Dans la course à l'intelligence artificielle, la question n'est pas seulement de savoir qui ira le plus vite, mais qui saura conserver la maîtrise lorsque les limites seront atteintes. Quand une intelligence artificielle contourne les restrictions qui encadrent ses actions, la question dépasse la fiabilité du modèle. Elle concerne la sécurité des infrastructures, la responsabilité des organisations et l'efficacité des systèmes de management.

En 2003, je parlais déjà d’intelligence artificielle devant le Grand Conseil genevois. Je n’avais évidemment anticipé ni ChatGPT, ni l’IA générative, ni les agents IA. Le terme figurait dans un contexte bien différent : celui des logiciels de filtrage destinés notamment à protéger les mineurs contre certains contenus sur Internet.

Gouverner les agents IA avec ISO/IEC 42001 : pourquoi les contrôles conçus pour les chatbots ne suffisent plus. Un assistant qui résume un rapport d’incident peut commettre une erreur. Un agent connecté à tes outils peut transmettre ce rapport, modifier un dossier ou déclencher une intervention. La même erreur prend alors une autre dimension. Lorsque l’IA passe de la réponse à l’action, ta gouvernance doit préciser ce qu’elle peut faire, pour qui, sur quels systèmes et sous quel contrôle humain.

Une intelligence artificielle hébergée dans ses propres locaux paraît, à première vue, plus maîtrisable. Les données restent proches, l’infrastructure est identifiable et la dépendance à un fournisseur distant semble diminuer. De là à considérer cette solution comme automatiquement plus écologique, plus souveraine et plus responsable, il n’y a qu’un pas. Ce pas mérite pourtant d’être évité. L’emplacement physique des serveurs compte, mais il ne constitue qu’une variable parmi beaucoup d’autres. Pour comparer sérieusement deux architectures d’IA, il faut examiner l’électricité consommée, le refroidissement, l’eau, l’utilisation réelle des équipements, leur fabrication, la taille des modèles et, surtout, la manière dont l’IA sera utilisée pendant toute sa durée de vie. La question environnementale devient alors une question de gouvernance.

ISO 42001 PME : trois mots qui risquent de prendre une place croissante dans les discussions avec les clients, les directions informatiques, les responsables conformité et les services achats. Pourquoi ? Parce que l’intelligence artificielle n’est plus seulement utilisée par les éditeurs technologiques. Une PME qui utilise ChatGPT, Copilot, un logiciel RH intégrant de l’IA, un système de scoring, un outil marketing automatisé ou une solution métier intelligente devient elle aussi actrice de la gouvernance de l’IA.Et c’est précisément là que beaucoup d’entreprises pourraient être prises de court.La certification ISO/IEC 42001 n’est pas aujourd’hui une obligation générale imposée à toutes les PME utilisant de l’IA. Mais les responsabilités liées à l’utilisation de ces systèmes existent déjà et se renforcent. Dans l’Union européenne, l’AI Act est entré dans une nouvelle phase d’application depuis le 2 août 2026, avec des obligations qui concernent aussi, selon les cas, les entreprises qui déploient et utilisent des systèmes d’IA.Alors faut-il attendre ? Probablement pas. Mettre en place un système de management de l’IA demande du temps, des ressources et un budget. Anticiper permet de transformer cette contrainte en avantage concurrentiel, notamment lorsque clients et appels d’offres commenceront à demander des preuves tangibles de gouvernance de l’intelligence artificielle.

L’intelligence artificielle s’installe dans les processus de l’entreprise à grande vitesse. Mais plus elle accède aux données, aux outils métiers et aux systèmes d’information, plus une question devient stratégique : comment éviter l’empoisonnement de l’IA par injection ? Une simple instruction malveillante peut chercher à détourner le comportement d’une IA générative. Une injection indirecte peut même se dissimuler dans un contenu que le système consulte. Pour l’entreprise, le problème dépasse donc largement la technique : fuite d’informations, décisions inappropriées, atteinte à l’image ou exposition à des risques juridiques peuvent entrer dans l’équation.Sécuriser une IA ne consiste pourtant pas à empiler quelques barrières techniques. Il faut aussi organiser sa gouvernance, identifier les risques, définir les responsabilités et contrôler les usages dans la durée.C’est précisément là que la norme ISO/IEC 42001 prend tout son sens. Son approche structurée du management de l’intelligence artificielle peut aider l’entreprise à encadrer ses pratiques et à mieux maîtriser les risques associés à ses systèmes d’IA.