Dernière mise à jour :
Un modèle de maturité de la gouvernance est une échelle d'évaluation progressive permettant de mesurer le niveau de développement de la gouvernance de l'IA au sein d'une organisation. Ce modèle s'étend généralement de pratiques ad hoc à des processus mesurés et continuellement optimisés. Il est utilisé pour établir une situation de référence, définir un objectif réaliste et planifier les investissements de manière séquentielle, et non pour certifier la conformité.
Que décrivent généralement ces étapes ?
La plupart des modèles s'inspirent des cinq niveaux établis par le CMMI. Au premier niveau, l'activité est ponctuelle (ad hoc) et dépend des individus. Au deuxième, elle est reproductible au sein des équipes mais hétérogène d'une équipe à l'autre. Au troisième, elle est définie, avec des politiques et des rôles documentés applicables à l'ensemble de l'organisation. Au quatrième, elle est mesurée, avec des indicateurs sur la couverture, le temps de cycle et l'efficacité des contrôles. Au cinquième, elle est en optimisation continue, le programme s'ajustant de lui-même en fonction des mesures obtenues. Les appellations varient selon les référentiels, mais la progression de la pratique individuelle à la pratique institutionnelle, puis à la pratique mesurée, reste constante.
Qu'est-ce qui est mesuré ?
La maturité est évaluée simultanément selon plusieurs dimensions, et il est rare qu'une organisation se situe au même niveau dans chacune d'elles. La dimension « Politiques » vérifie si des normes existent et sont à jour. L'« Inventaire » détermine la proportion du parc d'IA enregistrée, ce qui constitue le point faible de la plupart des programmes. Les « Processus » analysent si l'intégration, l'évaluation des risques et l'approbation s'effectuent de manière systématique ou par exception. Les « Rôles » permettent de vérifier si les responsabilités sont attribuées et comprises. Les « Preuves » contrôlent si les processus produisent des enregistrements conformes aux exigences d'audit. Le « Suivi » vérifie si des contrôles sont effectués après le déploiement. Un programme doté de politiques solides mais d'un inventaire lacunaire est fréquent et obtient des résultats inférieurs à ce que sa documentation laisse supposer.
Quel est le lien avec la norme ISO/CEI 42001 et le NIST AI RMF ?
Ces référentiels répondent à des questions différentes. La norme ISO/CEI 42001 est une norme de système de management certifiable : une entreprise en respecte les exigences ou non. Le cadre de gestion des risques liés à l'IA du NIST (NIST AI Risk Management Framework) est un guide d'application volontaire structuré autour de quatre fonctions (Gouverner, Cartographier, Mesurer et Gérer), et ne définit pas de niveaux de maturité. Un modèle de maturité intervient en complément de ces deux cadres en tant qu'outil de planification, décrivant le niveau d'avancement de l'entreprise et les prochaines étapes à franchir. Utiliser un score de maturité comme preuve de conformité à l'une ou l'autre de ces normes constitue une erreur méthodologique, bien que l'évaluation de la maturité soit une approche pertinente pour planifier le parcours de certification.
Quels sont les pièges les plus courants ?
Le principal écueil est la surévaluation lors de l'auto-évaluation, les équipes évaluant leur propre activité et assimilant l'intention à la réalisation. Un autre piège consiste à évaluer à un niveau d'analyse inadéquat, par exemple lorsqu'une entreprise attribue une note globale à l'ensemble de son organisation, masquant ainsi le fait qu'une entité opérationnelle se situe au niveau quatre tandis qu'une autre en est au niveau un. Enfin, le troisième piège consiste à considérer le modèle comme une fin en soi : le niveau cinq n'est pas l'objectif optimal pour chaque organisation. Une entreprise disposant d'un parc d'IA restreint et à faible risque qui atteint le niveau trois avec une bonne couverture est dans une situation plus favorable qu'une autre qui vise le niveau cinq alors que la moitié de ses systèmes ne sont pas répertoriés.
Comment doit-il être utilisé ?
L'évaluation doit s'appuyer sur des faits et non sur des opinions, en analysant des systèmes réels et en vérifiant l'existence des registres de contrôle. Attribuez les scores par dimension afin de rendre visibles les axes d'amélioration. Définissez le niveau cible de manière délibérée, en fonction de l'exposition réglementaire et de la taille du parc d'IA. Procédez à des réévaluations périodiques planifiées afin de mesurer la progression, et utilisez l'écart entre les dimensions pour hiérarchiser les travaux, car l'élargissement de la couverture de l'inventaire lève généralement plus de points de blocage que l'optimisation des politiques.
Exemple concret :
Un groupe de distribution évalue sa gouvernance de l'IA selon cinq dimensions. Le score lié aux politiques atteint le niveau trois, car une norme relative à l'IA, approuvée par le conseil d'administration, existe et est à jour. L'inventaire obtient le niveau un, car un exercice d'échantillonnage révèle 40 systèmes enregistrés contre environ 110 réellement utilisés, la majeure partie de cet écart provenant de fonctionnalités d'IA intégrées dans les outils SaaS existants. Les processus se situent au niveau deux, car la prise en charge s'effectue exclusivement au sein de l'équipe de science des données. Le groupe se fixe pour objectif à douze mois d'atteindre le niveau trois sur l'ensemble des cinq dimensions plutôt que de viser un niveau quatre de manière isolée, et consacre son premier trimestre à la phase de découverte et d'enregistrement, l'écart d'inventaire rendant tous les autres scores peu fiables. Une réévaluation est planifiée à six et douze mois selon la même méthode factuelle.
