Gouvernance de l’IA : pourquoi Colas et Arkéa n’ont pas attendu l’AI Act

Une conversation entre Thomas Rollin (responsable IA et data science, groupe Colas), Frédéric Brenner (Data Office Groupe, Crédit Mutuel Arkéa), Gwendal Bihan (cofondateur et président, Axionable) et Nicolas Averseng (Chief Product Officer, DataGalaxy), animée par Laurent Dresse (DataGalaxy).

Alors que de nombreuses entreprises structurent progressivement leur gouvernance de l’IA, Colas et Crédit Mutuel Arkéa ont choisi d’anticiper les évolutions réglementaires. Aujourd’hui, elles déploient plus vite, avec des risques mieux maîtrisés.

Le sondage réalisé pendant le webinaire illustre bien cette dynamique : la majorité des participants est en cours de structuration ou encore en réflexion. Aucun ne se déclare industrialisé. Voici ce que quatre experts ont partagé pour passer à l’action, sans attendre.

Pourquoi la gouvernance de l’IA est devenue un impératif pour les directions

Pendant longtemps, l’IA était un sujet d’innovation. On explorait, on testait, on regardait ce que la technologie savait faire. Les questions d’éthique, d’impact financier ou de conformité restaient secondaires.

Ce temps est fini. Selon Nicolas Averseng, les directions attendent désormais une IA opérationnelle et industrialisée, au cœur de l’outil de production. Dès que l’IA touche les processus critiques, la vision des risques et de la conformité change d’échelle.

Gwendal Bihan observe la même bascule chez ses clients. La gouvernance de l’IA était portée par quelques acteurs volontaires. Elle devient une obligation, sous la pression des comités exécutifs et des conseils d’administration, qui veulent maîtriser à la fois le ROI et les risques.

L’enjeu est désormais de trouver le bon équilibre entre anticipation réglementaire et passage à l’action. Faut-il attendre la réglementation ? Jusqu’où aller ? De nombreuses organisations cherchent encore à définir le bon niveau de gouvernance, dans un contexte où les usages évoluent rapidement.

Colas et Crédit Mutuel Arkéa : ce qui a déclenché leur gouvernance de l’IA

Chez Colas, tout part du terrain. Le groupe lance sa trajectoire data en 2018 et développe rapidement des modèles d’IA, bien avant l’IA générative. Parmi eux, un modèle de computer vision qui détecte les défauts de surface des routes.

L’équipe data science est alors jeune. Elle comprend vite qu’un projet d’IA ne se mène pas comme un projet digital classique. Elle structure donc sa méthode de développement dès le départ, au moment où l’AI Act commence à être discuté. Thomas Rollin le résume ainsi : il vaut mieux partir du bon pied que de rattraper le retard après coup.

Chez Crédit Mutuel Arkéa, la logique est plus stratégique. Le groupe déploie des modèles d’IA classiques depuis plusieurs années. Il a voulu rendre ces pratiques robustes et gouvernables via une démarche d’IA de confiance, accompagnée par Axionable jusqu’à une certification IA de confiance du LNE.

Le vrai tournant arrive début 2025, avec le plan stratégique Faire 2030. Le comité exécutif et le conseil d’administration y inscrivent formellement l’IA comme accélérateur de la transformation. Le Data Office Groupe s’appuie sur ce mandat pour structurer sa stratégie autour de deux axes : le quoi (les cas d’usage à délivrer) et le comment, décliné en quatre dimensions :

• l’IA de confiance, pour une mise en œuvre responsable et maîtrisée ;
• le socle technologique nécessaire aux systèmes d’IA ;
• le modèle opérationnel, l’organisation et la gouvernance ;
• les impacts RH : conduite du changement et gestion des compétences.

Le point commun des deux démarches : quand le comité exécutif donne le mandat, l’exécution change de dimension.

Shadow AI : pourquoi interdire ne suffit pas

Comme il a existé du shadow IT, il existe aujourd’hui du shadow AI. L’adoption rapide des outils d’IA générative grand public soulève de nouveaux enjeux de sécurité, notamment autour de la confidentialité des données et de l’encadrement des usages.

