Gouvernance IA : pourquoi confier la preuve à un tiers indépendant

Six questions, et personne pour y répondre

Celles qu'une direction générale se pose dès que l'IA entre dans les opérations.

1. Quelles IA avons-nous ? Y compris celles que personne n'a déclarées : comptes individuels, fonctions activées par une mise à jour de logiciel.
2. Qui en répond ? Une personne physique, nommée. C'est la première chose qu'un contrôleur demande, et rarement ce qu'il trouve.
3. Que font-elles ? Sur quels dossiers, à quel rythme, pour combien de personnes. Et qui s'en sert réellement.
4. Quel risque créent-elles ? La classe de risque dépend de l'usage : trier des candidatures ou résumer une réunion n'engage pas les mêmes obligations.
5. Se comportent-elles comme prévu ? Personne ne relit les réponses de l'IA. Les écarts se découvrent trop tard.
6. Pouvons-nous le prouver ? Au contrôle, l'intention ne suffit pas : il faut des preuves datées, avec le nom de leur auteur.

Les deux premières questions se règlent avec un registre des IA. La dernière, avec un dossier de preuves de conformité AI Act.

Fournisseur et déployeur : deux responsabilités distinctes

Le règlement européen sur l'IA (AI Act) distingue deux rôles. Le fournisseur développe un système d'IA et le met sur le marché sous son nom. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel (article 3).

L'éditeur répond de son produit. Vous répondez de l'usage que vous en faites. Pour les systèmes à haut risque, l'article 26 vous demande notamment de confier la surveillance humaine à des personnes compétentes, de surveiller le fonctionnement et de conserver les journaux au moins six mois. L'article 50 impose des obligations de transparence. Aucun outil d'éditeur ne porte ces obligations à votre place.

Pourquoi les outils natifs ne suffisent pas

Chaque grand éditeur livre désormais sa propre tour de contrôle. Ces outils sont utiles. Ils ne répondent pas à la question qu'un contrôleur vous posera.

• Chaque tour de contrôle ne voit que son écosystème. Quatre éditeurs, quatre tableaux de bord, quatre définitions de la conformité. Aucun ne voit les trois autres.
• Celui qui vend l'IA ne peut pas la noter. Un éditeur qui évalue ses propres agents est juge et partie. Ce n'est pas une accusation, c'est une position.
• Une preuve se juge à sa tenue dans le temps. Un tableau de bord montre l'état d'aujourd'hui. Une preuve montre ce qui était vrai à une date donnée, qui l'a constaté, et qu'elle n'a pas été retouchée depuis.

Les outils natifs gouvernent chaque IA de l'intérieur. Un tiers se place au-dessus, du côté de l'entreprise, et consolide ce qu'ils produisent en un seul registre, une seule note, un seul dossier de preuves. 56North ne vend ni modèle, ni intégration, ni cloud.

L'horloge réglementaire

L'AI Act s'applique par paliers. Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, a reporté les règles des systèmes à haut risque.

Les amendes vont jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 M€ ou 3 % pour les manquements aux obligations des déployeurs (article 26) et de transparence (article 50), le montant le plus élevé étant retenu ; pour les PME, le moins élevé (article 99).

Contrôler, prouver, opérer

Un logiciel seul ne prouve rien. Il faut aussi des humains qui testent, et une équipe qui tient la barre. Les trois composantes s'achètent séparément.

• Le Cockpit, le logiciel, disponible : registre, note sur cinq cadrans, rapport de vol mensuel.
• Human in the Loop, activée sur engagement avec Isahit : des tests et des relectures par des humains formés.
• La Factory, mise en place sur abonnement avec Wikolabs : raccorder et maintenir les IA en place.

Par où commencer

Par la carte. Un diagnostic à prix fixe dresse la liste de vos IA, leur classement, et ce qui manquerait devant un contrôleur. Le premier échange de 30 minutes est offert.