Cadre de gouvernance IA — Rôles, processus et outils

Les rôles clés d'une gouvernance IA

1. Chief AI Officer / Chief Data Officer (CAO / CDO)

Responsabilité : Vision, stratégie, budget IA.

Mission :

• Aligner IA sur objectifs business
• Approuver la roadmap IA
• Représenter auprès du C-suite
• Champion du changement culturel

Qui ? : Director+, reporting à CTO ou CEO.

2. AI Review Board (Comité d'approbation)

Composition (5-7 personnes) :

• Chief AI Officer (président)
• Chief Information Security Officer (sécurité)
• Data Protection Officer ou Legal (compliance)
• Head of IT Ops (infra, scalabilité)
• Business leader (métier impacté)
• Head of HR (impact organisationnel)
• CTO/VP Engineering (technique)

Fréquence : Hebdo ou bi-hebdo (selon volume de demandes).

Rôle : Approuver/refuser nouveaux use cases IA selon grille d'évaluation.

3. Data & Analytics Officer

Mission :

• Qualité et intégrité des données
• Pipelines de données vers l'IA
• Data cataloging et lineage

4. ML Ops / AI Platform Engineer

Mission :

• Maintenance des modèles IA
• Monitoring et alerting
• Logs et audit trails
• Versioning des modèles

5. Business Owner / Use Case Owner

Mission :

• Décrire le use case IA
• Responsable des résultats/impact
• Escalade si problèmes

Workflow : Approuver un nouveau use case IA

1. SOUMISSION (Business Owner)
   ├─ Remplir formulaire IA Request
   ├─ Décrire le problème, données, modèle proposé
   ├─ Évaluation risque (confidentialité, biais, impact)
   └─ Timeline attendue

2. REVIEW BOARD (7-10 jours)
   ├─ Meeting de review
   ├─ Scoring (risque vs bénéfice)
   ├─ Questions à l'équipe
   └─ Décision : Approuvé / Conditionnel / Rejeté

3. MISE EN CONFORMITÉ (si Conditionnel)
   ├─ Ajuster : data masking ? human review ? monitoring ?
   └─ Re-submission après ajustements

4. DÉPLOIEMENT
   ├─ Setup logging / monitoring
   ├─ Pilot (utilisateurs limités)
   ├─ Metrics de réussite définis
   └─ Go live

5. MONITORING
   ├─ Dashboard temps réel : performance, errors, usage
   ├─ Alertes : si drift ou anomalie
   └─ Audit mensuel

6. ANNUAL REVIEW
   └─ Renouvellement de l'approbation

Grille d'évaluation : Scoring IA

Chaque use case se score sur plusieurs dimensions :

Dimension	Score	Exemple
Sensibilité données	1-5	1=public, 5=ultra-confidentiel
Potentiel biais	1-5	1=pas d'impact sur humains, 5=décision d'emploi
Criticité	1-5	1=nice-to-have, 5=mission-critical
Maturité technique	1-5	1=nouveau, 5=well-established
Bénéfice business	1-5	1=marginal, 5=transformation

Calcul :

Risk Score = (Sensibilité + Biais + Criticité) / 3
Benefit Score = Bénéfice business + Maturité
Decision = Si Risk > 3.5 : Approval renforcée sinon OK simple

Outils & Infrastructure

1. Formulaire de soumission (Google Form ou Typeform)

Capture :

• Nom use case, owner, team
• Problème business à résoudre
• Données utilisées (nature, sensibilité)
• Modèle IA proposé (Claude ? ChatGPT ? Custom ?)
• Risques identifiés
• Timeline

2. Registre IA (Google Sheets ou Supabase)

Central repository :

• Tous les use cases approuvés
• Status (dev, prod, retired)
• Owner, date d'approbation
• Dernière review date
• Link vers logs/dashboard

3. Dashboard de monitoring

Exemple simple (Google Sheets + API) :

Use Case | Status | Users/day | Error Rate | Last Check | Alert?
ChatGPT Service Desk | Prod | 250 | 2% | 2h ago | ✓ OK
Summarization Pipeline | Prod | 50 | 0.1% | 1h ago | ✓ OK
Sentiment Analysis | Dev | 10 | 5% | 4h ago | ⚠️ High error

4. Logging system

Minimal viable :

{
  "timestamp": "2026-07-26T10:30:00Z",
  "use_case": "service-desk-routing",
  "user": "agent-001",
  "input": "[customer query]",
  "output": "[AI response]",
  "model": "claude-3.5-sonnet",
  "tokens_used": 1200,
  "latency_ms": 3200,
  "human_review": "accepted",
  "error": null
}

Stack : Supabase (logs table) → Google Sheets (reports) ou Metabase (dashboards).

Politique type : Structure

Politique d'utilisation de l'IA — Table des matières

1. Objectif & Scope
   Qui ? Quoi ? Où s'applique ?

2. Principes directeurs
   Responsabilité, transparence, équité, sécurité

3. Rôles & responsabilités
   RACI matrix : qui fait quoi ?

4. Approbation use cases
   Workflow, grille de scoring, critères

5. Données & confidentialité
   Quoi peut/ne peut pas passer en IA
   Data residency (local vs cloud)
   Anonymization quand applicable

6. Monitoring & incident response
   Comment on détecte les problèmes
   Que faire si hallucination ? si bias ?

7. Compliance & audit
   RGPD, AI Act, autres régulations
   Audit frequency

8. Escalation
   Qui appeler si doutes ?

9. Exemples & cas d'usage autorisés
   Blanc/gris/noir

10. Glossaire & définitions
    IA, LLM, hallucination, etc.

Longueur : 10-20 pages, accessible (pas jargon technique lourd).

Erreurs courantes dans la structure

❌ Review Board trop large (15+ personnes)

Trop lent, consensus impossible. Garder 5-7.

❌ Pas d'escalation claire

Si un incident surgit (hallucination bad), qui call ? Keep it simple.

❌ Outils trop complexes

Google Sheets + Supabase suffisent. Pas besoin d'enterprise governanceware coûteux.

❌ Monitoring après go-live oublié

Le seul moment où on ne fait rien. Critical : logs depuis jour 1.

Roadmap minimale (sans budget énorme)

Semaine 1-2 :

• Nommer CAO
• Créer AI Review Board
• Première réunion (30 min)

Semaine 3-4 :

• Écrire policy draft (2 pages minimum)
• Setup Google Form pour soumissions
• Setup Supabase logging table

Semaine 5+ :

• Tester workflow sur 1er use case
• Affiner process
• Lancer à l'échelle

Coût : ~0 (outils gratuits/internals). Main = ~40h initial setup.

Checklist : Votre cadre est-il en place ?

• [ ] CAO/CDO nommé
• [ ] AI Review Board constitué
• [ ] Policy document (min 5 pages)
• [ ] Formulaire soumission use cases
• [ ] Registre IA (qui utilise l'IA ?)
• [ ] Système de logging (Supabase ou équivalent)
• [ ] Dashboard monitoring (même simple)
• [ ] Incident response playbook (2-3 pages)
• [ ] Formation board members
• [ ] Première approbation testée (workflow end-to-end)

À lire ensuite : Déploiement IA en entreprise — Changement org, formations, mesure du ROI