Le fossé grandissant entre les politiques en matière d’IA et leur application dans le monde réel

L’IA n’est pas régie par un règlement unique

L’IA se déploie dans un nombre croissant de secteurs et d’applications plus rapidement que les politiques et les cadres de gouvernance nécessaires à son encadrement ne peuvent évoluer. Historiquement, les applications de l’IA étaient en grande partie régies par les réglementations existantes en matière de protection des consommateurs, de confidentialité et propres à chaque secteur, ainsi que par les politiques internes des entreprises. Les gouvernements introduisent désormais des exigences propres à l’IA, mais celles-ci restent fragmentées et indiquent souvent peu clairement comment les systèmes devraient fonctionner concrètement. Les entreprises doivent donc concilier les exigences externes avec leur propre tolérance au risque, leurs objectifs liés aux produits et leurs réalités opérationnelles.

L’UE applique désormais activement certaines dispositions du règlement sur l’IA, tandis que la politique fédérale américaine privilégie explicitement un cadre national moins contraignant, le décret présidentiel 14365 visant à limiter les exigences contradictoires des États, alors même que ceux-ci ont adopté plus de 1 000 mesures liées à l’IA en 2025. Chacune de ces autorités décrit une orientation différente, et la tâche de concilier ces approches incombe aux entreprises qui développent et déploient ces systèmes.

Mais définir des exigences réglementaires ne représente qu’une partie du défi. À mesure que l’IA est déployée dans un nombre croissant d’applications et de contextes, les entreprises doivent traduire les exigences générales et les politiques internes en contrôles opérationnels et en décisions prises par chaque système d’IA. Aucun cadre réglementaire ne peut anticiper toutes les applications, tous les contextes ou tous les compromis possibles. Les organisations doivent donc établir un lien entre les exigences qui les régissent et leurs politiques internes, d’une part, et le comportement des systèmes, les résultats mesurables et les audits ou examens, d’autre part. Le cadre de gestion des risques liés à l’IA du NIST adopte une approche similaire : il met l’accent sur la mesure et la gestion continues plutôt que de considérer la gouvernance comme un simple exercice de conformité ponctuel. Les exigences descendent la chaîne de responsabilité et les éléments probants remontent : les autorités de réglementation et les dirigeants peuvent définir les résultats attendus, mais les organisations doivent démontrer que leurs systèmes les produisent réellement.

Cela fait peser une grande partie de la responsabilité pratique de la gouvernance de l’IA sur les organisations qui déploient ces systèmes.

La gouvernance se complique au stade de la mise en œuvre

Les réglementations et les cadres de gouvernance définissent généralement des principes, des obligations et des résultats attendus. Or, les systèmes en production doivent traduire ces éléments en décisions individuelles, et c’est là que la gouvernance se complique. Une politique peut exiger de prévenir la discrimination, de protéger les utilisateurs, d’assurer la transparence ou de permettre un examen humain véritable, mais un système opérationnel doit répondre à des questions bien plus précises : à partir de quel seuil intervient-il, sur la base de quels éléments et avec quel degré de certitude, dans quels cas un examen humain est-il nécessaire, quelles informations sont consignées et que se passe-t-il lorsque le système est incertain ?

Les autorités de réglementation attendent déjà des réponses à ces questions. La FTC, le DOJ, le CFPB et l’EEOC ont déclaré conjointement qu’ils feraient appliquer leurs pouvoirs existants aux systèmes automatisés, ce qui signifie qu’une entreprise devra tôt ou tard expliquer comment son système prend ses décisions.

Prenons l’exemple d’une plateforme qui interdit clairement le harcèlement. Un message contenant des grossièretés peut relever d’une plaisanterie inoffensive entre amis, tandis qu’un message apparemment anodin peut s’inscrire dans une campagne persistante visant un autre utilisateur. Le système doit déterminer quel contexte il peut utiliser de manière fiable, quels éléments sont suffisants pour intervenir et quelle intervention est appropriée : bloquer le message, avertir son expéditeur, transmettre le cas à un examinateur humain ou ne rien faire. Abaisser les seuils de détection peut permettre de repérer davantage de comportements préjudiciables, mais aussi de censurer des échanges légitimes. Exiger un examen humain peut améliorer le jugement, mais retarder l’intervention. Aucune de ces décisions n’est précisée dans une politique générale interdisant le harcèlement, mais, ensemble, elles déterminent la manière dont cette politique est réellement appliquée.

Aucun document de politique ne tranche ces compromis à l’avance : une personne au sein de l’entreprise doit donc prendre ces décisions, les documenter et les réexaminer. De fait, cette personne définit la politique, que l’organigramme le reconnaisse ou non.

