Gouverner l'IA 8 min8 étapes

Comprendre un risque et savoir agir

Objectif : « Je décris une situation à risque, je sais quoi signaler et je comprends comment l’entreprise donne suite »

Pour commencer

Des coordonnées clients peuvent être transmises à un outil non autorisé parce qu’une procédure invite à copier l’intégralité des e-mails.

Cette phrase décrit déjà une situation sur laquelle l’entreprise peut agir.

Comprendre un risque avec cinq repères

Un risque décrit comment une situation incertaine pourrait affecter ce qui compte pour l’entreprise.

Pour le rendre concret, utilisez cinq repères :

Repère	Question	Exemple
Ce qu’on protège	Qu’est-ce qui a de la valeur ?	Les données clients et la confiance des clients.
Ce qui pourrait arriver	Quel événement redoute-t-on ?	Une divulgation à un service non autorisé.
La faiblesse	Qu’est-ce qui rend cet événement possible ?	Une procédure de copier-coller sans contrôle des données.
Les conséquences	Quels dommages pourraient suivre ?	Une atteinte aux personnes, une perte de confiance et des coûts de traitement.
La probabilité	Dans quelles conditions cela pourrait-il se produire ?	Une pratique quotidienne, sans consigne claire ni contrôle.

Vous n’avez pas besoin de chiffrer seul la probabilité ou la gravité pour signaler une situation.

Votre rôle : repérer, signaler, appliquer

Repérer

Décrivez ce que vous observez : une pratique, une consigne absente, un résultat douteux ou une transmission possible.

Signaler

Utilisez le canal prévu par l’entreprise. Donnez les faits utiles sans recopier inutilement les informations à protéger.

Appliquer

Suivez les consignes reçues et signalez si elles sont difficiles à appliquer ou ne résolvent pas le problème.

Si une transmission a déjà eu lieu, utilisez le canal de signalement d’incident sans attendre d’avoir une explication complète.

Ce que fait l’entreprise

La personne responsable du suivi examine la situation, évalue ses conséquences possibles et organise une réponse.

Plusieurs options peuvent être combinées :

Option	Exemple
Réduire	Modifier la procédure, limiter les données ou ajouter une vérification.
Éviter	Renoncer à un usage dont les risques ne peuvent pas être suffisamment maîtrisés.
Partager certaines conséquences	Prévoir des garanties contractuelles ou une assurance adaptée, sans faire disparaître toutes les responsabilités.
Accepter ce qui reste	Faire prendre une décision explicite par la personne habilitée, dans les limites des obligations applicables.

Après les mesures, une part du risque peut subsister : c’est le risque résiduel.

L’entreprise doit suivre la situation et vérifier si les mesures fonctionnent. Une décision d’acceptation ne dispense pas de respecter les obligations légales.

Comment les priorités sont établies

L’entreprise examine notamment la gravité des conséquences et la probabilité de leur survenue, selon des critères définis.

Une matrice peut aider à comparer les situations. Elle soutient le jugement ; elle ne remplace pas l’analyse du contexte.

La gestion des risques s’inscrit dans une démarche continue. ISO 31000 propose des lignes directrices générales pour l’organiser. Présentation de la norme par l’ISO

↑ Probabilité · Gravité →

Avant probable × grave → Après mesures rare × grave. Les mesures font baisser la probabilité ; la gravité reste souvent la même.

À vous de jouer

Préparez un signalement à partir de ce cas fictif :

« Une procédure demande de copier les e-mails clients dans un outil dont l’autorisation n’est pas précisée. »

Votre signalement doit indiquer :

la pratique observée ;
les catégories d’informations concernées ;
ce qui s’est déjà produit, si vous le savez ;
la clarification ou l’aide demandée.

Restez factuel. Si une information manque, dites-le.

L'essentiel à retenir

Décrivez la situation, signalez-la au bon interlocuteur et suivez les mesures décidées. Vous n’avez pas à résoudre seul tout le problème.

Mise en situation

Vous remarquez qu’une note partagée avec un assistant contient les mots de passe de l’équipe.

Vous ne recopiez pas les mots de passe dans votre signalement. Vous indiquez où se trouve la note et alertez rapidement par le canal prévu.

La personne habilitée organise la réponse, notamment la sécurisation des accès et l’examen de l’exposition.

Ce que vous y gagnez

Vous savez transmettre un problème de façon utile et contribuer à sa résolution sans devoir devenir spécialiste de la gestion des risques.

Quiz

1. Dans le cas des e-mails clients copiés dans un outil non autorisé, quelle est la faiblesse ? La relation commerciale avec les clients. La procédure qui permet la transmission sans vérifier les données et l’autorisation. La perte éventuelle de confiance.

2. Vous identifiez une pratique préoccupante, mais vous ne savez pas évaluer sa gravité. Que faites-vous ? Je rassemble les faits utiles et je signale la situation. J’attends de pouvoir calculer son niveau de risque. Je demande d’abord à une IA de décider si le risque est acceptable.

3. Un fournisseur prévoit des garanties contractuelles. Que peut-on en conclure ? Le risque a entièrement quitté l’entreprise. Toute donnée peut désormais lui être transmise. Certaines conséquences peuvent être encadrées, mais les obligations et les risques restants doivent encore être examinés.

4. Qui peut accepter le risque qui subsiste après les mesures ? Toute personne utilisant l’outil au quotidien. La personne habilitée selon les règles de l’entreprise, sur la base d’une évaluation documentée. Le fournisseur, dès lors qu’il garantit la sécurité de son service.

Exigences auxquelles ce module se rapporte

ISO/IEC 27005:2022 Gestion des risques liés à la sécurité de l'information : appréciation du risque
ISO/IEC 27005:2022 Gestion des risques liés à la sécurité de l'information : communication du risque
ISO 31000:2018 Management du risque : 6.2
ISO 31000:2018 Management du risque : 6.4
ISO/IEC 27001:2022 Sécurité de l'information : A.6.3
ISO/IEC 42001:2023 Système de management de l'IA : 7.3

Version 1.1, révisée le 2026-11-04.