Les cinq risques liés à la gouvernance de l'IA auxquels les entreprises doivent prêter attention

En ce moment même, quelque part au sein de votre entreprise, un collaborateur utilise un outil d'IA pour effectuer son travail. Peut-être sont-ils en train de résumer un contrat client. Peut-être sont-ils en train d'analyser les états financiers. Peut-être sont-ils en train de rédiger une réponse à une demande d'informations des autorités de régulation. Ils ne sont pas les seuls : 41% de la population active utilise déjà l'IA générative dans le cadre de son travail. L'IA n'est plus une option. La direction y a encouragé. C'est ainsi que l'on travaille désormais. L'objectif ne se limite pas à l'adoption ; il s'agit d'une intégration en profondeur au sein des équipes et des processus de travail. Les gains de productivité sont bien réels, mais les lacunes en matière de gouvernance qu'ils engendrent le sont tout autant. 

Tous les autres canaux de communication de votre organisation, qu'il s'agisse des e-mails, de Slack ou de Teams, s'inscrivent dans une infrastructure de conformité dont la mise en place a demandé du temps. Ce n'est pas le cas des conversations basées sur l'IA. Pas encore. Et cela devient le point faible de tous les programmes de conformité. Ces conversations ont lieu à grande échelle, chaque jour, au sein de votre organisation. Et dans la plupart des cas, votre équipe chargée de la conformité n'a aucune visibilité sur tout cela.

Ce n'est pas un problème qui se posera à l'avenir. C'est un cadeau. Voici cinq risques liés à la gouvernance qui se concrétisent déjà, ainsi que les mesures à prendre pour y remédier.

Risque n° 1 : des risques réglementaires que vous ne pouvez pas anticiper

Le cadre réglementaire relatif à l'IA s'est considérablement durci en 2026. La date limite de mise en œuvre de la loi européenne sur l'IA pour les systèmes d'IA à haut risque est fixée au mois d'août. La Securities and Exchange Commission (SEC) a fait de la gouvernance de l'IA l'une de ses principales priorités en matière de contrôle. En avril, le NIST a publié une mise à jour de ses recommandations relatives à la gestion des risques liés à l'IA pour les infrastructures critiques. À elles seules, les entreprises du secteur des services financiers ont dû faire face à 157 mises à jour réglementaires liées à l'IA en l'espace d'une single année.

Le point commun : les autorités de régulation ne se demandent plus si les organisations disposent d'une stratégie en matière d'IA. Ils se demandent si les organisations sont en mesure de faire preuve de bonne gouvernance. Les politiques sur le papier ne suffiront pas. Les auditeurs souhaiteront disposer de preuves de traçabilité, notamment des journaux, des registres et des contrôles. La plupart des organisations ne sont pas en mesure de les produire.

Risque n° 2 : L'angle mort juridique

Voici une question à laquelle votre équipe juridique n'a peut-être pas pensé : si une demande de communication de pièces ou une demande d'accès aux données (DSAR) était reçue demain, serait-elle en mesure d'y répondre en incluant les conversations générées par l'IA ?

Les conversations générées par l'IA peuvent constituer du contenu accessible. Les demandes envoyées par les employés, les réponses qu'ils reçoivent, les documents qu'ils produisent : tout cela peut faire l'objet d'une conservation à des fins juridiques, d'une assignation à comparaître, d'une obligation de communication de pièces et d'obligations liées aux demandes d'accès aux données personnelles (DSAR). Pourtant, la plupart des organisations ne disposent d'aucun mécanisme permettant de conserver, de rechercher ou de produire du contenu généré par l'IA. La messagerie électronique relève de l'infrastructure de gouvernance depuis des décennies. Les conversations basées sur l'IA, qui constituent désormais l'un des principaux canaux d'échanges dans le monde des affaires, posent des défis en matière de gouvernance et de recherche que le courrier électronique n'a jamais posés.  

Risque n° 3 : circulation de données au sein des systèmes d'IA sans contrôle des données sensibles ni respect des politiques

Vos politiques de prévention des pertes de données s'appliquent aux e-mails. Ils concernent les transferts de fichiers. Ils couvrent sans doute Slack et Teams. Mais lorsqu'un collaborateur colle le numéro de Sécurité sociale d'un client, une feuille de route produit ou une lettre d'intention relative à une fusion-acquisition dans une conversation avec l'IA, votre moteur de politiques le détecte-t-il ?

