Rendre la gouvernance mesurable, donc finançable
Neuf domaines, cinq niveaux, dix indicateurs — et une règle qui refuse les scores confortables. GO-IA n'invente aucune exigence : il réorganise celles qui existent selon la logique de la décision.
Neuf domaines, formulés en questions de direction
Chaque domaine se pose sous forme d'une question à laquelle un COMEX doit pouvoir répondre en une phrase. Pas en articles de règlement.
Référentiel GO-IA
« Un domaine se pose sous forme d’une question à laquelle un comité de direction doit pouvoir répondre en une phrase. Pas en articles de règlement. »
—
- Critique — D2, D3, D4, D7 : sans eux, les autres domaines ne produisent pas de gouvernance, seulement de la documentation
- Structurant — D1, D5, D6
- Contributif — D8
- Différenciant — D9, la souveraineté cognitive, que personne d’autre sur le marché ne mesure
Le détail des neuf domaines, ligne par ligne
| Domaine | La question posée | Importance | |
|---|---|---|---|
| D1 | Direction & mandat | Qui porte le sujet, avec quel mandat et quels moyens ? | Structurant |
| D2 | Connaissance du parc | Savez-vous ce qui tourne chez vous, et pouvez-vous le prouver ? | Critique |
| D3 | Qualification & risque | Chaque système est-il classé, et la classification tient-elle devant un tiers ? | Critique |
| D4 | Décision & autorisation | Qui a le droit de dire oui, sur quels critères, en combien de temps ? | Critique |
| D5 | Données & modèles | Maîtrisez-vous ce qui entre dans vos modèles et ce qui en sort ? | Structurant |
| D6 | Humain & usages | Vos équipes savent-elles utiliser l'IA, et savent-elles quand l'arrêter ? | Structurant |
| D7 | Preuve & documentation | Si on vous demande de prouver, combien de temps vous faut-il ? | Critique |
| D8 | Chaîne de valeur & incidents | Maîtrisez-vous l'IA que vous achetez, et savez-vous réagir ? | Contributif |
| D9 | Souveraineté cognitive | Que déléguez-vous à l'IA, que gardez-vous — et l'avez-vous décidé ? | Différenciant |
D2, D3, D4 et D7 concentrent la majeure partie de la note. Sans eux, les autres domaines ne produisent pas de gouvernance, seulement de la documentation.
Cinq niveaux — et un seuil de défendabilité
N2 est le premier niveau où vous pouvez répondre à un client, un auditeur ou une autorité.
Faites défiler le schéma →
La règle du maillon faible
Ce qui distingue un diagnostic utilisable d'un questionnaire d'auto-évaluation.
Le niveau que vous croyez tenir
N3
moyenne des neuf domaines
Le niveau GO-IA
N1
plafonné par D2
Et une seconde règle : un niveau se constate, il ne se déclare pas. Sans preuve examinée, le niveau inférieur s’applique.
Elle est inconfortable. C'est ce qui la rend utile.
Le tableau de bord : dix indicateurs
C'est ce qui transforme la gouvernance en objet de pilotage — et non en déclaration.
Taux de couverture de l’inventaire
62 %
le seul indicateur qui révèle le shadow AI
Délai médian d’instruction
9 j
cible < 10 j — l’indicateur de survie
Systèmes d’IA inventoriés
47
nombre et évolution sur 12 mois
Part du parc classé
38 %
classification documentée / total
Passage par le processus
71 %
mises en production instruites / total
Décisions tracées
84 %
avec preuve archivée / total
Écarts ouverts
12
dont 3 critiques non soldés
Taux de maîtrise de l’IA
44 %
formés / concernés — art. 4 de l’AI Act
Couverture des reprises humaines
6 /9
nœuds dotés d’un Arc de Retour Humain / total
Les trois à retenir
Le taux de couverture de l'inventaire, qui révèle le shadow AI · le délai médian d'instruction, qui répond à la question du COMEX « est-ce que ça nous ralentit ? » · et l'indice de souveraineté cognitive, que personne d'autre ne mesure.
Le délai d'instruction est l'indicateur de survie de la gouvernance. Un comité qui tranche en cinq jours est adopté ; un comité qui met six semaines est contourné, et toute la construction s'effondre.
Où sont l'AI Act, le RGPD et l'ISO 42001 là-dedans ?
GO-IA n'invente aucune exigence : il réorganise celles qui existent selon la logique de la décision.
Faites défiler la matrice →
Domaine critiqueDomaine différenciantArt. 4L’obligation la plus universellement ignorée, applicable depuis février 2025
La correspondance article par article
| Domaine | EU AI Act | RGPD | ISO/IEC 42001 et normes associées |
|---|---|---|---|
| D1 Direction & mandat | Art. 26 | Art. 24 | §4 contexte, §5 leadership |
| D2 Connaissance du parc | Art. 6, 16, 26, 49 | Art. 30 registre | §8 maîtrise opérationnelle |
| D3 Qualification & risque | Art. 5, 6, 9, 27, 50 | Art. 35 AIPD | §6 · ISO/IEC 23894 |
| D4 Décision & autorisation | Art. 26 | Art. 22 décision automatisée | §5.3 rôles et autorités |
| D5 Données & modèles | Art. 10, 12, 15, 72 | Art. 5, 32 | Annexe A · ISO/IEC 27001 |
| D6 Humain & usages | Art. 4, 14, 26(7), 50 | Art. 12 à 14 | §7.2, §7.3 |
| D7 Preuve & documentation | Art. 11, 12, 18, 19, 72 | Art. 5.2, 30 | §7.5, §9 |
| D8 Chaîne de valeur & incidents | Art. 25, 73 | Art. 28, 33 | §10 amélioration |
| D9 Souveraineté cognitive | Art. 4, 14, 26(2) | — | §7.2 · méthode Deep AI V4.1 |
L'obligation la plus universellement ignorée
L'article 4 de l'AI Act — la maîtrise de l'IA par vos collaborateurs — est applicable depuis février 2025 et concerne toutes les organisations qui utilisent de l'IA, quel que soit le niveau de risque.
La conformité ne s'établit pas par référence
Aucune norme harmonisée n'étant à ce jour citée au JOUE, la conformité ne s'établit pas par simple référence à un standard : elle se démontre par l'analyse de risque et par la preuve.
Le calendrier a bougé
Le Digital Omnibus reporte les obligations « haut risque » de l’Annexe III à décembre 2027. Le report déplace l’échéance, pas le travail.
Où vous êtes, où vous allez, dans quel ordre
Quatre temps, toujours dans cet ordre : mesurer, construire, tenir, vérifier. Trois sont communs aux deux voies, seul « construire » bifurque — et c’est le diagnostic qui désigne la voie.
Voir où vous en êtes
L'Indice de Souveraineté Cognitive applique la même logique — cinq axes, deux axes critiques, une règle du maillon faible — sur le seul domaine D9. Huit minutes, gratuit, résultat immédiat.