L'intelligence artificielle, nouvel objet de contrôle interne : gouverner la machine comme on gouverne un risque

Commençons par une distinction que je crois fondatrice. Un outil exécute une tâche définie par celui qui le tient. Un objet de gouvernance, lui, engage l'organisation au-delà de l'intention de son utilisateur : il produit des effets que l'on doit pouvoir anticiper, tracer, justifier et corriger. Une calculatrice est un outil. Un système qui trie des candidatures, oriente un crédit, rédige un avis ou dialogue avec un usager est un objet de gouvernance, parce qu'il déplace de la décision et de la responsabilité.

Cette bascule n'est pas philosophique, elle est très concrète. Quand un cadre réglementaire prévoit, comme en Europe à partir de 2026, des sanctions pouvant atteindre 15 millions d'euros ou 3 pour cent du chiffre d'affaires mondial pour les manquements liés aux modèles à usage général et à la transparence, et jusqu'à 35 millions d'euros ou 7 pour cent pour les pratiques interdites, l'IA cesse d'être une ligne de dépense pour devenir une ligne de risque au bilan (source : Pôle d'excellence cyber, obligations applicables au 2 août 2026 ; Toute l'Europe). Le montant importe moins que le principe : une exposition chiffrée transforme une curiosité technologique en sujet de contrôle interne. Et un principe de contrôle interne, lui, ne se périme pas quand la loi change. Il se transpose.

Le réflexe habituel consiste à confier l'IA soit à la direction des systèmes d'information, soit au service juridique. Les deux sont nécessaires, aucun ne suffit. Le service informatique sait faire fonctionner la machine, le service juridique sait qualifier le risque, mais ni l'un ni l'autre ne pilote au quotidien la chaîne qui va de l'usage réel à la responsabilité assumée. Cette chaîne, les métiers de la gouvernance financière la connaissent déjà sous un autre nom : le contrôle interne.

Le contrôle interne repose sur une idée simple et robuste : on ne maîtrise que ce que l'on peut décrire, attribuer, prouver et corriger. Un dispositif de dépenses sans piste d'audit n'est pas un dispositif maîtrisé, quel que soit le talent des personnes. Il en va exactement de même pour l'IA. Le talent des équipes ne remplace pas le dispositif. C'est la raison pour laquelle je propose de traiter l'IA non pas comme un projet informatique de plus, mais comme un nouveau périmètre de contrôle interne, avec sa cartographie, ses responsables identifiés, ses preuves et ses mécanismes d'arrêt.

L'histoire récente offre des illustrations utiles, à condition de les lire comme des cas situés et non comme des scoops. En 2026, plusieurs États ont montré que la gouvernance de l'IA se joue en amont de la technologie. Au Sénégal, une première cohorte de plus de 3 500 personnels de l'éducation a été certifiée au numérique et à l'intelligence artificielle, sur près de 3 900 inscrits, avant tout déploiement massif d'outils (source : allAfrica). La leçon transposable est intemporelle : on ne gouverne pas un système que ses utilisateurs ne comprennent pas. La compétence humaine est un préalable de contrôle, pas un supplément.

À l'échelle de l'État, l'Inde a fait de son infrastructure numérique publique un instrument de finances publiques, avec un système de paiement instantané traitant plus de 21 milliards de transactions sur un seul mois de janvier 2026 et des transferts sociaux directs cumulés considérables (source : Press Information Bureau, gouvernement de l'Inde). Ce qu'un dirigeant doit en retenir n'est pas le chiffre, qui vieillira, mais le mécanisme : la donnée devient un actif de pilotage lorsque son périmètre, sa responsabilité, sa traçabilité et sa réversibilité sont tenus ensemble. Le jour où l'un de ces registres cède, l'actif se retourne en passif.

De ce cadre découlent quelques principes d'action qui restent vrais que l'on soit en 2026 ou plusieurs années plus tard. D'abord, traiter l'arrivée d'une nouvelle obligation réglementaire non comme une contrainte juridique à absorber, mais comme un révélateur de maturité : elle ne crée pas le risque, elle le rend visible. Ensuite, refuser la sous-traitance totale de la responsabilité : un prestataire peut fournir la technologie, jamais assumer la gouvernance à votre place. Enfin, inscrire l'IA dans les instances existantes de contrôle et d'audit plutôt que de créer un comité de plus : la gouvernance efficace densifie les dispositifs, elle ne les multiplie pas.

L'intelligence artificielle ne demande pas aux organisations d'inventer une gouvernance nouvelle. Elle leur demande d'étendre à un nouvel objet une discipline qu'elles connaissent déjà, celle du contrôle interne, avec ses exigences de périmètre, d'attribution, de preuve et de réversibilité.

La question de fond n'est donc pas technologique. Elle est de savoir si votre organisation sait encore répondre de ce qu'elle fait, à l'heure où une part croissante de ce qu'elle fait est produite par des systèmes qui ne dorment jamais. La technologie continuera de changer. La capacité à en répondre, elle, restera le vrai marqueur de sérieux d'une direction. Reste une question que chaque dirigeant peut se poser dès aujourd'hui : parmi les systèmes que nous utilisons déjà, combien satisferaient les quatre registres, si le contrôle avait lieu demain matin ?