L'IA est déjà utilisée en production dans 97 % des organisations. Les deux tiers d'entre elles ont connu au moins un incident lié à l'IA au cours des douze derniers mois, qu'il s'agisse de violations de la confidentialité des données, de résultats biaisés ou d'« IA fantôme ». La question n'est plus de savoir si vous avez besoin d'un cadre de gouvernance de l'IA, mais si ce cadre permet réellement de contrôler ce que fait l'IA en production.
La plupart des guides consacrés aux cadres de référence énumèrent des principes : équité, transparence, responsabilité. Celui-ci part des données. L’étude BARC de 2026 intitulée « The State of Data and AI Governance », qui s’appuie sur une enquête mondiale menée auprès de 234 responsables des données, de l’IA, de l’informatique et des affaires, montre où en sont les organisations, jusqu’où s’étendent leurs contrôles et en quoi les leaders de l’IA se distinguent. À partir de ces conclusions, nous avons défini six éléments fondamentaux pour un cadre de gouvernance de l’IA qui fasse ses preuves en production.
Qu'est-ce qu'un cadre de gouvernance de l'IA ?
Un cadre de gouvernance de l'IA désigne l'ensemble des rôles, règles, contrôles et indicateurs qui déterminent la manière dont une organisation conçoit, déploie, surveille et assume la responsabilité de ses systèmes d'IA, y compris les données, les modèles et les agents qui les sous-tendent.
Les cadres de référence tels que la loi européenne sur l’IA, le cadre de gestion des risques liés à l’IA du NIST ou la norme ISO/IEC 42001 définissent les objectifs à atteindre. Votre propre cadre définit la manière dont cela se met en œuvre au sein de votre organisation : qui prend les décisions, quels contrôles s’appliquent à quelle charge de travail liée à l’IA, et comment vous démontrez leur efficacité. Un cadre qui n’existe que sous la forme d’un document de politique ne réduit guère les risques. Le BARC le dit sans détour : les politiques ne réduisent les risques que lorsqu’elles se traduisent par des contrôles intégrés aux flux de travail réels liés à l’IA.
Un cadre de gouvernance de l'IA s'appuie également sur la gouvernance des données. La fiabilité de l'IA dépend entièrement de la qualité des données et du contexte dans lesquels elle évolue ; c'est pourquoi la gouvernance des données constitue le fondement même de l'IA. Cependant, comme le montre l'étude, la gouvernance des données ne suffit pas à lui seul.
Mettez en place un socle de données fiable pour permettre une automatisation pilotée par l'IA et une prise de décision sûre. Téléchargez le livre blanc pour découvrir comment faire de la gouvernance des données une capacité stratégique — et tirer pleinement parti de l'automatisation évolutive et de l'IA.
État des lieux de la gouvernance de l'IA en 2026 : six conclusions
1. L'IA est déjà en production, tout comme les incidents qui y sont liés
L'IA est présente dans tous les processus métier, l'analyse de données, la gestion des données, l'intégration, le développement et les activités en contact avec la clientèle. L'analyse de documents arrive en tête avec un taux de déploiement de 62 %, suivie par la gestion et l'intégration des données (55 %) et l'analyse de données intégrant l'IA (54 %). Cette ampleur fait de la gouvernance une exigence opérationnelle de l'entreprise plutôt qu'une simple tâche de conformité relevant de spécialistes.
Ces incidents sont déjà une réalité. Au cours des douze derniers mois, les violations de la confidentialité des données et les résultats biaisés ou préjudiciables ont chacun touché 23 % des personnes interrogées. Viennent ensuite l'IA non autorisée ou « fantôme » (22 %), puis les résultats erronés de l'IA parvenant aux utilisateurs finaux ou aux clients (21 %).
2. La plupart des organisations surestiment leur niveau de maturité
BARC classe une organisation parmi les « leaders de l'IA » lorsque son programme d'IA atteint un niveau de maturité dans sept domaines : la sécurité, les contrôles d'accès et d'utilisation des données, l'engagement de la direction, le cadre juridique, la supervision des projets, l'architecture d'entreprise, ainsi que les normes et politiques. Après s'être maintenue autour de 20 % pendant deux ans, la part des « leaders de l'IA » est passée à 29 %.
Pourtant, 60 % des personnes interrogées estiment que leur gouvernance des données et de l’IA est meilleure que celle de leurs principaux concurrents. Deux fois plus d’entreprises pensent avoir une longueur d’avance que celles qui peuvent réellement être considérées comme ayant atteint un niveau de maturité. Les responsables informatiques se montrent encore plus confiants que les responsables métier, ce qui est important car ce sont souvent les services informatiques qui disposent du budget nécessaire pour combler ces lacunes.
