L’essentiel
- Aucun texte n’impose de créer un comité de gouvernance de l’IA. Quatre obligations existent, et le comité de gouvernance de l’IA ne vaut que par ce qu’il produit pour les satisfaire.
- Le règlement européen attribue les devoirs à des personnes nommées, pas à des organes. L’annexe V, point 8, exige que la déclaration de conformité porte le nom et la fonction du signataire, et l’article 26, paragraphe 2, impose de confier le contrôle humain à des personnes physiques disposant de la compétence, de la formation et de l’autorité nécessaires.
- L’article 17, paragraphe 1, impose aux fournisseurs de systèmes à haut risque un cadre de responsabilité définissant les responsabilités de la direction et du personnel. C’est cette phrase, et non un organigramme, que l’auditeur vient vérifier.
- Une cadence trimestrielle ne peut pas tenir les délais de l’article 73 : 15 jours, 10 jours, 2 jours. La cadence est un contrôle, et elle suppose une délégation permanente.
- Depuis le règlement (UE) 2026/1744, les obligations haut risque de l’annexe III s’appliquent au 2 décembre 2027 et celles de l’annexe I au 2 août 2028, alors que la littératie et la transparence sont déjà exigibles. Une charte calée sur l’ancien calendrier est déjà fausse.
Cherchez comment monter un comité de gouvernance de l’IA et vous trouverez un consensus remarquable. Réunir le juridique, la DSI, la sécurité, la data science, les ressources humaines et les métiers. Se réunir chaque trimestre. Rédiger une charte ouverte par un préambule de principes. Approuver les cas d’usage. Former tout le monde. Le conseil est raisonnable, et c’est à peu près ce que dit chaque page de la première page de résultats. Il est aussi, pris isolément, invérifiable. Aucun des quarante premiers résultats sur cette requête ne cite une seule disposition juridique que la structure devrait satisfaire. Le modèle de charte qui occupe la quatrième position date de 2023, prévoit sept membres permanents et cinq membres tournants, et son article consacré à la conformité engage l’organisation envers « toutes les normes juridiques et éthiques pertinentes » sans en nommer une seule. Ce guide prend le chemin inverse. Il part des quatre obligations qui existent réellement, en déduit les sièges, les droits de décision, la cadence et les traces qui les honorent, et dit sans détour dans quels cas un comité de gouvernance de l’IA est une mauvaise réponse.
Ce qu’est réellement un comité de gouvernance de l’IA
Un comité de gouvernance de l’IA est une instance permanente disposant d’une autorité déléguée pour décider si, comment et sous quelles conditions une organisation conçoit, achète et exploite des systèmes d’IA. La moitié importante de cette phrase tient dans « autorité déléguée ». Un groupe qui examine et conseille est un groupe de travail. Un groupe qui peut arrêter un déploiement est un comité de gouvernance de l’IA. Première précaution, propre au français : ne pas confondre l’instance interne avec le Comité européen de l’intelligence artificielle institué par l’article 65 du règlement, qui réunit les représentants des États membres auprès de la Commission. Les deux apparaissent sous le mot « comité » et n’ont rien en commun. Cette page traite exclusivement du comité de gouvernance de l’IA interne à l’entreprise. Trois organes se confondent ensuite avec un comité de gouvernance de l’IA, et la confusion coûte cher le jour où une autorité demande qui a décidé quoi. Un comité de pilotage porte la stratégie : dans quoi investir, dans quel ordre, pour quel retour. Sa production est une feuille de route et un budget. Un comité d’éthique rend un avis sur l’acceptabilité d’un usage, le plus souvent sans pouvoir contraindre, et fonctionne d’autant mieux qu’une partie de ses membres vient de l’extérieur. Un comité de gouvernance de l’IA se situe entre les deux et porte les décisions à conséquence juridique : la classification du risque, les conditions de déploiement, la désignation des personnes responsables, l’arrêt d’un système. Rares sont les organisations qui ont besoin des trois. Il leur faut un comité de gouvernance de l’IA doté de droits de décision explicites et de comptes rendus honnêtes, plus une personne nommée qui signe. Ce qu’elles montent, en pratique, est un comité de pilotage déguisé, d’où le fait que la deuxième et la troisième séance portent sur des budgets d’outils plutôt que sur la classification des systèmes déjà en production. L’étiquette compte moins que les droits de décision. Quel que soit le nom retenu, écrivez ce que l’instance peut décider, ce qu’elle doit faire remonter, et ce qui ne doit jamais lui parvenir. Tout le reste en découle. Notre page gouvernance de l’IA couvre le modèle opérationnel dans lequel cette instance s’inscrit.