Colas et Arkéa ont choisi la même réponse : proposer une alternative sécurisée avant de restreindre. Colas déploie des GPT internes et des instances sous contrat sécurisé côté données, avec une offre qui évolue tous les trois mois. Arkéa a déployé une solution d’IA générative sécurisée, accessible à l’ensemble de ses collaborateurs, tout en encadrant l’accès aux outils grand public depuis son réseau.

Mais la mesure technique a une contrepartie. Frédéric Brenner le reconnaît : l’outil interne doit suivre les standards du marché. Les collaborateurs utilisent ChatGPT ou Gemini à titre personnel. L’enjeu est donc de proposer des solutions professionnelles qui répondent aux attentes des utilisateurs, afin de favoriser leur adoption dans un environnement sécurisé.

Colas ajoute une distinction utile dans sa gouvernance :

• IA de productivité individuelle : un collaborateur utilise l’IA pour s’augmenter. La réponse est une offre d’outils sécurisés.
• IA de transformation des processus : l’entreprise veut améliorer un processus métier. La réponse passe par un travail sur le pourquoi, la valeur attendue, puis le choix de la bonne technologie.

Cette séparation évite d’appliquer le même niveau de contrôle à un usage bureautique et à un projet qui transforme un métier.

Réseau d’IA Champions : gouverner l’IA dans une organisation décentralisée

Dans les organisations décentralisées, la gouvernance de l’IA gagne à s’appuyer sur des relais locaux. Arkéa compte une quarantaine de filiales. Colas est un groupe très décentralisé. Dans les deux cas, toucher tout le monde et expliquer les règles du jeu est un vrai défi.

La réponse d’Arkéa : un réseau d’IA Champions dans chaque filiale. Ces relais ont un double rôle. Ils identifient les cas d’usage et les besoins locaux. Ils diffusent aussi les principes de maîtrise et de responsabilité autour de l’IA.

Le groupe distingue deux profils, qui peuvent être portés par la même personne :

• les référents IA, centrés sur la feuille de route et les cas d’usage ;
• les référents IA de confiance, centrés sur la sécurité, la gestion des risques et la conformité.

Ce réseau sert aussi à suivre les expérimentations. Chez Arkéa, on ne parle plus de POC mais d’expérimentations. Elles doivent entrer dans les dispositifs de maîtrise des risques comme n’importe quel projet. Les champions les remontent au Data Office, qui peut ensuite les capitaliser et les déployer dans d’autres entités.

Gwendal Bihan pointe l’enjeu derrière ce modèle. Les projets d’IA classiques prenaient six mois ou plus. Aujourd’hui, un cas d’usage peut être déployé en quelques jours. La gouvernance doit accompagner le rythme des projets IA. L’objectif est de proposer un point d’entrée simple et accessible, qui facilite la déclaration et le suivi des initiatives.

Gouvernance des données vs gouvernance de l’IA : ce qui change vraiment

La gouvernance de l’IA repose sur la gouvernance des données. Sur ce point, les intervenants sont unanimes. Un modèle d’IA consomme toujours de la donnée, en entraînement, en inférence ou dans son contexte. Les sujets de confidentialité et de données sensibles restent donc communs.

Mais quatre différences changent la donne :

Nicolas Averseng insiste sur ce dernier point. L’AI Act commence par la question du cas d’usage : le besoin vaut-il la chandelle, et comment aligner les mesures sur la finalité ? La gouvernance des données a rarement pris le sujet par ce bout.

Gwendal Bihan ajoute une différence humaine. L’impact de l’IA agentique sur les équipes métiers est plus fort et plus rapide. L’IA agentique peut transformer profondément l’organisation des équipes, la répartition des tâches et les compétences nécessaires. Ces évolutions doivent être anticipées dès le début du cycle de déploiement.

Quels indicateurs suivre pour piloter la gouvernance de l’IA ?