Pour la plupart des organisations, la réponse est non. Quant à ceux dont la couverture de surveillance est partielle, la complexité de leur environnement rend difficile l'identification des lacunes. Les outils d'intelligence artificielle sont devenus un vecteur important de circulation des données sensibles, souvent sans que les employés n'aient conscience des implications en matière de gouvernance. Les données à caractère personnel, la propriété intellectuelle confidentielle, les données financières et les informations soumises à une réglementation circulent chaque jour au sein des conversations basées sur l'IA, en dehors des contrôles qui régissent tous les autres canaux de communication de l'entreprise.

Risque n° 4 : des politiques d'utilisation acceptable qui ne peuvent pas être appliquées

De nombreuses organisations se sont empressées de publier des politiques d'utilisation responsable de l'IA. La mise en place d'un dispositif permettant de contrôler le respect des règles s'avère plus difficile. Une politique interdisant le partage de données confidentielles des clients avec des outils d'IA n'a de sens que si l'on est en mesure de détecter quand elle est enfreinte.

Sans la possibilité de contrôler les contenus générés par l'IA, les politiques d'utilisation acceptable sont, dans les faits, inapplicables ; il s'agit là d'une simple formalité de gouvernance qui procure une fausse assurance. En cas de problème, cette police ne vous couvrira pas. C'est l'absence de suivi qui déterminera votre niveau d'exposition.

Risque n° 5 : Risque lié aux personnes internes via l'IA

C'est le risque qui a tendance à surprendre le plus les équipes chargées de la conformité. Les outils d'IA ne se contentent pas de recevoir des informations sensibles. On peut les inciter à contribuer à contourner les contrôles. Un employé soumis à une forte pression peut demander à l'IA de rédiger une note d'approbation pour un fournisseur n'ayant pas suivi la procédure d'approvisionnement, de générer un bon de commande contournant le contrôle financier, ou de produire des documents qui semblent légitimes mais ne le sont pas.

L'IA s'y conformera souvent, parfois avec certaines réserves, parfois sans. Et comme ces interactions peuvent se dérouler en dehors de l'infrastructure de gouvernance, elles peuvent ne pas être détectées avant que le paiement n'ait été effectué, que les données n'aient été partagées ou que l'audit n'ait commencé.

Combler le fossé

Ce mandat n'est pas près de disparaître. L'obligation de conformité ne l'est pas non plus. Les organisations les mieux placées pour gérer les risques liés à la gouvernance de l'IA n'attendent pas qu'une mesure réglementaire les oblige à agir ; elles étendent l'infrastructure de gouvernance dont elles disposent déjà afin d'y inclure désormais les conversations et les contenus liés à l'IA.

Certaines organisations partiront du principe qu'elles sont déjà bien équipées grâce à leur solution technologique actuelle, mais la plupart des entreprises utilisent aujourd'hui plusieurs solutions d'IA. Un cadre de gouvernance articulé autour de l'écosystème d'un seul prestataire fait peser un risque sur les autres. C'est pourquoi une solution de gouvernance couvrant l'ensemble des interactions liées à l'IA, quel que soit le modèle ou la plateforme à l'origine de celles-ci, correspond à ce qu'est réellement une gouvernance complète.

Les organisations qui réussissent dans ce domaine ne considéreront pas la gouvernance de l'IA comme un axe de travail distinct. Ils prendront conscience de ce que les meilleurs responsables de la sécurité savent déjà : protéger les modes de travail des personnes a toujours été leur mission. Les personnes, les données et l'IA ne constituent pas trois problèmes distincts à résoudre. Ils ne font qu'un. 

C'est exactement ce que Mimecast GCI permet désormais de faire. Grâce à l'API Claude Compliance et au connecteur Claude Enterprise, les entreprises peuvent conserver, rechercher, archiver et produire des conversations générées par l'IA, parallèlement à toutes les autres sources de données de leur infrastructure de conformité. Pas de nouveaux outils. Pas de nouveaux flux de travail. Une expérience de gouvernance unique et unified qui intègre désormais l'IA d'entreprise.

Pour en savoir plus sur Mimecast GCI et l'annonce concernant l'API Claude Compliance, cliquez ici.