L’intelligence artificielle s’installe dans les entreprises avec une rapidité qui oblige les organes de direction à sortir d’une approche purement technique. Dans une analyse consacrée aux décisions à prendre en 2026, Kohen Avocats place le sujet au niveau du conseil d’administration. L’enjeu ne porte plus seulement sur la performance des outils, mais sur la protection juridique, opérationnelle et réputationnelle de la société.
Kohen Avocats place l’IA au niveau du conseil d’administration
La question posée par Kohen Avocats renvoie directement au rôle de surveillance du conseil. Lorsqu’une entreprise utilise des systèmes capables de produire des textes, des analyses, du code ou des recommandations commerciales, la décision ne peut pas être abandonnée aux seuls services informatiques. Le conseil d’administration doit fixer une ligne claire, car les impacts touchent la stratégie, la conformité, la relation client et la sécurité des actifs.
En 2026, l’administrateur prudent doit demander où l’intelligence artificielle intervient déjà dans l’organisation. Les usages sont souvent plus larges que les projets officiellement déclarés. Des équipes marketing peuvent automatiser des contenus, des juristes tester des outils de recherche, des commerciaux analyser des portefeuilles clients, tandis que les ressources humaines expérimentent des solutions de tri ou d’aide à la décision. Cette dispersion crée un risque de gouvernance si aucune règle commune n’est validée.
Le premier arbitrage consiste à inscrire l’IA à l’ordre du jour du conseil avec une fréquence déterminée. Une présentation annuelle apparaît insuffisante dans les sociétés très exposées au numérique. Un suivi trimestriel peut permettre d’examiner les nouveaux déploiements, les incidents, les réclamations, les audits internes et les contrôles des fournisseurs. Cette discipline documentaire protège la société, mais aussi les administrateurs, qui doivent pouvoir démontrer qu’ils ont posé les bonnes questions.
Le conseil doit d’autre part identifier le niveau d’appétence au risque. Une entreprise industrielle qui utilise l’IA pour optimiser sa maintenance ne fait pas face aux mêmes enjeux qu’une banque, une clinique privée ou une plateforme de recrutement. La décision attendue n’est pas un refus général de la technologie. Elle consiste à établir une frontière entre les usages acceptables, les usages soumis à validation renforcée et les usages interdits.
Cette approche transforme la gouvernance. L’IA devient un sujet comparable à la cybersécurité ou à la conformité anticorruption, avec des responsabilités, des indicateurs et des procédures. Le conseil gagne à désigner un référent, à solliciter des compétences externes lorsque la société n’en dispose pas, puis à demander une cartographie compréhensible par des non-spécialistes.
Cartographier les outils d’IA avant tout déploiement en 2026
La décision la plus immédiate consiste à établir un inventaire. Une cartographie des usages doit recenser les outils employés, les directions concernées, les données traitées, les prestataires sollicités et les finalités poursuivies. Sans cet état des lieux, le conseil ne peut pas mesurer l’exposition réelle de l’entreprise. Les usages non déclarés, parfois qualifiés de shadow AI, représentent un angle mort fréquent lorsque les salariés utilisent des services accessibles en ligne sans validation interne.
Cette cartographie doit distinguer les outils de productivité courante des applications intégrées aux processus sensibles. Une aide à la rédaction d’e-mails n’a pas le même poids qu’un système évaluant la solvabilité d’un client, priorisant des candidatures ou détectant des comportements anormaux. Le conseil doit demander une classification par criticité, avec un seuil de validation pour les usages touchant aux personnes, à la santé, à la sécurité, aux données financières ou aux secrets d’affaires.
La protection des données sensibles impose une attention particulière. Les administrateurs doivent vérifier si les données envoyées vers un outil d’IA peuvent être conservées, réutilisées pour l’entraînement d’un modèle ou transférées hors des environnements maîtrisés. Le sujet concerne autant les données personnelles que les informations stratégiques, comme les marges, les projets de fusion, les brevets en préparation ou les documents contractuels. Une simple consigne interne peut réduire le risque, mais elle doit être accompagnée d’outils validés.
Le conseil peut demander l’adoption d’une politique d’usage. Ce document doit préciser les outils autorisés, les catégories d’informations interdites en saisie, les obligations de vérification humaine et les modalités de signalement. La politique doit être opérationnelle, courte et compréhensible. Un texte trop abstrait produit rarement des effets dans les services, alors qu’un guide pratique avec exemples favorise l’adhésion.
L’inventaire doit rester vivant. Un responsable métier peut déclarer tout nouveau projet avant lancement, avec une fiche simple décrivant l’objectif, les données utilisées, le fournisseur et les contrôles prévus. Cette procédure évite de bloquer l’innovation tout en donnant au conseil une vision consolidée. Le terme clé devient traçabilité, car une décision non documentée devient difficile à défendre lors d’un litige, d’un audit ou d’un incident médiatisé.
Le conseil arbitre contrats, données et cybersécurité
Les administrateurs doivent ensuite traiter la relation avec les fournisseurs. Les solutions d’IA reposent souvent sur des prestataires extérieurs, des interfaces logicielles, des hébergeurs et des modèles proposés sous forme d’abonnement. Le conseil doit demander si les contrats couvrent les risques principaux: confidentialité, disponibilité du service, réversibilité, propriété des résultats, responsabilité en cas d’erreur et conditions de sous-traitance. Une clause imprécise peut transférer à l’entreprise des risques qu’elle pensait maîtriser.
