Comment la réglementation de l’IA transforme la gouvernance des conseils d’administration

Imaginez qu’un courrier vous parvienne d’une autorité de contrôle. Poli et assez bref, il demande comment le conseil d’administration supervise l’utilisation de l’IA par l’entreprise dans le traitement des demandes d’indemnisation. Personne ne panique. L’entreprise dispose d’une politique en matière d’IA, le service informatique a validé l’outil de traitement selon sa procédure habituelle, l’équipe chargée des risques l’a inscrit au registre et le comité d’audit en a discuté à deux reprises l’année dernière. Le problème, c’est que tous ces éléments se trouvent à des endroits différents, ont été rédigés pour des publics différents et que le ou la secrétaire général(e) va devoir consacrer une bonne partie de la semaine suivante à les réunir dans un dossier dont le conseil pourra pleinement assumer le contenu. 

En résumé, c’est précisément sur ce travail de mise en cohérence que la réglementation de l’IA pousse aujourd’hui les conseils à progresser. 

Cette évolution se reflète également dans les rapports annuels. Lorsqu’Arize AI a analysé les documents publiés par les entreprises du Fortune 500, 281 d’entre elles mentionnaient l’IA comme un facteur de risque potentiel, contre 49 l’année précédente, selon Fortune. Les raisons sont multiples. Les entreprises de médias craignent que leurs concurrents ne prennent de l’avance grâce à l’IA. D’autres évoquent l’incertitude entourant les règles de propriété intellectuelle, le comportement imprévisible de certains modèles, les fuites de données ou encore les atteintes à la réputation susceptibles de découler d’un usage mal accueilli par le public. Il y a encore quelques années, la plupart de ces questions seraient restées du ressort du service juridique. Elles sont désormais examinées au niveau du conseil. 

À y regarder de plus près, ces règles portent sur des principes que les conseils connaissent déjà bien : déterminer clairement les responsabilités, s’assurer qu’un examen rigoureux a bien été effectué et conserver une trace qui restera compréhensible par la suite. Les considérer comme de simples formalités documentaires, c’est passer à côté de ce qu’une autorité de contrôle, voire un tribunal, cherchera réellement à vérifier. 

Dans cet article :

• Comment la réglementation de l’IA transforme la gouvernance des conseils d’administration
• Ce que la responsabilité, la supervision humaine et la transparence signifient pour les conseils d’administration
• Comment intégrer la gouvernance de l’IA dans les ordres du jour, la préparation, la documentation et la prise de décision

Un paysage réglementaire de l’IA en pleine évolution 

Nul besoin d’être juriste spécialisé en réglementation pour constater que les principaux régimes convergent, même s’ils empruntent des voies très différentes. Comme l’a observé Mark Williams, Chief Revenue Officer chez Datasite Group, dans le podcast Boardroom Confidential : « Ces politiques de confidentialité et de données relatives à l’IA seront contraintes de reconnaître des capacités encore inimaginables.

L’Europe est la plus avancée. Le règlement européen sur l’intelligence artificielle est entré en vigueur en août 2024 et s’applique progressivement depuis lors. Les obligations en matière de maîtrise de l’IA sont entrées en application en février 2025, suivies des règles relatives aux modèles d’IA à usage général en août de la même année. Les obligations les plus susceptibles de concerner les conseils, celles applicables aux systèmes à haut risque, doivent entrer en application à partir d’août 2026, même si un report proposé pourrait repousser certaines d’entre elles à 2027. Si votre entreprise fournit ou déploie l’un de ces systèmes, elle doit disposer d’un processus de gestion des risques, d’une documentation adéquate et de mécanismes de contrôle humain intégrés dès la conception. En cas de manquement grave, les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Nous sommes là dans un ordre de grandeur comparable à celui du droit de la concurrence, ce qui suffit généralement à retenir l’attention des conseils. 

