À l’ère de l’IA, la gouvernance d’entreprise signifie préserver la confiance
La gouvernance de l’IA doit se concentrer sur des résultats tels que l’intégrité, la responsabilité, la transparence et la résilience.
Les conseils d’administration doivent converger la transformation de l’IA et la cybersécurité, en veillant à ce que les équipes conçoivent conjointement des systèmes dès le départ plutôt que de valider après coup.
Une gouvernance digne de confiance nécessite un leadership indépendant, des inventaires précis d’IA/IT et une véritable littératie au niveau du conseil pour gérer la valeur à long terme.
Le contexte actuel
L’IA transforme les entreprises, les risques cybernétiques s’intensifient et la confiance dans les institutions est sous pression. Dans ce contexte, à quoi ressemble une « bonne gouvernance » en 2025 ? La gouvernance se réfère aux structures, systèmes et pratiques qu’une organisation met en place pour attribuer l’autorité de décision, définir comment les décisions doivent être prises, et surtout, faire des progrès vers la direction stratégique de l’organisation.
Cela inclut également la livraison des services, la gestion de la performance, la surveillance et l’atténuation des principaux risques. Cependant, la gouvernance est souvent caricaturée comme une bureaucratie qui freine l’innovation. La solution n’est pas d’ajouter plus de procédures, mais de revenir aux principes fondamentaux : définir les résultats que la gouvernance vise à protéger – intégrité, responsabilité, transparence et résilience – puis travailler à rebours pour établir les mécanismes minimums nécessaires pour les atteindre.
La convergence des impératifs du conseil
Cette reformulation de la gouvernance est directement liée aux défis auxquels les conseils sont confrontés aujourd’hui. Les conseils sont les gardiens de la longévité d’une entreprise ; au cours des deux dernières années, deux éléments ont dominé leur agenda : la transformation avec l’IA et la défense contre les risques cybernétiques.
Une erreur courante est de traiter ces deux sujets comme séparés. Cependant, l’évolution constante du paysage des menaces démontre leur intersection : l’IA est utilisée pour amplifier les cyberattaques, et les cyberattaques ciblent les systèmes d’IA. Ainsi, des systèmes d’IA dignes de confiance dépendent de nombreuses disciplines que la cybersécurité a définies : politiques, risques, contrôles, tests et red-teaming. La convergence de ces disciplines n’est pas optionnelle.
Conception collaborative dès le départ
Mais le changement ne peut pas se produire si les équipes restent isolées. Il est rare de voir les leaders de la cybersécurité travailler main dans la main avec l’agenda de transformation d’une entreprise. Au lieu de cela, ils sont souvent considérés comme des validateurs des résultats, intervenant à la dernière minute pour vérifier l’état de sécurité. Ce modèle « après coup » est coûteux et ralentit l’innovation. Que se passerait-il si la véritable rapidité et efficacité provenaient de la co-conception des équipes de cybersécurité et de transformation de l’IA dès le départ ?
Résilience dans le secteur public vs privé
Dans le secteur privé, les consommateurs peuvent voter avec leurs pieds (ou leur portefeuille) s’ils perdent confiance ou confiance en un fournisseur après une violation. Cependant, dans le secteur public, les citoyens n’ont pas ce choix : ils ne peuvent pas changer d’endroit pour obtenir des passeports, des soins de santé ou des services essentiels. Cela rend les normes d’approvisionnement, la transparence, la responsabilité et la résilience encore plus vitales.
Les gouvernements doivent montrer que, même lorsque des erreurs se produisent, les processus sont éthiques, transparents et suffisamment résilients pour maintenir la confiance des citoyens.
Le mandat évolutif du CISO en matière de gouvernance de l’IA
Un nombre croissant d’organisations explorent activement où la gouvernance de l’IA devrait être placée. Certaines ont déjà choisi d’élargir le rôle du directeur de la sécurité de l’information (CISO), qui apporte un niveau d’indépendance par rapport aux opérations quotidiennes et est déjà responsable de plusieurs disciplines de risque et de contrôle. Cependant, la structure organisationnelle est importante ; la position du CISO dans la hiérarchie et à qui il rend compte peut influencer sa capacité à influencer et à délivrer, ainsi que son indépendance perçue.
Le problème de l’inventaire
Une gouvernance efficace commence par savoir ce que vous gouvernez. Cependant, la création d’un inventaire d’IA rencontre souvent la réalité que de nombreux inventaires d’actifs IT des organisations sont incomplets ou de faible qualité. Adopter une approche de pensée systémique aide positivement en fournissant une vue holistique de la façon dont les personnes, les processus, les données et les machines interagissent. Cette approche garantit également une propriété responsable pour maintenir des cartes précises de ces interactions.
La nécessité de la littératie
Bien que la littératie en matière d’IA et de cybersécurité au niveau du conseil et de l’exécutif soit en hausse, le jargon bloque encore la collaboration. Les dirigeants ont besoin de clarté, pas de complexité. Il est impératif de simplifier la complexité et de parler des impacts transformationnels. Ce n’est qu’alors que les décisions de gouvernance peuvent être à la fois éclairées et résilientes.
Conclusion
En résumé, cinq opportunités se démarquent :
- Mandater la convergence indépendante : un seul responsable senior habilité à travers l’IA, la sécurité et le risque de données, rendant compte au conseil avec indépendance vis-à-vis des pressions de livraison.
- Institutionnaliser la co-création : des revues de conception interfonctionnelles qui associent des experts en cybersécurité avec des équipes de produits et de données et d’IA dès le début des projets.
- Opérationnaliser la transparence : enregistrer des journaux de décision pour les systèmes à haut risque, communiquer largement et répéter rigoureusement la communication et la récupération des incidents.
- Réparer l’inventaire : établir un catalogue autoritaire d’IA/IT avec des objectifs de propriété et de qualité clairs.
- Développer une véritable littératie : remplacer la formation par des cases à cocher par des ateliers de scénarios où les dirigeants pratiquent la prise de décisions et la défense des compromis dans des conditions incertaines.
Si la gouvernance consiste finalement à gérer la prise de décision qui protège la valeur dans le temps, alors à l’ère de l’IA, le conseil doit agir en tant que gardien de la confiance. Cela commence par effondrer les murs entre la transformation de l’IA et la cybersécurité, et par mesurer la gouvernance, non pas par des procédures, mais par des résultats.
