AI-Evident
Dans la plupart des projets de conformité IA, "gouvernance" et "gestion des risques" sont utilisés presque comme des synonymes. C'est une confusion qui coûte cher, parce que les deux notions répondent à des questions fondamentalement différentes, et qu'un dispositif qui ne les distingue pas clairement finit, tôt ou tard, par ne fonctionner ni pour l'une ni pour l'autre.
Deux questions, pas une
La gestion des risques répond à :
C'est une démarche analytique et technique : identifier un risque, évaluer sa criticité, définir une mesure d'atténuation.
La gouvernance répond à :
C'est une structure de responsabilité et de pouvoir : qui valide une mise en production, qui est responsable si un risque identifié se matérialise malgré tout, comment une décision remonte jusqu'à la direction.
La première est un diagnostic suivi d'un plan de traitement. La seconde est l'organisation qui rend ce plan de traitement exécutable.
Un exemple concret
Prenons un outil de tri automatisé de candidatures RH, un cas d'usage typique classé à haut risque au sens de l'AI Act, parfois appelé IA Act.
La gestion des risques identifie, par exemple, un risque de discrimination indirecte selon l'origine du candidat, l'évalue comme critique selon une échelle définie, et propose un plan d'atténuation : audit du jeu de données, correction du biais, mise en place d'une supervision humaine sur les décisions du système.
La gouvernance, elle, détermine qui a l'autorité de juger ce risque acceptable ou non pour autoriser la mise en production : pas le service RH seul, mais un comité de gouvernance IA disposant du pouvoir de validation, avec un appui juridique le cas échéant sur les points d'interprétation réglementaire. Elle définit aussi qui est responsable si, malgré les mesures prises, un incident survient malgré tout, et comment ce type de décision remonte au comité exécutif lorsque l'enjeu est jugé stratégique.
Une image simple pour retenir la différence
La gestion des risques, c'est le diagnostic médical : on identifie ce qui ne va pas et on prescrit un traitement. La gouvernance, c'est l'organisation de l'hôpital : qui a le droit de prescrire, qui valide une intervention à risque, qui est responsable si les choses tournent mal, comment l'information remonte à la direction.
Un excellent diagnostic ne sert à rien si personne ne sait qui doit valider la décision d'agir.
Pourquoi l'ordre de construction compte
Construire une gouvernance avant d'avoir une vision claire des risques réels revient à créer des instances de décision et des processus de validation dans l'abstrait, un RACI théorique calibré sur ce qu'on imagine plutôt que sur ce qu'on observe. C'est pour cette raison qu'un travail de gestion des risques sérieux, mené système par système, doit précéder la construction de la gouvernance : c'est le contenu réel des risques rencontrés qui doit dicter la structure de décision, pas l'inverse.
Cette même logique gouvernance/gestion des risques s'observe en matière de RGPD, où un DPO (délégué à la protection des données) incarne précisément cette fonction de gouvernance, distincte de l'analyse d'impact elle-même, qui reste un exercice de gestion des risques.
Le point où les deux se rejoignent
Elles ne sont pas pour autant indépendantes l'une de l'autre : c'est la structure de gouvernance qui, en pratique, s'applique aux décisions issues de la gestion des risques. La gouvernance ne traite pas le risque elle-même : elle définit qui a l'autorité de le faire, et comment cette autorité s'exerce dans l'organisation. Les deux volets sont nécessaires ; ni l'un ni l'autre ne suffit seul. Notre audit de conformité AI Act traite d'abord le volet gestion des risques, système par système.
📎 Textes officiels : règlement (UE) 2024/1689 (AI Act) et règlement (UE) 2016/679 (RGPD).