Cette semaine, un thème domine : le débat se déplace de l’adoption de l’IA vers la preuve de sa valeur, la maîtrise des agents autonomes et la responsabilité effective des dirigeants. Pour les CA, nous entrons dans une phase où « nous avons une stratégie IA » ne constitue plus une réponse suffisante.
1. Le coût gigantesque de l’IA commence à devenir une question de gouvernance financière
Reuters souligne aujourd’hui, 18 août, l’ampleur extraordinaire des investissements liés à l’IA. Les dépenses d’investissement américaines ont dépassé 1 000 milliards $ US à mi-année, tandis que les grands groupes technologiques accroissent fortement leur recours à la dette. Reuters relève cependant que relativement peu d’entreprises du S&P 500 expliquent clairement aux investisseurs l’effet financier réel de l’IA ou le coût des investissements correspondants.
Principaux enjeux : rendement du capital investi, dette, investissements hors bilan, concentration des fournisseurs et risque de surinvestissement si les gains de productivité espérés tardent à se matérialiser.
Pourquoi cela importe au CA : c’est désormais une question de discipline d’allocation du capital. Un conseil devrait pouvoir distinguer les investissements nécessaires pour rester compétitif des projets motivés principalement par la crainte de « manquer le train de l’IA ».
Question très concrète à poser :
Pour chaque tranche importante de dépenses en IA, quel bénéfice mesurable avions-nous prévu, quel bénéfice observons-nous réellement et à quel moment déciderons-nous d’arrêter si les résultats ne sont pas au rendez-vous?
2. Les agents d’IA deviennent suffisamment autonomes pour transformer le risque cyber
Le Financial Times rapporte aujourd’hui des essais dans lesquels des agents d’IA de pointe ont démontré des capacités autonomes avancées en cybersécurité, notamment en trouvant et exploitant des vulnérabilités informatiques. Des travaux de plusieurs grands laboratoires et organismes de sécurité montrent que les capacités offensives progressent rapidement à mesure que raisonnement, programmation et utilisation autonome d’outils sont combinés.
Principaux enjeux : accès des agents aux systèmes informatiques, droits d’autorisation trop étendus, actions exécutées à vitesse machine, responsabilité lorsqu’un agent franchit une limite et capacité à interrompre immédiatement son activité.
Pourquoi cela importe au CA : voici une application très concrète de notre discussion récente sur les « décisions que l’IA peut exécuter ». Il devient insuffisant de savoir quel logiciel est installé. Il faut savoir ce que l’agent a le droit de faire.
Je demanderais donc à la direction quatre informations pour chaque agent important : quelles données peut-il lire, quels systèmes peut-il atteindre, quelles actions peut-il exécuter et quel humain peut immédiatement lui retirer ses permissions.
3. Québec : l’assurance illustre comment l’IA transforme simultanément stratégie, métiers et risque
Finance et Investissement publie aujourd’hui une analyse des bouleversements que l’IA pourrait entraîner dans le secteur de l’assurance, à partir de travaux de McKinsey. Le constat intéressant dépasse largement l’assurance : l’IA commence à toucher les processus fondamentaux de l’entreprise, et non plus seulement quelques fonctions administratives.
Principaux enjeux : automatisation des processus, personnalisation, qualité des données, nouvelles compétences, cybersécurité et nécessité d’intégrer les nouvelles capacités technologiques aux processus existants.
Pourquoi cela importe au CA : une question nouvelle doit accompagner la traditionnelle réflexion sur les risques :
Quels éléments de notre modèle d’affaires l’IA pourrait-elle rendre sensiblement meilleurs — ou obsolètes — dans les trois prochaines années?
C’est une distinction importante. Gouverner l’IA ne consiste pas seulement à empêcher les erreurs. Le devoir stratégique du CA consiste aussi à vérifier que l’entreprise ne laisse pas passer une transformation susceptible d’améliorer substantiellement sa compétitivité.
4. La fragmentation réglementaire pourrait paradoxalement rendre une bonne gouvernance plus précieuse
Une analyse publiée le 14 août examine le véritable casse-tête qui se dessine : l’Europe adopte une approche fondée sur le risque, les États-Unis suivent une orientation fédérale plus favorable à l’innovation tandis que certains États américains imposent leurs propres obligations, et le Royaume-Uni continue largement d’utiliser ses régulateurs sectoriels.
La conclusion est particulièrement pertinente pour les administrateurs : plutôt que d’essayer de bâtir une politique différente pour chaque réglementation, une organisation peut mettre en place un socle interne robuste : propriétaire identifié de chaque IA, mécanismes de surveillance, appétit au risque, responsabilité dès la conception et réévaluation continue.
Principaux enjeux : coûts de conformité, opérations internationales, fournisseurs étrangers et normes parfois contradictoires.
Pourquoi cela importe au CA : une bonne gouvernance peut devenir un accélérateur, et non le fameux frein administratif que personne n’a demandé. Lorsqu’on sait à l’avance ce qui est permis, qui peut autoriser quoi et quelles preuves doivent être conservées, les projets peuvent avancer plus rapidement.
5. Une recherche canadienne propose de transformer le maquis réglementaire en véritable système de contrôle
Une étude universitaire publiée en juillet propose SCITUS, un cadre destiné à adapter le NIST AI Risk Management Framework au contexte canadien et à ses différentes juridictions. Les chercheurs partent précisément du problème auquel seront confrontées les entreprises canadiennes : exigences fédérales, règles provinciales, normes internationales et obligations sectorielles ne forment pas un système unique. Leur modèle comprend maintenant 57 contrôles, contre 31 dans sa première version.
Principaux enjeux : Québec versus autres provinces, protection des renseignements personnels, exigences sectorielles, conformité internationale et risque de multiplier les contrôles redondants.
Pourquoi cela importe au CA : le conseil n’a évidemment pas à administrer 57 contrôles. Il devrait cependant obtenir l’assurance que quelqu’un dans l’organisation sait quelles règles s’appliquent à quels systèmes et possède les preuves démontrant leur respect.
C’est précisément la différence entre une politique d’IA et un véritable système de gouvernance.
Le chiffre que je retiens aujourd’hui : 6,5 %
Une recherche de Reuters Insights et Scale AI auprès de près de 500 décideurs d’entreprises identifie seulement 6,5 % des répondants comme ayant réellement atteint les trois critères retenus d’un déploiement d’IA à grande échelle. Parmi ce petit groupe, 81 % déclarent une très forte confiance dans leurs fondations de données et 62 % des déploiements réussis ont entraîné une amélioration de la rétention des clients.
Cela renforce une idée importante : l’avantage ne vient vraisemblablement pas du simple accès à ChatGPT, Copilot ou aux meilleurs modèles — que les concurrents peuvent également acheter. Il vient de la capacité organisationnelle à transformer ces outils en valeur.
La question que je placerais cette semaine devant le CA
« Parmi toutes nos initiatives d’IA, lesquelles produisent déjà une valeur mesurable, lesquelles demeurent des expérimentations et lesquelles devrions-nous arrêter? »
J’ajouterais désormais une seconde question, compte tenu de la montée des agents autonomes :
« Avons-nous un inventaire des agents d’IA qui peuvent agir dans nos systèmes, et connaissons-nous exactement les permissions accordées à chacun? »
À mon sens, ces deux questions résument assez bien l’évolution actuelle de la gouvernance de l’IA : passer de l’enthousiasme à l’imputabilité, et de l’expérimentation à la création de valeur démontrable.
Gouvernance | Jacques Grisé 