Le comité de gouvernance de l’IA n’est pas une obligation légale. Ces quatre points le sont
Toute charte de comité de gouvernance de l’IA devrait s’ouvrir sur cette section. Les pages classées l’ignorent, et c’est la seule que l’auditeur regardera.
Article 17, paragraphe 1 : le cadre de responsabilité
Les fournisseurs de systèmes d’IA à haut risque doivent mettre en place un système de gestion de la qualité. L’article 17, paragraphe 1, en énumère les éléments, parmi lesquels un cadre de responsabilité définissant les responsabilités de la direction et des autres membres du personnel à l’égard de tous les aspects énumérés. Ces aspects couvrent la stratégie de conformité réglementaire, les procédures de conception et d’essai, la gestion des données, la gestion des risques, la surveillance après commercialisation, le signalement d’incidents et la tenue des registres. Lisez cette liste comme la table des matières de votre charte de comité de gouvernance de l’IA. Pour chaque élément du système de gestion de la qualité, un rôle nommé doit en porter la charge. Si votre charte se contente d’indiquer que le comité de gouvernance de l’IA est responsable de « la conformité », l’article 17 n’est pas satisfait. S’il précise que le responsable de l’ingénierie des données porte la gestion des données au titre de l’article 10 et en rend compte chaque trimestre, il l’est.
Article 26, paragraphe 2 : un contrôle confié à des personnes physiques
Les déployeurs de systèmes à haut risque confient le contrôle humain à des personnes physiques qui disposent de la compétence, de la formation et de l’autorité nécessaires, ainsi que du soutien nécessaire. Trois tests distincts tiennent dans cette phrase. La compétence suppose que la personne comprenne les sorties du système et ses limites. La formation suppose qu’elle ait été formée sur ce système précis. L’autorité suppose qu’elle puisse effectivement passer outre ou alerter, ce qui interdit en pratique de la placer sous l’autorité de celui dont le système sert les objectifs. Un comité de gouvernance de l’IA ne peut pas exercer lui-même le contrôle de l’article 26. Il ne peut que désigner ceux qui l’exercent, vérifier leur capacité réelle et en conserver la trace. Notre guide sur la supervision humaine détaille ce que les articles 14 et 26 exigent en pratique.
Annexe V, point 8 : quelqu’un signe
L’article 47 impose au fournisseur d’établir, pour chaque système à haut risque, une déclaration UE de conformité écrite, lisible par machine, signée physiquement ou par voie électronique, et de la tenir à la disposition des autorités nationales compétentes pendant dix ans. L’annexe V en fixe le contenu, et son point 8 exige le nom et la fonction du signataire, l’indication de la personne au nom de laquelle il signe, et une signature. Un comité n’a pas de signature. Quelqu’un, dans votre organisation, attestera personnellement de la conformité d’un système, et le fera sous la seule responsabilité du fournisseur. La chose la plus utile qu’un comité de gouvernance de l’IA puisse faire dès sa première séance est d’identifier cette personne et de déterminer ce dont elle aura besoin pour signer sans réserve. La plupart des organisations découvrent la réponse pendant l’évaluation de la conformité, c’est-à-dire trop tard.
