D3 · Governance and Risk

Ce domaine représente 18 % de l’examen blanc — soit environ 9 items sur 50. Il vérifie votre capacité à construire une gouvernance qui facilite une adoption sûre plutôt qu’une gouvernance qui se contente de jouer la prudence. Les dirigeants qui échouent ici bloquent tout (et provoquent l’IA fantôme) ou laissent tout passer (et héritent d’un incident). La matière : un modèle opérationnel de gouvernance avec une propriété et des droits de décision clairs, une taxonomie des risques applicable à tout cas d’usage, des règles de traitement et de résidence des données, le risque fournisseur et modèle, et les contrôles d’entreprise concrets disponibles dans ChatGPT Business et Enterprise. Cela se relie directement au paysage des accréditations et à l’adoption : une gouvernance qui n’est que friction est le moyen le plus sûr de tuer l’adoption.

Ce qu’il faut savoir

La gouvernance est un modèle opérationnel, pas un document. Elle nomme qui possède le risque IA, qui décide de quoi, quelles politiques s’appliquent, où les cas d’usage sont examinés et comment les exceptions sont accordées. Une taxonomie des risques utilisable couvre le risque d’exactitude, de confidentialité, de sécurité, de PI, réglementaire, réputationnel et sur les effectifs — chacun avec un responsable et un contrôle différents. Le traitement des données repose sur la classification et la résidence : quelles données peuvent entrer dans un outil, où elles sont traitées et si elles entraînent un modèle. Les éditions entreprise de ChatGPT embarquent de vrais contrôles — SSO, SCIM, EKM, RBAC, journaux de conformité, résidence des données dans dix régions et aucun entraînement sur les données métier par défaut — qui permettent à un dirigeant de dire « oui, en toute sécurité » plutôt que « non ». Le jugement récurrent consiste à distinguer la gouvernance facilitante de la gouvernance de façade.

Objectifs d’apprentissage

À la fin de cette page, vous devriez être capable de :

1. Concevoir un modèle opérationnel de gouvernance de l’IA avec propriété, droits de décision, politique, comités de revue et voies d’exception.
2. Appliquer une taxonomie des risques à sept catégories pour classer et contrôler tout cas d’usage d’IA.
3. Décider des règles de traitement et de résidence des données à partir de la classification des données, pas de l’habitude.
4. Évaluer le risque fournisseur et modèle, y compris la posture d’entraînement des données et de résidence.
5. Faire correspondre les contrôles d’entreprise de ChatGPT Business/Enterprise à des exigences de gouvernance précises.
6. Distinguer la gouvernance qui facilite une adoption sûre de la gouvernance de façade.

3.1 The governance operating model

La gouvernance échoue quand personne ne peut dire qui décide. Un modèle qui fonctionne répond explicitement à cinq questions.

              AI GOVERNANCE OPERATING MODEL
  ┌──────────────────────────────────────────────────┐
  │  Executive sponsor  (owns AI risk)                │
  └───────────────┬──────────────────────────────────┘
                  │
      ┌───────────┴───────────┐
      ▼                       ▼
  Policy & standards     AI review board
  (acceptable use,       (cross-functional:
   data classes,          risk, legal, security,
   human review)          data, a business voice)
      │                       │
      ▼                       ▼
  Tiered decision rights  Exception path
  low → team              (time-boxed, conditioned,
  medium → function+risk   logged, reviewed)
  high → review board

Le découpage par niveaux est l’idée porteuse : la plupart des décisions n’atteignent jamais le comité. Un modèle de gouvernance qui achemine chaque demande vers un comité est de la façade — il produit du délai, pas de la sécurité.

3.2 The risk taxonomy

On ne peut pas contrôler un risque qu’on ne peut pas nommer. Sept catégories couvrent presque tout cas d’usage d’IA, et chacune a un responsable et un contrôle distincts.

Le point de leadership : ces risques ne partagent pas un responsable, de sorte qu’un unique « responsable du risque IA » ne peut pas tous les porter. La gouvernance affecte chaque catégorie à la fonction qui possède déjà cette classe de risque.

