le fournisseur met en place :

un système de gestion des risques ;
une documentation technique qui démontre la conformité ;
une journalisation (logs) des événements ;
la transparence requise (ex. signaler qu'un contenu est généré par IA) ;
une surveillance post-commercialisation et le signalement des incidents graves.

L'importateur et le distributeur, eux, vérifient que le fournisseur est en règle (conformité, documentation) avant l'entrée du système sur le marché UE. Et la gouvernance couvre tout le cycle de vie — jusqu'à la mise hors service / le retrait du système.

Deux rôles, deux responsabilités. Le fournisseur porte la conception et la conformité ; le déployeur porte l'usage conforme (surveillance humaine, respect de la notice, information des personnes). Bien les distinguer évite de mal répartir les responsabilités — et un déployeur qui modifie substantiellement bascule fournisseur.