Gouverner ce que l'on ne maîtrise pas entièrement : le contrôle interne à l'épreuve des technologies décisionnelles

Commençons par une distinction que je crois fondatrice. Comprendre un outil, c'est savoir comment il fonctionne à l'intérieur. Maîtriser un outil, c'est tout autre chose : c'est être capable de dire où il agit, ce qu'il décide, qui en répond, et de le prouver. Ces deux exigences ne se recouvrent pas. Un directeur financier n'a jamais eu besoin de savoir programmer son progiciel comptable pour en assumer les états. De la même manière, une organisation n'a pas besoin de comprendre les entrailles d'un modèle statistique pour le gouverner. Elle a besoin de le tenir.

Je définis ici la maîtrise d'un outil décisionnel comme la capacité vérifiable à répondre de ses effets, indépendamment de sa complexité interne. Cette définition déplace la charge. Elle ne demande pas à l'organisation de devenir experte en technologie. Elle lui demande de rester experte en responsabilité. Et cette compétence, elle, ne se délègue pas.

Un signal réglementaire récent illustre ce basculement. En 2026, le règlement européen sur l'intelligence artificielle a franchi un palier. À compter du 2 août de cette année, des obligations de transparence et un dispositif de surveillance du marché sont devenus opposables, avec un régime de sanctions qui n'a plus rien de symbolique : jusqu'à 35 millions d'euros ou 7 pour cent du chiffre d'affaires annuel mondial pour les usages interdits, et jusqu'à 15 millions d'euros ou 3 pour cent pour les fournisseurs de modèles à usage général. Sources : le régime de sanctions figure à l'article 99 du règlement, consultable sur https://artificialintelligenceact.eu/article/99/, celui des fournisseurs de modèles à l'article 101, sur https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-101, et le calendrier d'application est détaillé par la Direction générale des entreprises sur https://www.entreprises.gouv.fr/decryptages-de-nos-experts/le-reglement-europeen-sur-lintelligence-artificielle-publics-concernes.

Je cite ce cas comme illustration, non comme sujet. Car le principe qu'il révèle est plus durable que le texte lui-même. Un régulateur, un jour ou l'autre, finit toujours par demander à une organisation de prouver qu'elle maîtrise ce qu'elle emploie. Les montants changent, les acronymes changent, l'exigence ne change pas. Une organisation qui apprend à répondre de ses outils avant qu'on ne l'y oblige transforme une contrainte en avantage. Celle qui attend le premier contrôle découvre son propre fonctionnement dans l'urgence.

Le premier enseignement est un renversement de l'ordre des priorités. Face à un nouvel outil, le réflexe courant est de commencer par la technique, puis de penser au contrôle. Je propose l'inverse. On commence par une page de cartographie, avant même le déploiement. Savoir où l'on met l'outil précède toujours l'art de le régler.

Le deuxième enseignement concerne la répartition des rôles. La maîtrise d'un outil décisionnel n'est pas l'affaire du seul service informatique. Elle est partagée entre celui qui utilise, celui qui contrôle et celui qui répond. Confier la gouvernance d'un outil à ceux qui l'ont installé, c'est demander à un acteur d'être son propre juge. La séparation des fonctions, principe fondateur de l'audit, garde ici toute sa force.

Le troisième enseignement est stratégique. La maîtrise d'un outil n'est pas seulement une protection contre la sanction. C'est un choix de souveraineté. Décider quels outils entrent dans l'organisation, avec quelles données et sous quelle juridiction, c'est décider de sa propre dépendance. Une organisation qui sait répondre de ses outils choisit ses dépendances. Une organisation qui ne le sait pas les subit.

La vraie question posée par les technologies décisionnelles n'est pas de savoir si nous les comprenons. Nous n'avons jamais entièrement compris nos outils les plus puissants, et nous avons pourtant appris à les gouverner.

La question est de savoir si nous restons capables d'en répondre à mesure qu'ils gagnent en autonomie. C'est un test de maturité de gestion, pas un test technique. Les organisations qui le réussiront ne seront pas les plus avancées technologiquement. Ce seront celles qui auront gardé vivante une exigence simple et exigeante : ne jamais utiliser ce dont on ne peut pas répondre.