Le point le plus sensible concerne les contrats fournisseurs. Les directions achats et juridiques doivent vérifier les garanties accordées sur l’utilisation des données, les limites d’indemnisation et les obligations d’assistance en cas d’enquête ou de réclamation. Lorsque l’outil intervient dans une décision importante, l’entreprise doit pouvoir comprendre les paramètres utilisés ou, au minimum, obtenir des explications exploitables. Une dépendance totale à une solution opaque fragilise la position du conseil.
La cybersécurité s’ajoute à ce contrôle contractuel. Les outils d’IA peuvent accroître la surface d’attaque, notamment lorsqu’ils sont connectés aux messageries, aux bases clients, aux espaces documentaires ou aux environnements de développement. Les administrateurs doivent demander des tests d’accès, des revues de droits, une surveillance des usages anormaux et une procédure de retrait rapide en cas de défaillance. Les incidents ne proviennent pas uniquement d’un pirate extérieur: une mauvaise configuration suffit parfois à exposer des informations internes.
La propriété intellectuelle mérite également une décision formelle. Les contenus générés par IA peuvent reprendre des éléments protégés, produire des résultats difficiles à attribuer ou créer une confusion sur la titularité des droits. Une société qui utilise l’IA pour produire des visuels, du code, des argumentaires commerciaux ou des documents techniques doit préciser qui valide le résultat et quelles vérifications sont exigées avant publication ou livraison à un client.
Le conseil peut demander une matrice de risques reliant chaque outil à un niveau de contrôle. Pour les usages faibles, une validation métier suffit. Pour les usages critiques, l’entreprise peut imposer une revue juridique, un contrôle sécurité, un test de biais et une approbation de la direction générale. Cette méthode évite le traitement uniforme de tous les projets, qui conduit soit à une bureaucratie excessive, soit à une prise de risque invisible.
Former les dirigeants et documenter chaque décision sensible
La protection de la société passe enfin par la formation. Le conseil ne peut pas exercer une surveillance sérieuse s’il ne comprend pas les mécanismes de base, les limites des modèles et les risques de confiance excessive. Une session dédiée aux administrateurs peut couvrir les notions essentielles: données d’entraînement, hallucinations, biais, sécurité, confidentialité, explicabilité et responsabilité. L’objectif n’est pas de transformer les dirigeants en ingénieurs, mais de leur permettre de challenger les présentations internes.
Cette montée en compétence concerne aussi le comité exécutif. Les dirigeants doivent savoir quand un résultat produit par IA peut être utilisé, quand il doit être vérifié et quand il doit être écarté. La notion de validation humaine devient centrale. Dans les domaines sensibles, l’entreprise doit conserver une intervention réelle d’un professionnel compétent, capable de contester le résultat et de motiver sa décision. Une validation purement automatique expose la société à des contestations plus difficiles à traiter.
Le conseil doit demander une documentation rigoureuse des décisions importantes. Lorsqu’un projet d’IA est approuvé, le dossier doit conserver les objectifs, les risques identifiés, les alternatives étudiées, les contrôles prévus et les responsables désignés. Cette documentation sert en cas de contrôle interne, de contentieux ou de question d’un actionnaire. Elle permet aussi de suivre la promesse initiale du projet: gain de temps, réduction d’erreurs, amélioration de service ou baisse de coûts.
La formation des dirigeants doit être complétée par des exercices concrets. Un scénario de fuite de données, une erreur de recommandation commerciale ou une décision RH contestée permettent de tester la chaîne d’alerte. Qui est prévenu en premier? Qui suspend l’outil? Qui informe les clients, les salariés ou les autorités concernées? Ces questions pratiques révèlent souvent les lacunes avant qu’un incident réel ne survienne.
Le conseil peut enfin fixer des indicateurs. Nombre d’outils déclarés, taux de formation, incidents signalés, audits réalisés, contrats revus, projets refusés ou corrigés: ces données donnent une lecture précise de la maturité de l’entreprise. En 2026, la bonne gouvernance de l’IA ne se limite pas à une charte publiée sur l’intranet. Elle repose sur des décisions suivies, des preuves conservées et une capacité à adapter les usages lorsque les risques dépassent les bénéfices attendus.
Questions fréquentes
- Pourquoi le conseil d’administration doit-il traiter l’IA en 2026?
- Parce que l’IA touche la stratégie, les données, les contrats, la cybersécurité et la responsabilité de l’entreprise. Le sujet dépasse le périmètre technique et nécessite des décisions de gouvernance.
- Quelle est la première décision à prendre pour encadrer l’IA?
- La première décision consiste à recenser les outils utilisés, les données traitées, les directions concernées et les fournisseurs impliqués. Cette cartographie permet de prioriser les contrôles.
- Quels usages d’IA doivent recevoir une validation renforcée?
- Les usages liés aux données personnelles, aux ressources humaines, à la santé, à la sécurité, aux décisions financières ou aux secrets d’affaires doivent faire l’objet d’une revue renforcée.
- Comment protéger l’entreprise face aux fournisseurs d’IA?
- L’entreprise doit revoir les clauses de confidentialité, de responsabilité, de réversibilité, de sous-traitance, de sécurité et de propriété des résultats avant tout déploiement sensible.
À retenir
- Le conseil d’administration doit superviser directement les usages d’IA.
- Une cartographie des outils limite les risques liés au shadow AI.
- Les contrats fournisseurs doivent encadrer données, sécurité et responsabilités.
- La documentation des décisions protège la société et ses dirigeants.
- Duralex : une entreprise emblématique face à son avenir judiciaire - 15 octobre 2026
- Patrick Puy, le spécialiste des redressements nommé à la tête de Gifi - 15 octobre 2026
- Taux : panorama complet des impacts et tendances en 2026 - 14 octobre 2026