Mesurer une gouvernance de l’IA reste difficile. Mesurer l’efficacité d’une gouvernance de l’IA est un exercice qui se construit progressivement. Les échanges ont permis d’identifier trois niveaux d’indicateurs. Mais trois niveaux d’indicateurs se dégagent.

Le premier niveau est l’usage. Colas mesure l’adoption de ses outils sécurisés : c’est le signe que les utilisateurs vont au bon endroit. Pour les processus transformés, l’indicateur doit venir du métier lui-même. Un processus de développement applicatif ne se mesure pas comme un processus comptable.

Le deuxième niveau est le pilotage stratégique et la maîtrise des risques. Au niveau groupe, Arkéa suit la mise en œuvre de sa feuille de route IA et le déploiement des cas d’usage prioritaires. Chaque projet doit aussi entrer dans les dispositifs de maîtrise : cybersécurité, risque de modèle, biais, hallucinations, performance, RGPD. Le report des obligations de l’AI Act pour les systèmes à haut risque n’a pas changé cette exigence.

Le troisième niveau est la valeur. C’est là que Nicolas Averseng met en garde contre les vanity metrics. Former 80 % des collaborateurs est une première étape, mais la création de valeur se mesure aussi à travers l’adoption réelle des outils et les résultats obtenus.

Le premier gain de l’IA est un gain d’efficacité. C’est aussi le plus dur à mesurer et à réaliser. Nicolas Averseng cite l’exemple d’un responsable métier qui annonce 20 % de gains d’efficacité. La question de la direction financière suit immédiatement : peut-on retirer le budget correspondant l’an prochain ?

La pression va monter. Les coûts des outils d’IA augmentent vite, au point d’approcher le coût d’un ETP pour certains développeurs. Il faudra objectiver ces coûts face aux gains réels. Et cette discussion ne peut avoir lieu qu’avec le métier : qu’est-ce que le succès demain, et comment le mesurer ?

Frameworks de gouvernance de l’IA : vers une gouvernance proportionnée aux risques

Des référentiels existent déjà. Gwendal Bihan cite la certification IA de confiance du LNE, le label Labelia et la norme ISO/IEC 42001. Ils répondent bien aux exigences de conformité. En revanche, ils disent rarement comment faire concrètement.

Ces cadres s’organisent généralement autour de six ou sept dimensions : l’humain dans la boucle, les biais, l’impact social et environnemental, le contrôle de la donnée. Certaines sont communes avec la gouvernance des données. D’autres sont propres à l’IA, comme les biais ou le contrôle humain.

Le contrôle humain prend d’ailleurs une place croissante. Avec les agents, il existe mille nuances de human in the loop. La tendance est de fonctionner par garde-fous : on définit ce que l’agent ne doit pas faire, et on lui laisse de l’autonomie à l’intérieur de ce cadre.

Un nouvel indicateur monte : l’efficience de la gouvernance. Combien de temps passe-t-on à documenter et contrôler un cas d’usage, par rapport au temps passé à le construire ? Si le ratio est mauvais, la gouvernance freine l’IA au lieu de l’encadrer.

D’où l’idée d’une gouvernance à taille variable. Un cas d’usage à faible risque passe par un parcours allégé, un fast track. Un cas d’usage complexe ou sensible déclenche un niveau de contrôle plus élevé. Nicolas Averseng le formule simplement : si les contraintes sont trop fortes, les gens les contourneront.

Comment démarrer sa gouvernance de l’IA dès demain

En fin de webinaire, chaque intervenant a donné son conseil pour passer à l’action. Les réponses convergent vers un plan simple.

