Une gouvernance de l'IA tient dans des documents.
Gouverner l'intelligence artificielle dans une entreprise, c'est savoir quels outils tournent, sur quels dossiers, qui relit, qui signe, et ce qu'on fait quand une sortie est fausse. Ce sont cinq pièces écrites. Ce n'est ni un logiciel, ni un comité.
Ce qu'est une gouvernance de l'IA.
La gouvernance de l'intelligence artificielle est l'ensemble des règles écrites, des rôles nommés et des traces conservées qui encadrent l'usage de l'IA dans une organisation. Elle répond à quatre questions : quels systèmes d'IA sont utilisés, sur quelles décisions, qui contrôle leurs sorties, et que se passe-t-il lorsque l'une d'elles est fausse.
Ce n'est pas un outil qu'on installe, ni un label qu'on obtient. Dans une entreprise de vingt personnes, elle tient en une dizaine de pages. Dans une de deux mille, ce sont les mêmes pages, en plus nombreuses.
Une gouvernance utile se reconnaît à un test simple : si une autorité, un client ou un assureur demande demain quels outils d'IA touchent ses dossiers et qui en répond, la réponse existe déjà, par écrit, et elle est datée.
Cinq documents, et rien de plus.
Le registre des outils
Chaque système d'IA en service : son fournisseur, son modèle, l'endroit où il tourne, les données qu'il reçoit et celles qui ne lui sont jamais envoyées. La plupart des organisations découvrent à ce stade des outils que personne n'avait déclarés.
La fiche process
Un document par process confié à l'IA : l'objectif, les entrées, ce qui est confié à la machine, ce qui reste à une personne, les données exclues, et le journal des versions. C'est la pièce centrale — tout le reste s'y rattache.
La charte d'usage
Ce que les équipes peuvent déposer dans un outil d'IA, et ce qu'elles n'y déposent jamais. Une page, écrite dans les mots du métier, remise à chaque arrivant.
La procédure d'incident
Une sortie fausse qui est partie chez un client, un outil qui change de comportement, une donnée envoyée au mauvais endroit : qui prévient qui, sous quel délai, et ce qu'on suspend en attendant.
Le journal des décisions
Pour chaque process : gardé, corrigé ou arrêté, à quelle date et sur quelle mesure. C'est ce journal qui distingue une gouvernance d'une déclaration d'intention.
Qui décide, qui signe.
Un système d'IA ne porte aucune responsabilité juridique. Elle reste entière chez l'organisation qui l'utilise, et se concentre sur la personne qui signe le document sorti. Une gouvernance qui ne nomme personne ne protège personne.
Elle arbitre et elle assume
Elle décide quels process sont confiés à l'IA, valide la charte, et tranche quand un seuil est franchi. Elle n'a pas besoin d'être technique : elle a besoin de voir les fiches.
Il fixe le seuil
Le responsable du process dit, avant le test, ce qu'il considère comme une erreur et à partir de quel taux l'outil doit être arrêté. Fixé après coup, un seuil ne sert à rien.
Il relit, et son nom est sur la fiche
Pour chaque process sensible, une personne nommée relit la sortie avant qu'elle parte. C'est le seul rôle véritablement obligatoire : sans lui, il n'y a pas de contrôle humain, seulement l'idée qu'il en existe un.
Ce que le droit demande, en Belgique.
Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, s'applique directement en Belgique : il n'y a pas de loi de transposition à attendre. Une entreprise qui utilise un système d'IA dans son activité en est le déployeur, et ce rôle emporte des obligations propres, distinctes de celles du fournisseur.
Maîtrise de l'IA, article 4
Toute organisation qui déploie de l'IA doit prendre des mesures pour que son personnel sache ce qu'il manipule. C'est la seule obligation qui s'applique déjà à tout le monde.
L'article 4 est réécrit
Le règlement (UE) 2026/1744 remplace l'obligation de garantir un niveau suffisant par celle de prendre des mesures. L'exigence devient une obligation de moyens, et la preuve devient documentaire. Ne rien faire reste un manquement.
Le contrôle commence
Les autorités nationales de surveillance exercent leurs pouvoirs. L'article 50, qui impose de signaler les contenus générés par une IA, s'applique également.
Systèmes à haut risque, annexe III
Reporté à cette échéance. Les obligations lourdes arrivent plus tard, et plus tard encore — 2 août 2028 — pour les systèmes intégrés à des produits déjà réglementés.
Le RGPD s'applique en parallèle, et il était déjà là. Dès qu'un process touche des données personnelles, trois points reviennent : la base légale du traitement, l'analyse d'impact lorsque le risque est élevé, et l'article 22, qui encadre les décisions produisant des effets juridiques et prises sans intervention humaine. La plupart des process que nous documentons restent hors de l'article 22 pour une seule raison : une personne nommée relit avant que la décision sorte.