3. Les entreprises qui adoptent l'IA centralisent la gouvernance
Plus des deux tiers des organisations (69 %) mettent en œuvre soit un programme de gouvernance entièrement centralisé (31 %), soit un centre d’excellence qui définit les normes de manière centralisée et laisse les équipes décentralisées se charger de la mise en œuvre (38 %). Parmi les leaders en matière d’IA, cette proportion est encore plus élevée : 40 % ont opté pour une approche entièrement centralisée et 48 % ont recours à un centre d’excellence. Les modèles fédérés et décentralisés ne représentent plus respectivement que 14 % et 7 %.
4. Les outils gouvernent les données, pas l’IA
Les outils de gouvernance continuent de se concentrer sur les aspects fondamentaux des données. Les outils spécifiques à l'IA sont quant à eux très en retard :
| Technologies de gouvernance utilisées | Part des organisations |
|---|---|
| Gestion de la qualité des données | 58% |
| Catalogue de données, traçabilité et gestion des métadonnées | 38% |
| Surveillance et observabilité des modèles d'IA | 26% |
| Registre et inventaire des modèles d'IA/ML | 23% |
| LLM et garde-fous de l'IA générative | 23% |
| Plateformes dédiées à la gouvernance de l'IA | 20% |
| Gouvernance des agents | 10% |
Les outils de gouvernance des données restent la bonne base. Mais ils ne déterminent pas automatiquement le comportement des modèles, les résultats de l'IA, les actions des agents ou les décisions prises par l'IA.
5. Les contrôles s'arrêtent au niveau de la couche de données
62 % des équipes de gouvernance concentrent leurs contrôles sur la couche des données. Les contrôles au niveau de la couche des modèles ne représentent que 45 %, et ceux au niveau de la couche d’infrastructure, 43 %. Or, les invites, le contexte, la récupération des données, les résultats, les actions des agents et les environnements de déploiement couvrent l’ensemble de ces couches. Une gouvernance qui se limite à des points de contrôle isolés laisse le reste de la charge de travail de l’IA sans contrôle.
6. La gouvernance des agents repose sur la supervision humaine
Pour contrôler les agents d’IA en production, 59 % des entreprises exigent une validation humaine pour les actions sensibles. 40 % définissent des limites d'action, 38 % ont recours à des listes blanches d'outils ou d'API et 38 % surveillent en permanence le comportement des agents. Seules 16 % disposent de « kill switches » et 9 % utilisent des vues de traçabilité.
« Les humains ne peuvent pas pallier l’absence de systèmes de contrôle automatisés. » BARC, L’état de la gouvernance des données et de l’IA, 2026
La supervision humaine constitue une première étape judicieuse. Elle ne sera toutefois pas évolutive à mesure que le nombre d'agents en production augmentera.
L'étude du BARC intitulée « The State of Data and AI Governance » s'appuie sur une enquête mondiale menée auprès de responsables des données, de l'IA, des technologies de l'information et des dirigeants d'entreprise. Elle met en évidence ce qui distingue les leaders de l'IA du reste du marché, et identifie les mesures permettant de transformer la gouvernance d'un simple exercice de conformité en un modèle opérationnel garantissant une évolution à grande échelle de l'IA en toute confiance.
Les six piliers d'un cadre de gouvernance de l'IA
Le BARC conclut cette étude par six recommandations. Prises dans leur ensemble, elles décrivent les éléments constitutifs d'un cadre de gouvernance de l'IA efficace en environnement de production.
1. Un modèle opérationnel, et non un projet politique
Définir clairement les responsabilités, les pouvoirs de décision, les procédures d'escalade et les routines de suivi pour chaque charge de travail liée à l'IA. L’étude montre comment les rôles sont répartis aujourd’hui : les dirigeants (CxO) fixent l’orientation, les responsables métier assurent la supervision, tandis que les ingénieurs se chargent de la mise en œuvre. Mais la supervision est insuffisante au plus haut niveau. Seuls 39 % des personnes interrogées désignent le directeur des données (Chief Data Officer) comme responsable de la gouvernance, 38 % le directeur de l’IA (Chief AI Officer) et 29 % le responsable de la sécurité des systèmes d’information (CISO). BARC recommande que ces fonctions assurent conjointement la supervision de la gouvernance, tandis que les ingénieurs en IA/ML, les ingénieurs de données et les développeurs intègrent les contrôles dans les modèles, les pipelines et les agents.
