L’AI Act pousse les entreprises à mieux encadrer leurs systèmes d’intelligence artificielle. Pour Bernard Montel, Field CTO EMEA de Tenable, cette gouvernance suppose toutefois de savoir précisément quels outils et modèles sont utilisés, par qui et avec quelles données.
L’usage de l’intelligence artificielle se diffuse rapidement dans les entreprises françaises. Selon l’Insee, la part des entreprises de dix salariés ou plus utilisant au moins une technologie d’IA est passée de 6 % en 2023 à 18 % en 2025. Cette progression multiplie les usages que doivent suivre les DSI, au-delà des seules solutions officiellement déployées.
« L’AI Act encourage les organisations à mieux encadrer leur utilisation de l’IA, mais cela suppose d’abord de savoir quels outils et modèles sont réellement utilisés, par qui et avec quelles données », déclare Bernard Montel. Une politique de gouvernance peut en effet définir les outils autorisés et leurs conditions d’utilisation sans refléter l’ensemble des pratiques quotidiennes.
Identifier les usages derrière les outils
Un assistant IA référencé par l’entreprise peut être utilisé pour résumer un document public comme pour analyser un contrat, du code ou des données clients. Le système reste identique, mais son niveau d’exposition évolue selon les informations qui lui sont confiées.
« Tous les usages de l’IA n’exposent pas l’entreprise de la même manière », souligne Bernard Montel. Pour les DSI, l’inventaire doit donc dépasser la liste des applications disponibles et intégrer les modèles employés, les utilisateurs concernés et les données auxquelles ces systèmes accèdent. Cette visibilité permet de différencier les usages et d’adapter les contrôles aux risques associés.
Les agents élargissent le périmètre de gouvernance
L’arrivée des agents IA ajoute une nouvelle dimension. « Un assistant qui résume un document et un agent capable d’accéder à une boîte mail, de récupérer un fichier puis de déclencher une action dans une application métier ne présentent pas le même risque », rappelle Bernard Montel. Les entreprises doivent désormais gouverner l’accès aux données, mais aussi les possibilités d’action accordées à l’IA. Les systèmes auxquels un agent peut se connecter et les opérations qu’il est autorisé à déclencher deviennent des éléments à intégrer dans la gestion des risques.
« Jusqu’ici, les entreprises se demandaient surtout ce que leurs collaborateurs pouvaient faire avec l’IA. Avec les agents, elles doivent aussi se demander ce que l’IA est autorisée à faire dans l’entreprise », conclut Bernard Montel. L’AI Act peut servir de cadre à cette gouvernance, à condition que sa mise en œuvre reste liée aux usages réellement observés dans le système d’information.
