Les entreprises européennes nomment des directeurs de l'IA

Depuis plusieurs mois, de nombreuses nominations à des postes de directeur de l'IA ont été observées au sein des entreprises, ce qui témoigne d'une prise de conscience importante des entreprises européennes quant à l'importance de l'intelligence artificielle. Cette tendance reflète une reconnaissance croissante du rôle que joue l'IA dans les activités des entreprises et du besoin d'un leadership dédié pour en gérer l'utilisation.

Entrée en vigueur des règles de la loi européenne sur l'IA

Depuis le 2 août 2026, une grande partie des obligations de la loi européenne sur l'IA est entrée en vigueur, signalant un changement significatif dans la manière dont l'IA est perçue et gérée au sein des organisations. Cette législation vise à encadrer le développement et le déploiement de l'IA dans l'ensemble de l'Union européenne, en mettant l'accent sur la sécurité, la transparence et la responsabilité.

La conformité ne suffit pas

Toutefois, une erreur stratégique se répète dans de nombreuses organisations : traiter la loi européenne sur l'IA comme une simple liste de contrôles de conformité. Cette approche est jugée dangereusement réductrice et pourrait coûter cher aux entreprises dans les mois à venir. Le risque ne réside pas dans le modèle lui-même, mais dans son utilisation, ce qui met en lumière un écart entre le respect de la réglementation et la réduction effective des risques.

La gouvernance de l'IA ne tient pas compte des usages quotidiens

La loi européenne sur l'IA établit des obligations juridiques pour les systèmes d'IA entrant dans son champ d'application, ce qui est nécessaire. Cependant, elle ne répond pas à la question fondamentale que tout RSSI devrait se poser : comment les employés utilisent-ils concrètement l'IA au quotidien ? Quelles données sensibles sont transmises via ces outils ? Et surtout, comment anticiper les attaques qui exploitent ces mêmes technologies pour contourner nos défenses ?

L'IA fantôme demeure un risque caché

Un problème structurel que les comités exécutifs européens risquent de sous-estimer est la présence d'une « IA fantôme » qui circule sans approbation ni contrôle. Lorsque près de la moitié des organisations n'ont pas identifié les systèmes d'IA utilisés en interne, comment peuvent-elles prétendre maîtriser les risques ? Sans cette visibilité, la direction ne peut ni confirmer que ses politiques sont respectées, ni mesurer son exposition réelle.

Trois cadres complémentaires

Face à ce défi, les organisations européennes doivent comprendre qu'il n'existe pas de cadre miracle, mais trois approches complémentaires, chacune répondant à une question différente. Le cadre de gestion des risques liés à l'IA du NIST offre une structure solide pour l'évaluation et le suivi des risques. Les normes ISO/IEC 23894 et 42001 permettent de créer des processus reproductibles et d'ancrer la responsabilité dans des systèmes de management.

Une structure unifiée est nécessaire

L'approche la plus robuste consiste à utiliser le NIST comme socle opérationnel pour l'évaluation des risques, les normes ISO pour la maturité de la gouvernance, et la loi européenne sur l'IA pour les obligations juridiques, le tout au sein d'une structure unifiée. Cette intégration détermine la capacité d'une organisation à passer d'une posture réactive à une posture proactive, où chaque objectif de gouvernance est lié à un contrôle opérationnel vérifiable.

Les cinq piliers de la gouvernance de l'IA

Transformer les obligations réglementaires en un programme de sécurité opérationnel exige cinq piliers essentiels. Le premier consiste à établir un cadre de référence unifié combinant le NIST, l'ISO et la loi européenne sur l'IA au sein d'une structure unique. Le deuxième requiert une cartographie complète des usages réels : systèmes approuvés, copilotes, agents autonomes, intégrations tierces, avec une identification claire des responsables.

Hiérarchisation et contrôles

Le troisième pilier repose sur une hiérarchisation intelligente selon l'impact métier. Une requête contenant des informations publiques ne présente pas le même risque qu'une requête contenant des données clients. Les contrôles doivent être segmentés en fonction de cet impact réel. Le quatrième pilier exige d'associer chaque objectif de gouvernance à un contrôle opérationnel concret : classification des données, gestion des accès, prévention des pertes de données (DLP), surveillance des usages.

Mesurer la réduction des risques

Enfin, le cinquième pilier impose de mesurer la réduction effective des risques, et non l'activité de conformité. Les indicateurs doivent être concrets : diminution mesurable du partage de données sensibles avec les outils d'IA, baisse du nombre d'incidents, réduction des permissions excessives. Ces mesures tangibles permettront de démontrer à la direction la valeur du programme.

La gouvernance opérationnelle est urgente

La gouvernance de l'IA se joue chaque jour dans la manière dont les équipes utilisent réellement l'IA, dans la circulation des données, et dans la capacité à anticiper la façon dont les attaquants exploiteront ces outils. Pour les dirigeants européens, le défi des prochains trimestres consiste à transformer les obligations de la loi européenne sur l'IA en un programme de sécurité opérationnel mesurable, aligné sur les priorités métier.

Combler l'écart de gouvernance

Lorsque deux tiers des employés dissimulent leur usage de l'IA et que 78 % des entreprises françaises ne sont pas pleinement convaincues que leurs contrôles de sécurité actuels détecteraient une IA compromise, il devient urgent de passer d'une gouvernance théorique à une gouvernance opérationnelle. Sans visibilité sur les usages réels, sans contrôles techniques associés aux politiques, et sans mesure de la réduction effective des risques, aucune organisation ne peut prétendre maîtriser les enjeux de l'IA.