2. Des outils qui couvrent l'IA, et pas seulement les données
S'appuyer sur les investissements existants dans la gouvernance des données , puis y ajouter des fonctionnalités spécifiques à l'IA : registres de modèles, surveillance, garde-fous, gouvernance des agents, journalisation des audits, traçabilité et responsabilité des flux de travail. Évaluer les outils selon un seul critère : permettent-ils de garantir la gouvernance tout au long du cycle de vie de l'IA ? BARC préconise la mise en place d'un plan de contrôle centralisé qui assure la cohérence des politiques, la visibilité et la responsabilité dans tous les environnements, plutôt qu'un ensemble d'outils disparates.
3. La supervision humaine dans le cadre d'un système de contrôle
Déterminez clairement dans quels cas une validation humaine est nécessaire, quelles actions des agents sont autorisées, comment les exceptions sont transmises aux niveaux hiérarchiques supérieurs et comment les activités sont contrôlées. Ajoutez ensuite des contrôles opérationnels tels que la journalisation des audits, l'évaluation des risques, la limitation des débits, les « kill switches » et les vues de traçabilité. La supervision humaine doit constituer un élément du système de contrôle, et non le système de contrôle lui-même.
4. Contrôles à chaque couche de l'architecture
Considérez la couche de données comme un point de départ, et non comme une fin en soi. Identifiez où les charges de travail d'IA utilisent les données, le contexte, les modèles, les résultats et les actions, puis définissez des contrôles pour chaque couche :
| Couche | Commandes |
|---|---|
| Données | Accès et qualité |
| Demande | Contrôles du flux de travail et des résultats |
| Modèle | Essais et surveillance |
| Infrastructures | Contrôles liés au déploiement, à l'identité, au réseau et au cloud |
5. Qualité des données réellement utilisées par l'IA
L'analyse de documents, l'extraction de connaissances, l'aide au codage et les flux de travail automatisés reposent sur des informations non structurées et contextuelles, et pas uniquement sur des tableaux structurés. Étendez les contrôles qualité aux documents, aux bases de connaissances, au code, aux contrats, aux métadonnées, aux représentations vectorielles, aux pipelines d'extraction et aux sources contextuelles. Vérifiez si les informations sont à jour, correctement classées, autorisées, traçables et adaptées à une utilisation par l'IA. Un contexte de mauvaise qualité peut être tout aussi préjudiciable que des données structurées inexactes.
6. Indicateurs fondés sur les risques que la gouvernance permet de réduire
Aujourd’hui, les organisations évaluent principalement la gouvernance en fonction de la couverture des cas d’utilisation de l’IA (37 %), de la réduction des incidents liés à la qualité des données (33 %) et de la valeur métier des projets d’IA gouvernés (31 %). Une lacune ressort particulièrement : 41 % citent le manque de personnel qualifié ou de formation comme principal obstacle, mais seuls 12 % mesurent le taux de réussite des formations des collaborateurs. Traduisez les principaux risques d'échec en un petit ensemble d'indicateurs opérationnels, tels que la réduction des incidents, la conformité réglementaire, la valeur métier, la mise en place des contrôles requis et la formation des collaborateurs.
EMEA et Amérique du Nord : deux niveaux de maturité
L'étude met en évidence des différences régionales marquées. En Amérique du Nord, 37 % des organisations sont considérées comme des « leaders en matière d'IA » et 79 % disposent de structures de gouvernance centralisées. Dans la région EMEA, ces chiffres s'élèvent respectivement à 17 % et 50 %.
Les obstacles varient également. Les entreprises de la zone EMEA sont confrontées à des problèmes fondamentaux : 40 % d’entre elles citent la qualité insuffisante des données comme principal obstacle (contre 15 % en Amérique du Nord) et 35 % mentionnent le cloisonnement des données (contre 17 % en Amérique du Nord). Les répondants de la zone EMEA signalent également davantage d’incidents liés à l’IA « fantôme » (29 % contre 18 %), et seuls 30 % d’entre eux disposent de politiques officielles en matière de souveraineté pour le traitement et le stockage des données d’IA, contre 56 % en Amérique du Nord. Les entreprises nord-américaines, en revanche, s’inquiètent davantage des risques liés à la mise à l’échelle, tels que l’évolution de la réglementation et la maîtrise de l’ agents d’IA.
Pour les organisations européennes, cela définit l'ordre des priorités. Un cadre de gouvernance de l'IA repose d'abord sur des données interconnectées et fiables, ainsi que sur une souveraineté claire en matière de données, avant de s'étendre aux modèles et aux agents.
