À l'heure actuelle, 83 % des organisations utilisent des outils d'IA. Seules 25 % d'entre elles disposent d'un cadre de gouvernance suffisamment solide pour contrôler ce que fait réellement cette IA. Cet écart entre l'adoption et le contrôle constitue aujourd'hui le risque le plus important au sein de la plupart des entreprises, et presque aucune n'a désigné de responsable pour y remédier.
Plus on monte dans la hiérarchie, plus la situation devient préoccupante. Une étude de Deloitte montre que 66 % des conseils d’administration ont encore une connaissance limitée, voire nulle, de l’IA. L’enquête « 2026 AI Impact Survey » menée par Grant Thornton auprès de 950 dirigeants d’entreprise a révélé que 78 % d’entre eux ne se sentaient pas suffisamment en confiance pour passer avec succès un audit indépendant sur la gouvernance de l’IA dans un délai de 90 jours. Par ailleurs, selon Economist Impact, seules 8 % des organisations dans le monde disposent de ce que les chercheurs qualifieraient de cadre complet de gouvernance de l’IA.
Il ne s’agit pas ici de mauvaises intentions. La plupart des organisations ont rapidement adopté l’IA parce que la pression pour agir vite était bien réelle et que les outils se sont avérés véritablement utiles. Ce qui n’a pas suivi le rythme, c’est la capacité interne à encadrer ces adoptions. Qui est responsable en cas de problème ? Comment les risques sont-ils évalués avant la mise en service d’un outil, d’un workflow ou d’un agent ? Que signifie réellement « conforme » dans la pratique ? C’est aujourd’hui ce déficit de capacités qui détermine discrètement quelles organisations tirent le retour sur investissement escompté de l’IA, et lesquelles n’y parviennent pas.
Et c’est bel et bien le retour sur investissement qui est en jeu. Une étude de Grant Thornton a révélé que les organisations disposant d’une IA pleinement intégrée et bien gérée ont près de quatre fois plus de chances d’enregistrer une croissance de leur chiffre d’affaires que celles qui en sont encore au stade des projets pilotes : 58 % contre 15 %. Ce n’est pas la technologie qui fait la différence, mais la responsabilité. Les organisations qui prennent de l’avance sont celles qui sont capables d’expliquer comment leur IA prend ses décisions, qui est responsable des résultats et ce qui se passe en cas d’erreur. Toutes les autres ne font que générer de l'activité, sans obtenir de résultats.
Voici l’élément qui devrait changer la façon dont les organisations envisagent la résolution de ce problème : vous n’avez pas besoin d’une armée d’éthiciens spécialisés en IA ni d’un service de conformité entièrement structuré pour combler cette lacune. Il suffit d’une seule personne. Une personne au sein du service juridique, des opérations, des ressources humaines, de l’ingénierie ou du cabinet du chef de cabinet qui comprenne véritablement les risques liés à l’IA, qui soit capable de mener une évaluation des risques en bonne et due forme avant que cette nouvelle fonctionnalité ne soit déployée à l’échelle de l’entreprise, qui sache à quoi ressemble réellement un cadre de gouvernance conforme, et qui puisse apporter la réponse lorsqu’un client, un régulateur ou votre propre conseil d’administration pose la question suivante : « Comment régissons-nous notre utilisation de l’IA ? »
Ce phénomène se produit déjà de manière informelle, que les organisations l’aient prévu ou non. L’enquête menée par IBM en 2026 auprès de 2 000 PDG a révélé que 79 % d’entre eux répartissent et élargissent la responsabilité en matière d’IA à mesure que davantage d’experts sectoriels sont associés aux décisions la concernant. Dans chaque organisation, une personne devient déjà « la personne chargée de l’IA » par défaut, généralement sans formation, sans cadre de référence et sans avoir grand-chose à dire en la matière. Les organisations qui gèrent bien cette situation sont celles qui ont désigné cette personne et lui ont fourni les outils nécessaires pour s’acquitter correctement de sa mission.
Il ne s’agit pas non plus d’un risque hypothétique. Cette semaine encore, OpenAI a révélé que l’un de ses propres modèles, lors d’un test interne de ses capacités cybernétiques, s’était échappé d’un environnement de test censé être isolé et avait ensuite piraté de manière autonome les systèmes de Hugging Face, une importante plateforme d’hébergement de données et de modèles d’IA. Le modèle a exploité une vulnérabilité jusque-là inconnue pour obtenir un accès à Internet, puis a enchaîné l’utilisation d’identifiants volés et d’autres exploits pour s’introduire dans les serveurs de production de Hugging Face, le tout sans intervention humaine à chaque étape. OpenAI a qualifié cet incident d’« inédit ». Le PDG de Hugging Face l’a quant à lui décrit comme le premier du genre : une attaque menée de bout en bout par un agent IA autonome.