Le Royaume-Uni a choisi une voie opposée, du moins sur le papier. Il n’existe pas de législation générale spécifiquement consacrée à l’IA. L’ICO, la FCA, la CMA et d’autres autorités appliquent plutôt, dans leurs domaines respectifs, cinq principes issus des orientations gouvernementales : sécurité, transparence, équité, responsabilité et contestabilité. Cette approche peut sembler très différente de celle de Bruxelles. À y regarder de plus près, l’attente est pourtant sensiblement la même : être capable d’expliquer clairement comment l’IA est utilisée. 

Pour la plupart des conseils, cette convergence importe davantage que les détails. Déterminer quels systèmes sont considérés comme à haut risque et où se situent précisément les limites réglementaires relève du domaine dans lequel un directeur juridique et un ou une secrétaire général(e) expérimentés apportent toute leur valeur. Les conseils ont raison de s’appuyer sur leur expertise. Le rôle propre du conseil est plus simple à décrire, mais plus difficile à remplir : il doit savoir où l’IA est utilisée, qui assume les risques associés et si quelqu’un est en mesure de détecter rapidement les problèmes. 

Ce que la réglementation implique pour les conseils 

Les autorités de contrôle reviennent constamment sur trois notions : la responsabilité, la supervision et la transparence. Un exemple permet de mieux comprendre ce qu’elles recouvrent concrètement. Reprenons donc celui de l’outil de traitement des demandes d’indemnisation. 

Qui est responsable si l’outil commence à rejeter des demandes légitimes ? Répondre « le DSI » ne suffit pas, pas plus que « l’activité ». Le conseil doit pouvoir identifier la personne qui assume la responsabilité de ce résultat dans le cadre du processus concerné. Dans un article publié sur le Harvard Law School Forum on Corporate Governance, Tara Giunta, associée spécialisée en contentieux chez Paul Hastings, et Lex Suvanto d’Edelman Smithfield résument bien la position du conseil par la formule « Noses In, Fingers Out » : rester suffisamment proche pour comprendre où se situe le risque, sans pour autant se substituer à la direction dans la gestion de l’activité. Si personne ne peut être clairement identifié, la politique en place n’est probablement pas aussi efficace qu’on le pense. 

Vient ensuite la supervision. À un moment donné du processus de traitement des demandes, une personne doit disposer de l’autorité, des connaissances et du temps nécessaires pour examiner la recommandation du modèle et passer outre lorsqu’elle est erronée. La plupart des grandes entreprises disposent déjà d’un tel dispositif et le prennent au sérieux. Ce qui change, c’est que les autorités veulent désormais pouvoir en constater concrètement l’existence et le fonctionnement. Le règlement européen sur l’intelligence artificielle exige des personnes chargées de la surveillance d’un système à haut risque qu’elles en comprennent les capacités et les limites et qu’elles puissent neutraliser ses résultats. Pour le conseil, la question est donc de savoir si ce contrôle humain est clairement défini, documenté et facile à démontrer, plutôt que simplement présumé. 

La transparence commence plus près du quotidien qu’on ne pourrait le penser. L’outil de traitement des demandes d’indemnisation a suivi une procédure d’approbation en bonne et due forme. Ce n’est pas le cas lorsqu’un administrateur, à onze heures du soir, importe un dossier du conseil dans un chatbot public pour en obtenir rapidement un résumé. Ce type d’utilisation individuelle et non autorisée, généralement appelé « shadow AI », est plus répandu que ne le pensent la plupart des dirigeants. Selon McKinsey, les cadres estimaient que 4 % des salariés utilisaient l’IA générative pour au moins 30 % de leur travail quotidien, alors que la proportion réelle atteignait 13 %. Selon ses conditions d’utilisation, un outil public peut conserver les contenus qui lui sont transmis ou les utiliser à des fins d’entraînement. Skadden a par ailleurs rappelé aux administrateurs que les échanges avec une IA peuvent faire l’objet d’une demande de communication dans le cadre d’une procédure judiciaire. Avant qu’un conseil puisse faire preuve de transparence sur son utilisation de l’IA, il doit donc savoir précisément quels outils sont autorisés pour traiter ses documents. Et il est particulièrement utile que l’outil autorisé soit aussi le plus simple à utiliser. 