ISO/IEC 42001, clause 5.3, et NIST AI RMF GOVERN 2
Hors Union européenne, la même exigence prend la forme d’une exigence de système de management. La clause 5.3 de la norme ISO/IEC 42001 impose à la direction d’attribuer, de communiquer et d’autoriser les rôles, responsabilités et autorités relatifs au système de management de l’IA, y compris la responsabilité de rendre compte de sa performance à la direction. Les auditeurs lisent la clause 5.3 comme une exigence de responsabilité documentée sur tout le cycle de vie, pas comme un organigramme. Le cadre de gestion des risques du NIST place le même contenu dans GOVERN 2. GOVERN 2.1 demande que les rôles, responsabilités et lignes de communication soient documentés et compris. GOVERN 2.2 demande que le personnel et les partenaires soient formés. GOVERN 2.3 place les arbitrages d’appétence au risque au niveau de la direction générale, et non chez ceux qui ont construit le modèle. Notre cadre de gestion des risques NIST met les trois régimes en regard. Quatre obligations, aucun comité parmi elles. Le comité de gouvernance de l’IA ne gagne sa place qu’en produisant le cadre de responsabilité, les superviseurs nommés, le signataire et la preuve que les trois premiers existent vraiment.
Qui siège, et ce que chaque siège porte
Les listes de membres d’un comité de gouvernance de l’IA se lisent comme une énumération de directions. C’est une salle, pas une instance de gouvernance. Attachez un devoir à chaque siège. Président, en principe un dirigeant disposant d’une responsabilité de résultat. Porte l’appétence au risque appliquée par le comité de gouvernance de l’IA et l’escalade vers le conseil. GOVERN 2.3 place cet arbitrage au niveau exécutif pour une raison simple : une appétence fixée par un groupe de travail est une préférence, pas un mandat. Signataire. La personne désignée au titre de l’annexe V, point 8, pour les déclarations de conformité. Souvent le président lui-même chez un petit fournisseur, souvent le directeur produit ou technique chez un plus grand. Ce siège existe, que vous le pourvoyiez délibérément ou non. Juridique et réglementaire. Porte la décision de classification au titre des articles 6 et 7 et la réponse à la question du rôle tenu pour chaque système : fournisseur, déployeur, importateur, distributeur ou mandataire. La plupart des désaccords internes sont en réalité des désaccords de qualification. Protection des données. Porte l’articulation avec le RGPD, notamment la question de savoir si une analyse d’impact relative à la protection des données s’ajoute à l’analyse d’impact sur les droits fondamentaux, et la base légale des données d’entraînement. La CNIL a publié des recommandations sur le développement des systèmes d’IA qui servent utilement de référence à ce siège. Notre note sur l’analyse d’impact IA précise quel régime s’applique. Sécurité. Porte les exigences d’exactitude, de résilience et de cybersécurité de l’article 15, les tests adverses et l’articulation avec la réponse à incident. L’ANSSI et le BSI ont publié des principes de conception pour les systèmes fondés sur des grands modèles de langage qui cadrent ce périmètre. Responsable métier du modèle et des données. Porte le suivi de performance, la dérive, et la réponse honnête à la question de l’usage réel du système, qui diffère fréquemment de ce que disait la demande initiale. Ressources humaines ou référent instances représentatives. Porte l’information des travailleurs prévue à l’article 26, paragraphe 7, et, en droit français, l’information-consultation du comité social et économique, qui intervient avant le déploiement et non après. Ce siège est celui que les organisations françaises oublient le plus souvent, et le seul dont l’omission peut suspendre un projet. Deux règles maintiennent la salle honnête. D’abord, distinguez dans la charte les membres qui conseillent de ceux qui répondent, parce qu’un membre responsable ne peut pas s’abstenir. Ensuite, plafonnez l’effectif. Un comité de gouvernance de l’IA de quinze personnes ne décide rien : il assiste à des présentations.