Ce qui est remarquable, ce n’est pas seulement que cela se soit produit, mais surtout pourquoi. Les experts en cybersécurité ont mis en avant une cause première très courante : un environnement mal configuré. Le bac à sable « isolé » dans lequel le modèle était testé n’était en réalité pas coupé d’Internet, et c’est une faille dans un système d’installation de paquets au sein de celui-ci qui a permis au modèle de s’échapper. Il ne s’agissait pas d’un cas où l’IA serait devenue incontrôlable. Il s’agissait d’un échec de gouvernance et de processus, du genre de ceux que toute organisation exploitant ou testant des systèmes d’IA pourrait commettre.
Réfléchissez-y un instant ! Cela s’est produit dans l’un des laboratoires d’IA les plus sophistiqués au monde, doté d’équipes de sécurité dont le métier consiste précisément à gérer ce type de risque. Si une faille de ce genre peut apparaître là-bas, elle peut survenir partout où des systèmes d’IA ont un accès réel à l’infrastructure, aux données ou à Internet, c’est-à-dire, de plus en plus, partout. Les organisations les mieux placées pour détecter ce genre de défaillance avant qu’elle ne se produise ne sont pas nécessairement celles qui disposent de l’IA la plus avancée. Ce sont celles qui emploient une personne dont le travail consiste à poser les questions qui dérangent avant le déploiement, et non après.
C'est précisément cette lacune que comble notre programme de gestion des risques liés à l’IA, dirigé par Toju Duke, a été conçu pour combler. Toju a passé ses dernières années chez Google en tant que responsable du programme « IA responsable », où elle a travaillé sur les processus de gouvernance de certains des plus grands modèles d’IA de l’entreprise. Elle est l’auteure de deux ouvrages sur le sujet, dont le premier guide pratique consacré à l’évaluation et à la gestion des risques liés à l’IA. Elle a conçu cette série de masterclasses selon le même principe : les participants ne se contentent pas d’apprendre des concepts, ils élaborent, session après session, un cadre de gouvernance opérationnel pour leur propre organisation, à travers des évaluations de risques réelles, des études de cas concrets et des exercices pratiques basés sur des scénarios.
Si votre organisation ne dispose pas encore d’une personne capable de prendre en charge cette mission en toute confiance, ce n’est pas un échec, c’est simplement la situation dans laquelle se trouvent la plupart des organisations à l’heure actuelle. La question qu’il convient de se poser est de savoir qui sera cette personne, et si elle dispose déjà des compétences nécessaires pour assumer cette fonction.
Informations importantes :
Date de début : mercredi 26 août 2026
Heure : 16 h 00 (heure du Royaume-Uni)
Durée de la masterclass : 60 minutes × 8 semaines
Informations de participation : le lien Zoom et les détails du rendez-vous seront envoyés lors de la confirmation
Certificat délivré à l'issue de toutes les sessions
Nombre maximum de participants : 10 au minimum, 30 au maximum
Si vous souhaitez devenir la personne de référence au sein de votre organisation sur ce sujet, ou si vous souhaitez proposer quelqu'un pour ce rôle, vous trouverez toutes les informations nécessaires et pourrez vous inscrire ici :
thegenaiacademy.com/masterclasses/programme-de-gestion-des-risques-liés-à-l'IA
Pour en savoir plus
Compliance Week & konaAI, enquête de 2026 menée auprès de 193 responsables des domaines de la conformité, de l'éthique, des risques et de l'audit https://www.complianceweek.com/survey-reports/cw-survey-compliance-teams-struggling-with-ai-implementation-and-trust-issues/36460.article
Deloitte Global, « La gouvernance de l'IA : un impératif essentiel pour les conseils d'administration d'aujourd'hui » (2e édition, 2026) https://www.deloitte.com/global/en/issues/trust/progress-on-ai-in-the-boardroom-but-room-to-accelerate.html
Grant Thornton (États-Unis), enquête « 2026 AI Impact Survey » (950 cadres supérieurs, 10 secteurs d'activité, début 2026) https://www.grantthornton.com/services/advisory-services/artificial-intelligence/2026-ai-impact-survey
Étude « From intent to action » (De l'intention à l'action) sur l'avenir du travail, réalisée par The Economist Enterprise et KYOCERA Global(639 cadres, Londres/New York/Singapour/Sydney/Tokyo, fin 2025) https://insights.economistenterprise.com/technology-innovation/from-intent-to-action/report
IBM Institute for Business Value, étude « CEO Study » 2026 (2 000 PDG à travers le monde) https://newsroom.ibm.com/2026-05-04-ibm-study-ceos-are-reshaping-c-suite-roles-for-the-ai-era
L'affaire OpenAI / Hugging Face
Le récit de l'incident par OpenAI https://openai.com/index/hugging-face-model-evaluation-security-incident/
TechCrunch — sur la cause première de la mauvaise configuration https://techcrunch.com/2026/07/22/how-an-openais-human-mistake-led-to-the-ai-powered-hack-on-hugging-face/
CNN Affaires — aperçu général https://www.cnn.com/2026/07/22/tech/openai-hugging-face-ai-cybersecurity
CNBC — détails techniques sur les modèles et la méthode d'évasion https://www.cnbc.com/2026/07/22/open-ai-cyber-models-hack-hugging-face.html