3.3 Data handling and residency

Presque tout incident d’IA remonte aux données — la mauvaise donnée qui entre dans un outil, ou qui quitte une juridiction qu’elle ne devrait pas. Deux décisions gouvernent cela : la classification (ce qui peut entrer) et la résidence (où c’est traité et stocké).

  Data class            May it enter an AI tool?
  ─────────────────────────────────────────────
  Public                Yes
  Internal              Yes, in a governed workspace
  Confidential          Only in a governed workspace with
                        no-training terms + access control
  Regulated / PII       Only with a DPIA/legal sign-off,
                        residency confirmed, minimised
  Secret / restricted   No, unless explicitly cleared

Le paramètre par défaut qui change toute la conversation sur le risque : dans ChatGPT Business et Enterprise, les données métier ne sont pas utilisées pour entraîner les modèles d’OpenAI par défaut. Ce seul fait fait souvent la différence entre « non » et « oui, dans l’espace de travail gouverné » pour les données confidentielles.

3.4 Vendor and model risk

Choisir un fournisseur est une décision de gouvernance, pas seulement d’achat. Évaluez les fournisseurs sur les contrôles qui comptent pour votre taxonomie des risques.

Le risque modèle ajoute une deuxième couche : les modèles changent, sont dépréciés et se comportent différemment. Un programme gouverné fixe quels modèles sont approuvés pour quel niveau de risque et examine les changements — tout nouveau modèle n’est pas automatiquement adapté à un flux réglementé.

3.5 Enterprise controls in ChatGPT Business/Enterprise

Un dirigeant doit savoir quel contrôle répond à quelle exigence, car « on ne peut pas utiliser l’IA, ce n’est pas sécurisé » est généralement faux — les contrôles existent, il suffit de les activer.

Notez la distinction : le SSO, le SCIM, l’EKM, le RBAC et la posture de résidence à dix régions et de non-entraînement par défaut sont des capacités de niveau entreprise ; un dirigeant qui fait correspondre une exigence à un plan devrait confirmer l’édition précise plutôt que supposer que chaque contrôle est dans chaque palier.

3.6 Governance that enables vs governance that is theatre

Le jugement de leadership le plus examiné dans ce domaine est la différence entre un contrôle qui réduit le risque et un rituel qui ne fait que signaler la prudence.

La façade paraît sûre et est dangereuse : elle retarde la valeur et accroît le risque, car des effectifs bloqués passent à des outils personnels non gouvernés. La gouvernance facilitante canalise la demande vers l’espace de travail gouverné où les contrôles s’appliquent réellement.

Cadre de décision

The G-U-A-R-D use-case review

Faites passer chaque cas d’usage proposé par cinq vérifications. Cela remplace « le comité aime-t-il ? » par un test reproductible que la plupart des cas franchissent sans comité du tout.

Les cas de faible niveau franchissent G-U-A-R-D en quelques minutes au niveau de l’équipe ; seuls les cas de niveau élevé atteignent le comité de revue.

Erreurs fréquentes

Mise en situation

Scénario. Vous présidez le comité de revue IA d’une banque européenne. L’adoption stagne : le personnel se plaint que chaque demande d’IA — même résumer une circulaire publique d’un régulateur — doit attendre le comité mensuel, et trois équipes ont discrètement commencé à utiliser des comptes ChatGPT personnels sur leurs téléphones pour avancer. Pendant ce temps, le responsable de la gestion de fortune veut piloter un assistant qui lit les données de portefeuille client (réglementées, résidence UE) pour rédiger des notes de revue, et le juridique s’inquiète d’une « IA qui s’entraîne sur les données client ». Le CISO vous demande de corriger à la fois le goulot d’étranglement et le problème d’IA fantôme.

Trace de raisonnement expert.