Traduire la réglementation dans la pratique du conseil 

À quoi cela ressemble-t-il donc d’une réunion à l’autre ? Le plus simple est de partir des routines propres au conseil : l’ordre du jour, les lectures préparatoires, la trace conservée après la réunion et, enfin, la place que l’IA doit occuper dans la décision elle-même. 

Ordres du jour 

Dans de nombreux conseils, la gouvernance de l’IA n’apparaît encore que ponctuellement. Selon McKinsey, un tiers des administrateurs déclarent que l’IA ne figure jamais à l’ordre du jour de leur conseil. Lorsque Protiviti et BoardProspects ont interrogé 772 administrateurs et dirigeants, seuls 26 % ont indiqué qu’ils parlaient d’IA à chaque réunion. Quand le sujet est abordé, il est souvent relégué dans une mise à jour périodique sur la conformité. Ce rythme convient au calendrier d’audit, mais suit assez mal des règles qui changent sans cesse et une entreprise qui trouve continuellement de nouveaux usages à l’IA. 

Aborder le sujet plus souvent aide, tout comme le formuler sous forme de question. « Quelle évolution réglementaire liée à l’IA a modifié notre exposition ce trimestre, et notre gouvernance la couvre-t-elle toujours ? » invite les administrateurs à se prononcer. « Mise à jour sur la conformité de l’IA » leur demande surtout d’écouter. Une question leur donne aussi matière à réflexion avant la réunion. 

Cela ne signifie pas que l’IA doit évincer tous les autres sujets. Elle doit simplement être abordée assez souvent pour qu’une nouvelle échéance ou une obligation modifiée soit repérée au cours du trimestre où elle intervient. 

Préparation 

Un administrateur ne peut pas faire grand-chose d’une question réglementaire qu’il découvre pour la première fois en séance. La personne responsable de la gouvernance de l’IA au sein de l’entreprise doit donc communiquer les mises à jour suffisamment en amont et par un canal sécurisé, qu’il s’agisse du report d’une échéance ou de la reclassification d’un système. 

À ce stade, il existe d’ailleurs de bonnes raisons de faire appel à l’IA. Résumer une note réglementaire de quarante pages dans un format qu’un administrateur peut lire dans le train correspond exactement au type de tâche qu’elle accomplit bien. C’est aussi l’un des moyens les plus pratiques d’utiliser l’IA pour aider les conseils à éviter la surcharge d’informations. Ce résumé ne constitue toutefois qu’un point de départ. Les administrateurs doivent arriver en séance en ayant déjà identifié les passages qui méritent d’être approfondis, ce qui suppose de prévoir un temps de réflexion en plus du temps de lecture. 

Documentation 

Les autorités de contrôle commencent à partir du principe que le raisonnement d’un conseil doit pouvoir être reconstitué a posteriori, et pas seulement ses conclusions. Imaginons que, dix-huit mois plus tard, quelqu’un demande pourquoi le conseil a approuvé une décision prise avec l’aide de l’IA. Répondre « nous en avons discuté et nous étions d’accord » aura peu de chances de suffire. Il faudra pouvoir expliquer les éléments qui ont été examinés, les points qui ont été remis en question et le raisonnement qui a conduit le conseil à sa décision. 

Il en va de même lorsque le conseil modifie sa politique en matière d’IA, approuve un nouveau cas d’usage ou transfère la responsabilité d’un système d’un dirigeant à un autre. Ces changements, ainsi que le raisonnement qui les sous-tend, doivent figurer dans les documents officiels. La plupart des conseils accordent déjà beaucoup de soin à leurs procès-verbaux : le problème tient donc rarement à un manque de rigueur. La difficulté vient plutôt du fait que la gouvernance de l’IA est répartie entre plusieurs comités, politiques et systèmes. Reconstituer l’ensemble a posteriori prend du temps, à moins de disposer d’une infrastructure qui permette de centraliser facilement ces éléments au fur et à mesure. 