1. Déployer une IA sécurisée pour tous. C’est la première réponse au shadow AI, et la condition pour maîtriser les cas d’usage. Il faut un terrain de jeu sécurisé, pas un outil réservé à la DSI.
2. Construire un réseau de relais. Des IA Champions dans les entités, capables de porter à la fois le potentiel de l’IA et les règles de maîtrise des risques. Ce réseau devient indispensable quand les métiers commencent à déployer leurs propres agents.
3. Adapter la gouvernance au risque. Des parcours simples pour les usages simples, une escalade claire pour les cas complexes. Ni tout fermer au central, ni tout ouvrir au local.
4. Travailler la confiance. Les collaborateurs doivent comprendre sur quelles données repose une IA, avec transparence et possibilité de faire des retours. La gouvernance est un sujet d’animation, pas seulement un questionnaire à remplir.
5. Former, former, former. C’est le conseil de Gwendal Bihan. Former tous les collaborateurs, puis les métiers sur leurs cas d’usage, puis la direction générale sur la transformation. La formation reste globalement sous-investie.

Thomas Rollin résume l’état d’esprit : il faut s’en occuper, cela ne se réglera pas tout seul. Le défi est de libérer les énergies, mais de manière sécurisée.

Retrouvez l’intégralité de l’échange dans le replay du webinaire, et découvrez comment DataGalaxy aide les organisations à gouverner leurs données et leurs cas d’usage d’IA sur une même plateforme.

Q&A

Faut-il attendre l’AI Act pour mettre en place une gouvernance de l’IA ?

Non. Colas et Crédit Mutuel Arkéa ont structuré leur gouvernance avant toute contrainte réglementaire. Colas a posé sa méthode de développement dès ses premiers modèles de computer vision, pour partir du bon pied plutôt que rattraper le retard. Arkéa a engagé une démarche d’IA de confiance certifiée par le LNE, puis a inscrit l’IA dans son plan stratégique Faire 2030. Attendre la réglementation expose à un double risque : des usages non maîtrisés qui se multiplient, et un rattrapage plus coûteux une fois les obligations en vigueur.

Quelle est la différence entre gouvernance des données et gouvernance de l’IA ?

La gouvernance de l’IA s’appuie sur la gouvernance des données, car tout modèle consomme de la donnée. Mais elle ajoute quatre enjeux. Les modèles sont non déterministes, donc leur qualité est plus difficile à mesurer. Ils ouvrent de nouveaux vecteurs d’attaque. L’IA est disséminée partout, y compris dans les outils des éditeurs. Enfin, la gouvernance de l’IA part de la finalité : le cas d’usage justifie-t-il le risque ? La gouvernance des données part plutôt de la protection de la donnée elle-même.

Comment lutter contre le shadow AI en entreprise ?

En proposant une alternative sécurisée avant d’interdire. Arkéa a déployé une IA générative pour tous ses collaborateurs et bloqué les IA grand public sur son réseau. Colas propose des GPT internes et des instances sous contrat sécurisé. La condition de succès est la performance : l’outil interne doit suivre les standards du marché. Sinon, les collaborateurs reviennent vers ChatGPT ou Gemini sur leurs appareils personnels. La sensibilisation et l’explication de la technologie complètent le dispositif.

Qu’est-ce qu’un réseau d’IA Champions ?

C’est un réseau de relais locaux dans les entités d’un groupe. Chez Crédit Mutuel Arkéa, qui compte une quarantaine de filiales, ces champions identifient les cas d’usage et les besoins locaux. Ils diffusent aussi les principes de maîtrise des risques et de conformité. Le groupe distingue les référents IA, centrés sur la feuille de route, et les référents IA de confiance, centrés sur la sécurité et la conformité. Une même personne peut porter les deux rôles. Le réseau permet aussi de suivre les expérimentations et de les déployer ailleurs.

Comment éviter que la gouvernance de l’IA ne ralentisse les projets ?

En adoptant une gouvernance proportionnée aux risques. Un cas d’usage à faible risque doit suivre un parcours allégé, avec peu de questionnaires et de documentation. Les cas complexes ou sensibles déclenchent un contrôle renforcé. Un indicateur aide à piloter cet équilibre : l’efficience de la gouvernance, soit le temps passé à documenter un cas d’usage par rapport au temps passé à le construire. Un guichet unique, simple et attractif, encourage aussi les équipes à déclarer leurs projets plutôt qu’à les cacher.

À propos de l'auteur: Laura Corbet

Tech Team