Droits de décision : ce que le comité peut trancher, et ce qu’il ne peut pas
Écrivez les droits de décision du comité de gouvernance de l’IA avant sa composition. Une instance qui en est dépourvue dérive vers le travail le plus facile disponible, c’est-à-dire l’achat d’outils. Quatre dispositions suffisent : approuver, approuver sous conditions, ajourner dans l’attente d’éléments, arrêter. Chacune reçoit un porteur nommé et une date. L’approbation sous conditions est la disposition la plus utile et celle que les chartes omettent le plus souvent, ce qui force un choix binaire que le comité de gouvernance de l’IA n’est pas prêt à faire. Certaines décisions doivent remonter au conseil : une pratique interdite au sens de l’article 5, tout premier déploiement d’un système classé à haut risque, toute acceptation d’un risque résiduel contre l’avis formel du porteur de risque, tout incident grave déclenchant une obligation de signalement. Le conseil ne veut pas du reste, et son devoir de surveillance se satisfait des exceptions et de la vue agrégée, pas de la file d’attente. Certaines décisions ne doivent jamais atteindre le comité de gouvernance de l’IA. Les outils internes de productivité sans données personnelles ni sortie externe relèvent d’une politique permanente, et si votre processus d’entrée les achemine vers l’instance, celle-ci y dépensera son autorité. La classification par niveau de risque est le filtre qui protège l’ordre du jour. Classez à l’entrée, orientez selon le niveau, réservez la salle aux systèmes à conséquence juridique. Notre guide sur la gestion des risques IA explique comment définir ces niveaux. Dernière règle, qu’aucune page classée ne soulève. L’instance qui approuve un cas d’usage ne peut pas être celle qui l’assure. L’Institut des auditeurs internes projette la surveillance de l’IA sur le modèle des trois lignes, à travers trois domaines : gouvernance, management et audit interne, l’environnement de contrôle étant établi par le management en première ligne et l’organe de gouvernance s’appuyant sur les informations fournies par l’audit interne. Un comité de gouvernance de l’IA qui rédige le contrôle, l’exécute et le valide produit un document, pas une assurance. Gardez l’audit IA indépendant de l’instance qui a approuvé le système.
La cadence est un contrôle, pas un calendrier
Presque toutes les chartes de comité de gouvernance de l’IA en circulation fixent un minimum trimestriel, avec un rythme mensuel à la discrétion du président. Comparez avec les horloges que le règlement fait réellement tourner. L’article 73 impose au fournisseur de signaler un incident grave à l’autorité de surveillance du marché sans retard injustifié et, en tout état de cause, dans les 15 jours suivant la prise de connaissance. Le délai tombe à 10 jours lorsqu’un décès a pu être causé, et à 2 jours en cas d’infraction de grande ampleur ou de perturbation grave et irréversible d’une infrastructure critique. L’article 73, paragraphe 5, autorise un signalement initial incomplet complété ensuite, ce qui est une concession à exactement ce problème. Aucun comité de gouvernance de l’IA trimestriel ne tient un délai de 2 jours. Un rythme mensuel non plus. Ce n’est pas un argument contre une cadence régulière, c’est un argument pour que la cadence ne porte que le travail délibératif et que tout ce qui est chronométré repose sur une délégation permanente. Trois mécanismes suffisent. Une astreinte, pour qu’à toute heure une personne nommée puisse qualifier un événement et déclencher l’horloge. Un déclencheur de convocation inscrit dans la charte, précisant qui peut réunir l’instance sous vingt-quatre heures et ce qu’il peut décider seul dans l’intervalle. Et un point permanent à l’ordre du jour sur la surveillance après commercialisation, pour que les signaux de dérive et les réclamations qui précèdent la plupart des incidents parviennent à la salle avant l’incident. Notre guide sur le signalement des incidents IA détaille la mécanique de l’article 73. La cadence délibérative, elle, se règle sur le débit et non sur le calendrier. Si l’entrée produit douze classifications à haut risque par trimestre, des séances trimestrielles garantissent une file d’attente, et la file d’attente est l’endroit précis où commence le déploiement clandestin.
Ce que le comité doit produire comme preuve
Une autorité n’inspecte pas un comité de gouvernance de l’IA : elle inspecte des traces. Cinq objets portent le poids. Les comptes rendus comme actes de décision. Présents et excusés, la décision parmi les quatre dispositions, le raisonnement, les réserves nominatives, les conditions, le porteur et la date. Un compte rendu qui n’enregistre que le résultat ne vaut rien dans une enquête, parce que la question posée sera celle du caractère raisonnable de la décision au regard des informations disponibles à l’époque, et seul le raisonnement y répond. Le registre des cas d’usage. Une ligne par système, avec le rôle tenu, la classification et son raisonnement, le superviseur nommé au titre de l’article 26, l’étape du cycle de vie et la date de revue. Ce registre est aussi la réponse concrète à l’IA clandestine, puisqu’un système que personne n’a enregistré est un système que personne ne supervise. Voir notre page sur la documentation des systèmes d’IA pour le contenu attendu. Les journaux. L’article 26, paragraphe 6, impose au déployeur de conserver les journaux générés automatiquement par un système à haut risque, dans la mesure où ils sont sous son contrôle, pendant une durée appropriée à la destination du système et d’au moins six mois, sauf disposition contraire. Six mois est un plancher, pas une cible, et c’est plus court que la plupart des calendriers d’enquête. La documentation technique de l’annexe IV. Quelqu’un la porte, elle doit être à jour au moment de la mise sur le marché et suivre les évolutions du système. Le rôle du comité de gouvernance de l’IA est de vérifier que ce porteur existe et que le document n’a pas dix-huit mois de retard sur le modèle déployé. La déclaration de conformité. Signée, lisible par machine, conservée dix ans après la mise sur le marché ou la mise en service. Un test utile : demandez ce que le comité de gouvernance de l’IA pourrait remettre demain matin à une autorité sans rien préparer. Si la réponse honnête est une présentation, l’instance n’est pas encore un contrôle.