1. Diagnostiquer le goulot comme de la façade. Envoyer un résumé de circulaire publique à un comité mensuel est un pur rituel : il ajoute du délai et, pire, il cause le risque d’IA fantôme en rendant la voie gouvernée inutilisable. La correction, ce sont des droits de décision hiérarchisés — les cas de classe publique et interne, à faible enjeu, décidés au niveau de l’équipe sous une politique claire, seuls les cas à haut risque atteignant le comité.

2. Traiter l’IA fantôme en rendant la voie gouvernée plus rapide que la voie non gouvernée. L’usage de comptes personnels est le vrai risque d’incident : aucune journalisation, aucun contrôle de résidence, aucune garantie de non-entraînement. Je fournis un espace de travail gouverné ChatGPT Business/Enterprise avec SSO et SCIM (pour que l’accès suive l’emploi) et je communique qu’il est à la fois autorisé et plus rapide que d’attendre le comité. La gouvernance facilitante ramène la demande à l’intérieur des contrôles.

3. Appliquer G-U-A-R-D au pilote de gestion de fortune. Grade : confidentialité + réglementaire + réputationnel, niveau élevé. Use-of-data : PII client réglementée, donc la résidence doit être l’UE (la région UE de ChatGPT Enterprise) et le défaut de non-entraînement-sur-données-métier doit être confirmé par écrit — ce qui répond directement à la crainte du juridique. Accountable human : un conseiller relit et possède chaque note rédigée. Rights : le RBAC limite l’assistant aux conseillers qui possèdent ces clients. Document : journalisé via la Compliance API, avec une date de revue.

4. Répondre au juridique avec précision, pas dans le vague. « L’IA s’entraîne sur nos données client » est faux pour l’espace de travail gouverné par défaut ; je cite le non-entraînement par défaut et la résidence UE plutôt que de débattre dans l’abstrait. Le pilote se déroule comme une exception de niveau élevé, conditionnée — relecture humaine, résidence UE, RBAC, journalisation — ni un oui général ni un non par réflexe.

5. Boucler la boucle. Le nouveau rôle du comité, ce sont les cas à haut risque et la politique, pas le tamponnage de trivialités. L’adoption se rétablit parce que la voie gouvernée est désormais la voie rapide.

Résultat prêt pour le conseil : des droits de décision hiérarchisés mettent fin au goulot ; un espace de travail gouverné avec SSO/SCIM/journalisation ramène l’IA fantôme à l’intérieur des contrôles ; le pilote de fortune se déroule sous résidence UE, non-entraînement par défaut, RBAC et relecture humaine comme exception documentée de niveau élevé ; la préoccupation du juridique reçoit une réponse par le contrôle précis, pas par un slogan.

Pièges de l’évaluation

Questions d’entraînement

Chaque item indique combien de réponses sélectionner. Engagez-vous avant de révéler.

À retenir

• La gouvernance est un modèle opérationnel — propriété, droits de décision hiérarchisés, politique, un comité de revue et une voie d’exception — pas un document.
• Utilisez une taxonomie des risques à sept catégories (exactitude, confidentialité, sécurité, PI, réglementaire, réputationnel, effectifs), chacune affectée à son responsable naturel.
• Le traitement des données repose sur la classification et la résidence ; ChatGPT Enterprise offre la résidence dans dix régions et n’entraîne pas sur les données métier par défaut.
• Évaluez le risque fournisseur et modèle sur la posture d’entraînement, la résidence, les contrôles d’accès, la journalisation et les certifications ; fixez les modèles approuvés par niveau de risque.
• Connaissez les contrôles d’entreprise — SSO, SCIM, EKM, RBAC, journaux de conformité, résidence — et faites correspondre chacun à l’exigence qu’il satisfait.
• La gouvernance facilitante décide la plupart des cas rapidement et canalise la demande vers l’espace de travail gouverné ; la façade bloque tout et engendre l’IA fantôme.
• Exécutez G-U-A-R-D sur chaque cas d’usage : évaluer le risque, vérifier l’usage des données, nommer l’humain responsable, délimiter les droits, documenter et réexaminer.