Soixante-dix-huit pour cent des dirigeants ne sont pas vraiment sûrs de pouvoir réussir un audit indépendant de gouvernance de l'IA sous 90 jours. Ce seul chiffre, issu de l'enquête de Grant Thornton menée auprès de 950 membres de comités de direction et cadres dirigeants, publiée ce mois-ci, résume un problème que les professionnels de la conformité tentent de formuler depuis un moment. La plupart des organisations déploient une IA qu'elles ne savent ni expliquer, ni mesurer, ni justifier. Grant Thornton l'appelle l'« AI proof gap », le déficit de preuve de l'IA.
Les conséquences commerciales sont bien réelles. Les organisations dont l'IA est entièrement intégrée sont près de quatre fois plus susceptibles de faire état d'une croissance du chiffre d'affaires portée par l'IA que celles encore en phase pilote : 58 % contre 15 %. Près de la moitié citent les défaillances de gouvernance et de conformité comme l'une des principales causes des performances décevantes de l'IA. Pourtant, les trois quarts des conseils d'administration ont approuvé des investissements majeurs dans l'IA, alors que près de la moitié n'ont ni fixé d'attentes en matière de gouvernance, ni inscrit le risque IA de façon permanente à leur ordre du jour.
Les conseils d'administration approuvent des investissements dans l'IA sans se demander ce qui se passe en cas de problème.
La gouvernance rend la vitesse durable
L'écart de confiance révélé par les données est parlant. Parmi les organisations encore en phase pilote, seules 7 % sont très confiantes dans leur capacité à réussir un audit de gouvernance indépendant sous 90 jours. Parmi celles dont l'IA est entièrement intégrée, ce chiffre atteint 74 %. L'écart est de un à dix, et il correspond presque exactement à la différence de résultats commerciaux.
Lorsque vous pouvez démontrer comment une décision a été prise et qui est responsable du résultat, vous n'avez pas à ralentir chaque fois qu'un nouveau cas d'usage arrive devant un comité des risques. Vous disposez d'un système qui s'en charge. C'est ce que nous entendons chez Maven AGI par « Built In, Not Bolted On » : une gouvernance intégrée à la plateforme dès le départ, et non ajoutée après coup. Greffer la conformité sur un système d'IA déjà déployé coûte plus cher, perturbe davantage et s'avère nettement moins crédible que de l'intégrer dès le début.
Le problème d'alignement au sein du comité de direction
Les données de Grant Thornton mettent en lumière une tension que j'observe régulièrement. Les DSI et CTO sont cinq fois plus nombreux que les COO à estimer que leurs équipes sont pleinement prêtes à adopter l'IA. Sur l'IA agentique en particulier, 54 % des COO s'inquiètent de l'incertitude réglementaire et de conformité, contre seulement 20 % des DSI et CTO.
Cet écart de préoccupation constitue en soi un risque de gouvernance. Ceux qui déploient la technologie et ceux qui pilotent les opérations qu'elle affecte ne voient pas la même chose. Lorsque ce décalage persiste, les questions de gouvernance sont reportées : la fonction qui s'en inquiète n'a pas l'autorité budgétaire, et celle qui détient le budget ne voit pas de problème.
L'IA agentique, prochain angle mort de la responsabilité
La partie de l'enquête qui mérite le plus l'attention des équipes conformité porte sur l'IA agentique. Près de trois organisations sur quatre donnent déjà à l'IA agentique accès à leurs données et à leurs processus, qu'elles soient en phase pilote, en déploiement ou en production. Une sur cinq seulement dispose d'un plan de réponse aux incidents testé en cas de défaillance.
Ce n'est pas un problème nouveau qui exigerait un nouveau programme. La plupart des organisations possèdent déjà les réflexes de réponse aux incidents issus de la cybersécurité : surveillance continue, détection, procédures d'escalade définies, pistes d'audit, responsabilités claires. L'infrastructure existe. Ce qui manque, c'est de la relier au déploiement de l'IA. Les organisations traitent la gouvernance de l'IA comme une discipline à part, alors que les capacités nécessaires sont en grande partie déjà en place.
Dans l'expérience client en entreprise en particulier, les agents IA traitent des demandes, des paiements, des prises de rendez-vous et accèdent aux données des comptes, à grande échelle et en temps réel. Les équipes opérationnelles responsables des résultats clients et de la conformité réglementaire se posent des questions légitimes : comment ces agents se comportent-ils dans les cas limites, que se passe-t-il en cas de défaillance, la piste d'audit tient-elle la route ? Ces questions méritent des réponses au niveau des systèmes, pas des assurances verbales.
Ce que les équipes conformité des entreprises doivent faire dès maintenant
- Cartographiez votre exposition à l'IA agentique avant de la gouverner. On ne peut pas gouverner ce qu'on n'a pas inventorié. La plupart des organisations n'ont pas une vision précise de ce que font les agents IA, des données qu'ils manipulent et de leur niveau d'autonomie. C'est la première étape indispensable, et la plupart ne l'ont pas encore franchie.
- Faites de la conformité de l'IA une discipline continue, pas un projet annuel. Les exigences de l'AI Act européen pour les systèmes d'IA à haut risque entrent pleinement en vigueur le 2 août 2026. La norme ISO 42001 figure de plus en plus souvent dans les grilles d'achat des entreprises. Des cycles de revue annuels ne peuvent pas suivre ce rythme.
- Résorbez le décalage au sein du comité de direction avant qu'il ne se traduise par un incident. Si votre DSI et votre COO ont des visions fondamentalement différentes de l'endroit où se situe votre risque IA, ce décalage se manifestera par une défaillance, pas par une discussion de planification. Des définitions partagées de la maturité IA, des responsabilités et du risque doivent exister avant le déploiement.
- Élaborez et testez un plan de réponse aux incidents IA : non pas une politique sur papier, mais un protocole éprouvé. Attribuez les responsabilités, documentez la façon dont les systèmes d'IA prennent leurs décisions et testez la réponse avant d'en avoir besoin. Les organisations qui l'ont fait pour la cybersécurité peuvent s'adapter assez rapidement.
- Exigez une attestation tierce de vos fournisseurs d'IA. Si vous déployez la plateforme d'IA d'un fournisseur, sa posture de conformité fait partie de la vôtre. Les fournisseurs réellement certifiés partagent leurs certifications sans hésiter.
Le coût de l'attente
Le déficit de preuve de l'IA s'accumule. Chaque semaine de gouvernance reportée est plus difficile à rattraper que la précédente, car chaque initiative non gouvernée rend la suivante plus difficile à mesurer et à justifier.
Les organisations qui ont bâti tôt leur infrastructure de responsabilité prennent déjà le large, non parce qu'elles ont été plus prudentes, mais parce qu'elles étaient mieux préparées. Elles peuvent passer à l'échelle en toute confiance. Les autres gèrent des risques qu'elles n'avaient pas anticipés.
Pour découvrir comment Maven AGI aborde concrètement la confiance et la conformité, notre Trust Center est accessible publiquement à l'adresse https://trust.mavenagi.com
Si vous évaluez des plateformes d'IA pour l'expérience client en entreprise, nous serions ravis d'en discuter. Demandez une démo sur https://www.mavenagi.com/demo
Voyez-le à l’œuvre sur vos propres conversations.
Demandez une démo personnalisée gratuite.