Le calendrier 2027 qu’une charte rédigée aujourd’hui doit intégrer
C’est sur les dates que beaucoup de publications consacrées au comité de gouvernance de l’IA sont désormais simplement fausses, parce que le calendrier a bougé après leur rédaction. Déjà applicable : les pratiques interdites de l’article 5 et le devoir de littératie de l’article 4 s’appliquent depuis le 2 février 2025, les obligations relatives aux modèles à usage général depuis le 2 août 2025. La littératie est l’obligation la plus négligée et celle qu’un comité de gouvernance de l’IA peut honorer le plus vite. À compter du 2 août 2026 : les obligations de transparence de l’article 50 sur les contenus de synthèse, l’information des utilisateurs de robots conversationnels, le marquage des hypertrucages et la reconnaissance des émotions. Si l’organisation génère ou manipule du contenu, c’est l’échéance dure la plus proche. Reportées : le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, adopté par le Parlement européen le 16 juin 2026 et par le Conseil le 29 juin 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a déplacé les obligations haut risque autonomes de l’annexe III au 2 décembre 2027 et celles de l’annexe I au 2 août 2028. Les pratiques interdites et le régime des modèles à usage général n’ont pas été modifiés. Pour un comité de gouvernance de l’IA, ce report n’est pas une raison de ralentir : c’est un budget. Le travail de classification, le cadre de responsabilité et le registre sont les chantiers longs, et les organisations qui traitent le 2 décembre 2027 comme une date de départ plutôt que comme une échéance assembleront la documentation de l’annexe IV pour des systèmes qui tourneront sans surveillance depuis deux ans. Notre guide sur les systèmes d’IA à haut risque traite de la décision de classification elle-même.
Quand il ne faut pas créer de comité de gouvernance de l’IA
Une des pages les mieux classées sur cette requête soutient qu’il ne faut pas créer de comité de gouvernance de l’IA du tout. L’argument mérite une réponse plutôt qu’un silence, parce qu’il a raison plus souvent que les guides d’éditeurs ne l’admettent. Un comité de gouvernance de l’IA permanent est la mauvaise structure lorsque trois conditions se réunissent : l’organisation n’est ni fournisseur ni déployeur d’un système à haut risque, elle n’exploite aucun modèle à usage général propre, et son usage de l’IA se limite à quelques outils du marché sans décision automatisée concernant des personnes. Dans ce cas, l’instance produit du cérémonial. La bonne structure est un responsable nommé, une politique IA réellement appliquée, et un point permanent dans un comité des risques ou d’audit existant. Un comité de gouvernance de l’IA est également la mauvaise structure lorsqu’il sert à diluer la responsabilité jusqu’à ce que plus personne ne la porte. Si la charte ne nomme aucune personne responsable, l’instance a rendu la responsabilité plus difficile à localiser qu’auparavant, ce qui est précisément le défaut que l’article 17 et la clause 5.3 cherchent à empêcher. Deux déclencheurs honnêtes : le premier système classé à haut risque au titre de l’annexe III, et la première fois que deux directions s’opposent sur un déploiement sans qu’existe un lieu où trancher avec une trace écrite. Avant cela, un responsable nommé et une bonne politique IA rendront davantage de services.