Ce qu’exige réellement une IA responsable

Si les personnes qui mettent un système en œuvre sont, dans les faits, celles qui définissent la politique, l’IA responsable ne peut se réduire à une déclaration d’intention : elle doit se traduire dans le comportement quotidien du système. Cela implique de gérer l’utilisation de l’IA, de la mesurer et de la corriger au fil du temps, et non pas simplement d’approuver une politique ou de réussir une évaluation initiale. Trois idées sont particulièrement importantes dans la pratique, et chacune découle des compromis évoqués plus haut :

• La gouvernance doit être proportionnée aux conséquences. Un système d’IA qui recommande des textes, approuve un prêt, signale une menace pour la sécurité ou contribue à une décision médicale présente des risques très différents. Les organisations doivent déterminer où des contrôles, des examens et une supervision renforcés sont justifiés au regard des conséquences potentielles.
• La précision ne suffit pas. Les erreurs n’ont pas toutes le même coût. Un faux positif dans la modération peut empêcher l’expression d’opinions légitimes, tandis qu’une erreur dans les domaines du crédit, de la santé ou de la sécurité peut avoir des conséquences bien plus lourdes. La gouvernance doit tenir compte des effets concrets d’une décision, et pas seulement des performances du modèle.
• L’évaluation et les retours continus sont essentiels. Les dérogations, les recours, les incidents, les cas limites et les conséquences en aval doivent tous alimenter l’évaluation continue.

Un cadre pratique pour la gouvernance interne de l’IA

La mise en pratique de ces principes exige d’intégrer la gouvernance à la conception, au déploiement et à la gestion des systèmes d’IA. Quatre pratiques sont particulièrement importantes :

• Considérez les exigences de gouvernance comme des exigences produit et système dès le départ. Les contrôles de conformité ajoutés après le déploiement ont tendance à être coûteux et fragiles. Il est beaucoup plus facile d’intégrer la protection de la vie privée, la transparence, l’auditabilité et les mécanismes d’examen à la conception d’un système que de les ajouter après coup.
• Établissez une chaîne vérifiable, de la politique à la décision. Les organisations doivent pouvoir relier l’exigence réglementaire ou la politique interne au contrôle appliqué, puis à la décision qui en résulte. Elles doivent également disposer des éléments nécessaires pour l’évaluer.
• Attribuez clairement les responsabilités et définissez les obligations de rendre compte. Déterminez qui est responsable de la politique, qui fixe le niveau de risque acceptable et qui surveille les performances. Quelqu’un doit aussi avoir le pouvoir d’intervenir lorsque le système sort de ces limites.
• Mettez en place une infrastructure de gouvernance commune et adaptable. Les contrôles des données, les pistes d’audit, les politiques configurables, les processus d’examen et les mécanismes de mesure doivent répondre à plusieurs exigences réglementaires et cas d’usage. Les contrôles et les seuils doivent pouvoir être adaptés en fonction du territoire, de l’application et du risque, afin que les organisations puissent répondre à l’évolution des exigences sans reconstruire leurs systèmes.

La gouvernance doit fonctionner dans la pratique

La réglementation peut définir des obligations et des principes, mais les entreprises doivent encore les traduire en systèmes capables de prendre des décisions concrètes à grande échelle. La gouvernance interne devient donc une responsabilité opérationnelle, et non un simple exercice de conformité. Toute entreprise qui déploie l’IA à grande échelle élabore déjà des règles à travers ses seuils, ses règles d’examen et ses procédures d’escalade ; la seule question en suspens est de savoir si elle le fait délibérément.

Les autorités de réglementation continueront de définir les résultats qu’elles souhaitent obtenir, et elles ne seront pas toujours d’accord. Il revient donc à l’entreprise de décider comment traduire ces attentes en contrôles, puis de démontrer, preuves à l’appui, que ces contrôles fonctionnent. Les entreprises qui mettent dès maintenant en place des responsabilités clairement définies, des contrôles mesurables, une bonne auditabilité et une infrastructure adaptable seront mieux préparées à l’évolution de la réglementation.

J’ai observé ce problème sous plusieurs angles : dans des contextes de cybersécurité, lors de l’élaboration de modèles de risque et, aujourd’hui, dans l’exploitation de systèmes d’IA à grande échelle. Dans tous ces domaines, la leçon est similaire : un cadre ne fonctionne que s’il peut être traduit en décisions claires, évalué dans la pratique et amélioré lorsque la réalité révèle ses lacunes.