La gouvernance des achats d’IA consiste à déterminer ce que vous acceptez, exigez et consignez avant de valider l’acquisition d’un système d’IA. Elle se situe au carrefour des processus d’achat, de la gestion des risques et de l’usage réel ; ce cours ancre cette évaluation dans le règlement européen sur l’IA (EU AI Act) plutôt que dans les arguments commerciaux des fournisseurs. L’erreur courante consiste à traiter l’achat d’IA comme une acquisition logicielle classique assortie d’un simple contrôle de sécurité supplémentaire. Or, la véritable difficulté ne réside ni dans la licence ni dans la solution d’hébergement, mais dans le comportement du système une fois confronté à vos équipes, à vos données et à vos processus décisionnels. En pratique, la décision d’achat fige des paramètres difficiles à modifier par la suite, tels que les éléments journalisés, les modalités de dérogation aux résultats du système et les preuves exigibles auprès du fournisseur. Ce cours rend concrète cette phase préalable à l’achat, permettant ainsi au lecteur de définir ses exigences et ses refus avant tout engagement définitif.
Ce travail s’inscrit déjà dans des procédures courantes : appels d’offres, démonstrations fournisseurs, évaluations d’impact sur la protection des données (AIPD/DPIA), questionnaires de sécurité et demandes de validation dans un catalogue d’outils. Une équipe peut accomplir toutes ces étapes sans pour autant aborder la question fondamentale : quel est le niveau d’usage de l’IA envisagé et quels contrôles ce niveau justifie-t-il ? Il en résulte souvent une liste de vérification qui, bien qu’exhaustive en apparence, n’influence pas la décision finale, faute de lien établi entre l’usage prévu du système et les éléments probants requis. Le plan du cours ci-dessous présente les points de décision clés auxquels vous serez confrontés, vous offrant ainsi une vision d’ensemble avant d’aborder les détails spécifiques.
Dans ce cours, un système d’IA désigne un logiciel qui génère des résultats (prédictions, contenus, recommandations ou décisions) à partir de données d’entrée, en étant capable de s’adapter ou de généraliser au-delà de règles prédéfinies.
Cette distinction est cruciale lors des achats : vous n’achetez pas seulement des fonctionnalités, mais un comportement en conditions réelles, incluant les types d’erreurs et les cas limites. Alors qu’un logiciel classique échoue généralement en cas d’exigence manquante ou de bug, un système d’IA peut dysfonctionner même s’il respecte le cahier des charges initial, car ses résultats dépendent du contexte des données, des instructions (prompts) et de la manière dont les utilisateurs l’emploient. En pratique, une démonstration et une liste de fonctionnalités constituent des preuves insuffisantes ; il convient donc de s’enquérir des conditions de test du système, des données qu’il consigne (logs) et des mécanismes de contrôle mis en place lorsque ses résultats servent de base à des décisions.
La gouvernance des achats d’IA est efficace lorsqu’une personne ou un petit groupe assure la coordination transversale, en reliant la décision d’achat aux aspects liés à l’utilisation, à la supervision, à la traçabilité et aux procédures d’escalade.
Si les acheteurs peuvent piloter le processus commercial, l’informatique évaluer l’intégration et la sécurité, le service juridique examiner les conditions contractuelles et les responsables produit définir les résultats attendus, aucun de ces rôles ne porte naturellement la responsabilité globale de la capacité de l’organisation à exploiter le système en toute sécurité une fois celui-ci mis en service. Les transferts de responsabilité échouent lorsque chaque service suppose qu’un autre traitera les questions complexes, telles que : qui est autorisé à se fier aux résultats ? Que se passe-t-il si le modèle se trompe ? Quelles preuves étayent la conformité déclarée ? Si vous assumez le rôle de responsable de la gouvernance, vous devez promouvoir une vision unifiée avant l’achat, précisant l’usage prévu, les personnes concernées et les éléments de preuve minimaux requis pour valider le projet.
Les situations ci-dessous permettent de déterminer si vos pratiques actuelles vous prémunissent déjà contre les écueils courants liés à l’achat de systèmes d’IA.