Cadre de gouvernance de l’IA pour un groupe coté d’instruments scientifiques

La situation

Un groupe coté d’instruments scientifiques réunissant plus de 25 sociétés opérationnelles, organisé selon un modèle délibérément décentralisé où chaque directeur général de filiale conserve une autonomie commerciale complète. Les déploiements de Microsoft 365 Copilot s’accéléraient société par société, sans base commune pour décider quels outils étaient acceptables, quelles données pouvaient y être saisies, ni qui portait le risque. Le règlement européen sur l’IA était déjà en vigueur — sanctions pouvant atteindre 35 M€ ou 7 % du chiffre d’affaires mondial, formation obligatoire à la culture de l’IA — et le conseil d’administration voulait arrêter une position avant qu’un incident ne l’impose.

Ce que nous avons construit

• Un cadre de classification à trois niveaux qui trie les outils selon le lieu de traitement des données plutôt que selon le modèle utilisé — IA grand public dans le cloud, IA professionnelle sous contrat entreprise, et IA locale ou auto-hébergée
• Une politique de groupe en 14 sections assortie de quatre annexes : un registre d’une vingtaine d’outils approuvés avec les réglages de confidentialité propres à chacun, un registre des logiciels métiers dotés de fonctions d’IA, et un modèle de notification aux tiers
• Une liste d’outils interdits avec sa justification documentée, couvrant les outils agentiques disposant d’un accès système de niveau root, les services cloud relevant de juridictions incompatibles avec les obligations du groupe en matière de données, et les applications grand public jamais conçues pour un usage professionnel — OpenClaw, DeepSeek, Baidu ERNIE, Alibaba Qwen, ByteDance Doubao, Clearview AI et Stable Diffusion non bridé, notamment
• Des conditions obligatoires pour Microsoft 365 Copilot et GitHub Copilot : propriété intellectuelle, données clients sous NDA, données RH et catégories particulières, et mise en ordre des habilitations avant tout déploiement
• Une trajectoire de conformité au règlement européen : inventaire des systèmes d’IA, classification des risques, documentation des systèmes à haut risque et formation à la culture de l’IA
• Une structure de gouvernance confiant aux filiales la supervision, l’inventaire et la formation, et réservant à un comité IA de groupe annuel la politique, la veille réglementaire et le partage des pratiques
• Un dossier de décision pour le conseil exposant huit questions ouvertes — fréquence de supervision, position sur Copilot, règle par défaut sur les NDA, répartition de la responsabilité, exigences de formation, approbation des outils, IA en RH et application de la politique — chacune avec la position proposée, les alternatives et l’arbitrage en jeu

Le résultat

Un cadre d’IA adopté par le conseil, devenu la référence du groupe pour plus de 25 sociétés opérationnelles. Plutôt que de présenter une politique finalisée à entériner, les huit véritables arbitrages ont été isolés et soumis au conseil avec leurs conséquences, afin que les administrateurs règlent eux-mêmes le curseur entre supervision du groupe et autonomie des filiales. Le cadre préserve le modèle décentralisé : le groupe fixe des exigences minimales et une liste d’interdictions obligatoire, les filiales gardent le choix des outils, les licences et la mise en œuvre. La politique est maintenue selon un cycle trimestriel, au rythme de la réglementation et d’un paysage d’outils qui évolue plus vite qu’une revue annuelle.