L’« IA fantôme » illustre comment ces lacunes se répercutent dans le travail quotidien. Lorsque la gouvernance n’est pas centralisée et que l’accès autorisé aux données est lent ou entravé par des silos, les employés se tournent vers des outils d’IA qui n’ont été approuvés par personne. BARC s’attend à ce que l’« IA fantôme » devienne un problème généralisé, à mesure que de plus en plus de travailleurs du savoir déploient leurs propres agents. Dans notre article intitulé « IA fantôme : pourquoi la région EMEA signale davantage d’incidents liés à l’IA non autorisée », nous examinons les chiffres, les risques et les cinq étapes à suivre pour maîtriser ce phénomène.
Comment SoftProject met ce cadre en pratique
Le message central de cette étude correspond à ce que nous constatons dans les projets de nos clients : la gouvernance doit passer à l'action, et ne pas se contenter de produire des documents. SoftProject rassemble tous les éléments essentiels au sein d'une plateforme convergente, plutôt que dans une multitude d'outils distincts :
- Connect : l'intégration, les processus ETL et la gestion des API permettent de regrouper les données provenant de tous les systèmes et de briser les silos qui freinent 35 % des entreprises de la région EMEA.
- Trust : gouvernance des données grâce au catalogue de données, à la gestion des données de référence et à la qualité des données, celles-ci et leur contexte deviennent fiables, traçables et adaptées à une utilisation par l'IA.
- Act : l'automatisation des processus et les workflows d'agents gouvernés transforment les politiques en contrôles, avec des autorisations, des limites et des pistes d'audit intégrées au processus.
Sur l'ensemble de ces trois niveaux, la gouvernance fonctionne comme un plan de contrôle unique : sens, qualité, traçabilité, politiques, accès et données probantes sont ainsi regroupés en un seul et même endroit. C'est ce qui permet à l'IA de passer de la phase pilote à la mise en production. Découvrez-en davantage sur la mise en œuvre de l'IA avec SoftProject.
En tant que directeur des produits, Édouard Cante est chargé de l'orientation stratégique et du développement du portefeuille de produits de SoftProject. Fort d'une excellente connaissance du marché et d'un esprit d'innovation très marqué, il promeut des solutions centrées sur le client et veille à la compétitivité à long terme de l'entreprise.
FAQ sur la gouvernance des données et de l’IA
Qu'est-ce qu'un cadre de gouvernance de l'IA ?
Un cadre de gouvernance de l'IA désigne l'ensemble des rôles, règles, contrôles et indicateurs qui déterminent la manière dont une organisation conçoit, déploie, surveille et assume la responsabilité de ses systèmes d'IA, y compris les données, les modèles et les agents qui les sous-tendent. Il traduit les exigences issues de la réglementation et des politiques internes en contrôles intégrés aux flux de travail d'IA en production.
Que doit inclure un cadre de gouvernance de l'IA ?
D'après l'étude BARC de 2026, un cadre doit reposer sur six piliers : un modèle opérationnel définissant clairement les responsabilités et les pouvoirs de décision ; des outils couvrant l'IA et pas seulement les données ; une supervision humaine intégrée au système de contrôle ; des contrôles au niveau des couches données, application, modèle et infrastructure ; la qualité des données non structurées utilisées par l'IA ; et des indicateurs basés sur les risques atténués par la gouvernance.
À qui devrait incomber la gouvernance de l'IA ?
Le BARC recommande que les responsables des données (CDO), les responsables de l'IA (CAO) et les responsables de la sécurité des systèmes d'information (RSSI) supervisent conjointement la gouvernance des données et de l'IA, tandis que les responsables métier et les chefs de produit assument un rôle de supervision et que les experts techniques, tels que les ingénieurs en IA/apprentissage automatique, les ingénieurs de données et les développeurs, mettent en œuvre les contrôles. À l'heure actuelle, seules 39 % des organisations désignent le CDO comme responsable de la gouvernance.
Comment les organisations gèrent-elles aujourd'hui l'agents d’IA ?
La plupart s'appuient sur une supervision humaine : 59 % exigent une validation par un intervenant humain pour les actions sensibles des agents, 40 % définissent des limites d'action et 38 % ont recours à une liste blanche d'outils ou d'API. Seuls 16 % disposent de « kill switches ». Le BARC en conclut que la supervision humaine seule ne suffira pas à l'échelle et doit s'inscrire dans le cadre d'un système de contrôle automatisé.
Comment mesure-t-on le succès de la gouvernance de l'IA ?
Les organisations mesurent le plus souvent la portée des cas d'utilisation de l'IA (37 %), la réduction des incidents liés à la qualité des données (33 %) et la valeur métier des projets d'IA encadrés (31 %). BARC recommande un ensemble restreint d'indicateurs opérationnels liés aux principaux risques : réduction des incidents, conformité réglementaire, valeur métier, mise en place des contrôles requis et formation des collaborateurs.