Enfin, un point que nous préférons dire tôt : aucun label ni aucune certification ne rend une organisation « conforme à l'AI Act ». La conformité se démontre par des documents conservés. C'est pour cela qu'une gouvernance est faite de pièces écrites, et pas d'un logo.
Par où commencer, concrètement.
L'inventaire, deux heures
Faire la liste des outils d'IA réellement utilisés, y compris ceux que personne n'a déclarés. C'est la seule étape qui réserve des surprises à tout le monde.
Un process, pas douze
Choisir celui qui prend du temps, se répète, et dont l'erreur se voit. Les onze autres attendront d'avoir une méthode éprouvée.
Écrire la fiche avant de brancher quoi que ce soit
Objectif, entrées, ce qui est confié, qui relit, données exclues. Un process qu'on ne sait pas décrire sur une page n'est pas prêt à être confié à une machine.
Fixer le seuil et le critère d'arrêt
Avant le test, par écrit, par le responsable du métier. C'est ce qui rend la décision suivante possible.
Tester sur vos dossiers, puis décider
Gardé, corrigé ou arrêté, daté dans le journal. Un process arrêté n'est pas un échec : c'est une gouvernance qui fonctionne.
C'est exactement le déroulé de notre méthode, et les documents sont ceux que vous emportez : ils vous appartiennent, dans un format ouvert, que la mission continue ou non.
Ce qu'on nous demande.
Qu'est-ce que la gouvernance de l'IA ?
L'ensemble des règles écrites, des rôles nommés et des traces conservées qui encadrent l'usage de l'intelligence artificielle dans une organisation : quels outils sont utilisés, sur quelles décisions, qui contrôle les sorties, et ce qui se passe quand l'une d'elles est fausse. En pratique, cinq documents : un registre des outils, une fiche par process, une charte d'usage, une procédure d'incident et un journal des décisions.
La gouvernance de l'IA est-elle obligatoire en Belgique ?
Le règlement (UE) 2024/1689 n'impose pas un document nommé « gouvernance ». Il impose des obligations qu'on ne peut pas remplir sans elle. Depuis le 2 février 2025, toute entreprise qui déploie de l'IA doit prendre des mesures de maîtrise de l'IA auprès de son personnel ; depuis le 2 août 2026, les autorités nationales de surveillance exercent leurs pouvoirs et l'article 50 impose de signaler les contenus générés. Le RGPD s'applique en parallèle dès qu'il y a des données personnelles.
Qui peut mettre en place une gouvernance IA dans une entreprise belge ?
Astérisme le fait, depuis Bruxelles, en français, en néerlandais et en anglais. Nous documentons chaque process, le testons sur vos propres dossiers, faisons signer vos équipes, puis le gardons ou l'arrêtons sur ses résultats. Un cabinet d'avocats peut qualifier le risque juridique et un éditeur peut fournir l'outil : ni l'un ni l'autre n'écrit la fiche qui dit qui relit avant l'envoi.
Faut-il créer un comité IA ?
Rarement, et jamais en premier. Un comité sans fiche process produit des réunions ; une fiche process sans comité produit des décisions. Dans une organisation de moins de cent personnes, trois rôles suffisent : la direction arbitre, le responsable métier fixe le seuil, une personne nommée relit et signe.
Qui est responsable si l'IA se trompe ?
L'organisation qui utilise le système, et la personne qui a signé le document sorti. Un système d'IA ne porte aucune responsabilité juridique, et le contrat d'un fournisseur ne la transfère pas. C'est la raison pour laquelle chaque fiche process nomme un relecteur : la responsabilité existe de toute façon, autant savoir où elle se trouve.
Combien de temps faut-il pour la mettre en place ?
Le premier process documenté, testé et décidé prend environ huit semaines, dont une faible part de temps chez vous. L'inventaire des outils, lui, se fait en deux heures et donne déjà une image utile. Nous commençons par un diagnostic gratuit de trente minutes sur un process réel.
Une certification existe-t-elle ?
Oui, mais pas celle qu'on imagine. La norme ISO/IEC 42001, publiée en décembre 2023, permet de faire certifier par un organisme accrédité le système de management de l'IA d'une organisation : ses processus, ses rôles, ses contrôles. Elle ne certifie aucun outil, et elle ne rend pas une organisation « conforme à l'AI Act ». Cette conformité se démontre par des pièces : la liste des participants à la formation, la charte, le registre, les fiches, le journal. Ce sont ces documents qu'une autorité, un client ou un assureur demandera. Nous ne délivrons aucun label ; nous produisons ces pièces, et elles constituent aussi le socle d'une certification si vous la visez un jour.
Vous utilisez déjà l'IA.
Trente minutes sur un de vos process, pour voir ce qui est écrit, ce qui ne l'est pas, et par où commencer.