Questions fréquentes
Quel est le rôle d’un comité de gouvernance de l’IA ? Le comité de gouvernance de l’IA détient et exerce des droits de décision délégués sur les systèmes d’IA à conséquence juridique ou matérielle, et il produit les traces prouvant que ces décisions ont été prises délibérément. Concrètement : classer les systèmes et le rôle tenu pour chacun, approuver ou conditionner les déploiements, désigner les personnes responsables du contrôle et de la signature des documents de conformité, examiner les incidents et la surveillance après commercialisation. Pour un comité de gouvernance de l’IA, l’avis consultatif est une fonction secondaire : une instance qui se borne à conseiller n’a pas besoin d’une charte. Qui est responsable de la gouvernance de l’IA ? Des personnes nommées, pas le comité de gouvernance de l’IA. Le règlement attribue les devoirs au fournisseur ou au déployeur en tant qu’organisation, puis exige que cette organisation identifie des personnes physiques : les superviseurs de l’article 26, le personnel dont les responsabilités figurent dans le cadre de responsabilité de l’article 17, et le signataire de la déclaration de conformité au titre de l’annexe V. La clause 5.3 d’ISO/IEC 42001 demande la même chose à la direction. Quelle différence avec un comité de pilotage IA ? Le comité de pilotage décide de ce que l’organisation doit construire et financer. Le comité de gouvernance de l’IA décide si et sous quelles conditions elle peut exploiter ce qui a été construit. Idéalement, les deux ne partagent pas le même président, parce que la personne responsable de la livraison ne devrait pas être celle qui approuve l’acceptation du risque. Si l’effectif impose une instance unique, séparez l’ordre du jour et consignez les deux rôles distinctement. À quelle fréquence doit-il se réunir ? Réglez la cadence délibérative sur le volume d’entrée plutôt que sur l’habitude, et ne faites jamais reposer sur le calendrier des séances quoi que ce soit de chronométré. L’article 73 fait tourner des horloges de 15, 10 et 2 jours : la charte a donc besoin d’une astreinte, d’une règle de convocation d’urgence et d’un périmètre écrit de ce qu’une personne seule peut décider. Faut-il un comité de gouvernance de l’IA pour obtenir la certification ISO 42001 ? Non. La clause 5.3 exige des rôles, responsabilités et autorités attribués et communiqués, ainsi qu’un canal de remontée de la performance du système de management vers la direction. Une instance est une façon commode de le démontrer, mais l’auditeur vérifie que la responsabilité est documentée, comprise et exercée, pas qu’un organe portant un nom particulier existe. Notre guide sur la certification ISO 42001 précise ce que les auditeurs échantillonnent. Que doit contenir la charte ? L’objet et le périmètre, les quatre dispositions de décision et leurs détenteurs, la matrice d’escalade vers le conseil, les sièges avec un devoir nommé attaché à chacun, le quorum et la règle de conflit d’intérêts, le déclencheur de convocation et l’astreinte, l’ordre du jour permanent, les obligations de conservation avec leurs durées, et le cycle de révision de la charte elle-même. Ajoutez une annexe qui associe chaque élément de l’article 17, paragraphe 1, à un rôle nommé : c’est cette annexe que l’auditeur demandera.
Conclusion
Les pages classées sur cette requête décrivent une organisation. Le règlement, lui, décrit une chaîne de responsabilité, et cette chaîne se termine sur une personne munie d’un stylo. Un comité de gouvernance de l’IA vaut exactement dans la mesure où il rend cette chaîne explicite : qui a classé ce système et sur quel raisonnement, qui le supervise et avec quelle autorité, qui signera pour lui, et où se trouve la trace des trois. Construisez la charte à rebours de l’article 17, de l’article 26, de l’annexe V et de la clause 5.3. Donnez au comité de gouvernance de l’IA de vraies dispositions et un vrai chemin d’escalade. Gardez l’assurance indépendante de l’approbation. Réglez la cadence sur les horloges d’incident et non sur le calendrier. Et si les quatre obligations ne vous concernent pas encore, écrivez-le et nommez un responsable. Une instance qui existe parce que les devoirs existent est un contrôle. Une instance qui existe parce qu’un concurrent a annoncé la sienne est une réunion.