Prise de décision 

Au moment où une décision est soumise au vote, les attentes des autorités de contrôle sont assez simples à résumer : quelqu’un doit avoir examiné sérieusement les risques et les hypothèses sur lesquels elle repose, et chacun doit savoir qui s’en est chargé. 

La plupart des conseils le font déjà sans qu’on ait à le leur demander. Il reste néanmoins utile de le rappeler explicitement avant le vote. D’une part, parce qu’un ordre du jour chargé et une recommandation présentée avec assurance peuvent inciter à passer rapidement au point suivant. D’autre part, parce qu’un contrôle clairement consigné sera beaucoup plus facile à démontrer par la suite. Définir à l’avance les questions que les conseils devraient poser à l’IA avant une décision stratégique permet de donner à ce contrôle un cadre concret. 

Comment Sherpany soutient une gouvernance responsable de l’IA 

Une grande partie de ce qui précède dépend de l’infrastructure du travail du conseil : la façon dont les informations parviennent aux administrateurs, dont les décisions sont consignées et dont la documentation résiste lorsqu’une personne vient l’examiner. 

Les procès-verbaux de réunion assistés par l’IA de Sherpany consignent non seulement la décision elle-même, mais aussi les échanges qui y ont conduit, notamment les hypothèses soulevées et les points remis en question. C’est précisément le type de raisonnement que les autorités de contrôle s’attendent de plus en plus à pouvoir retrouver. La gestion des documents centralise les politiques en matière d’IA, les mises à jour réglementaires et les décisions de gouvernance antérieures dans un espace sécurisé conçu pour les activités du conseil. Ainsi, lorsqu’un administrateur ou un auditeur cherche à déterminer ce que le conseil savait à un moment donné, personne n’a besoin de s’en remettre à sa mémoire. 

Aucune de ces fonctionnalités ne prend de décision à la place du conseil ni ne remplace le contrôle humain exigé par la réglementation. Elles facilitent plutôt les aspects courants du processus : transmettre aux administrateurs les documents de manière sécurisée et suffisamment en amont, et conserver une trace permettant de répondre à la question d’une autorité de contrôle ou d’un nouvel administrateur un an ou deux plus tard. Ce sont ces mêmes pratiques qui permettent de préparer un conseil à l’IA. 

Les autorités ne font que décrire une bonne gouvernance 

Si l’on fait abstraction des détails juridiques, la réglementation de l’IA demande aux conseils des choses auxquelles ils accordent déjà de l’importance : une supervision assurée par des personnes qui comprennent les enjeux, des responsabilités clairement attribuées et des décisions dont le raisonnement peut être expliqué a posteriori. Ce qui change, c’est le degré de transparence désormais attendu par les autorités de contrôle et la manière dont ces exigences s’appliquent spécifiquement à l’IA. 

Un conseil qui intègre ces principes à ses ordres du jour, à sa préparation, à ses procès-verbaux et à ses décisions ne se contente pas de répondre aux exigences de conformité. Il adopte une méthode de travail suffisamment solide pour résister à un examen approfondi, qu’un courrier d’une autorité de contrôle arrive un jour ou non. Qui est responsable ? Le sujet a-t-il fait l’objet d’un véritable examen humain ? Le raisonnement resterait-il défendable une fois consigné par écrit ? Si le conseil peut répondre à ces questions sans avoir à reconstituer les faits dans l’urgence, la conformité tend à en découler naturellement. 

Si vous souhaitez découvrir comment Sherpany favorise une gouvernance responsable de l’IA, de l’élaboration des ordres du jour et de la préparation des réunions à la documentation et à la prise de décision, réservez une démo gratuite et découvrez comment Sherpany peut vous accompagner.