Une gouvernance de l’IA intégrée aux systèmes que vous exploitez réellement.
Nous recensons l’IA que vous développez et achetez, nous classons les risques, nous rédigeons les politiques, puis nous mettons en place les contrôles que ces politiques promettent : revue humaine, évaluations, journalisation, vérification des fournisseurs et procédure de gestion des incidents. Des ingénieurs qui mettent de l’IA en production : chaque contrôle est quelque chose que votre équipe peut faire fonctionner.
Ce qu’une mission de conseil en gouvernance de l’IA doit laisser derrière elle.
La gouvernance de l’IA, c’est l’ensemble des décisions, des contrôles et des traces qui vous disent quels systèmes d’IA vous exploitez, ce que chacun a le droit de faire, qui le vérifie et ce qui se passe en cas de problème. La plupart des entreprises ont déjà de l’IA en production, à travers leurs fournisseurs, des copilotes et des agents développés par leurs équipes, et personne n’en détient la liste complète. Gigabit commence par là : un inventaire de chaque système d’IA, un niveau de risque pour chacun et une liste des écarts par rapport aux référentiels que citent vos clients et vos régulateurs.
Trois référentiels couvrent l’essentiel des questions des acheteurs. Le NIST AI Risk Management Framework (AI RMF 1.0, janvier 2023) est d’application volontaire et organise le travail en quatre fonctions : Govern, Map, Measure et Manage. L’ISO/IEC 42001:2023 est la norme de système de management de l’IA, celle au regard de laquelle un organisme accrédité peut vous certifier. Le règlement européen sur l’intelligence artificielle (AI Act), règlement (UE) 2024/1689, est juridiquement contraignant : il s’applique à des entreprises situées hors de l’UE lorsque les sorties de leur système d’IA sont utilisées dans l’UE, ses interdictions s’appliquent depuis le 2 février 2025 et, depuis la modification de juillet 2026, ses règles sur les systèmes à haut risque s’appliquent à partir du 2 décembre 2027 pour les usages de l’annexe III (dates vérifiées le 23 octobre 2026). Gigabit est une société d’ingénierie. Nous mettons en place et documentons les contrôles ; votre conseil juridique détermine comment la loi classe chaque système, et un organisme de certification audite l’ISO 42001.
Ce que comprend la mise en place d’une gouvernance.
Les politiques sont la partie courte. Le travail consiste à rendre chacune vraie dans les systèmes qui tournent tous les jours.
Inventaire des systèmes d’IA
Chaque modèle, agent, copilote et fonction IA de fournisseur en usage : responsable, finalité, données concernées, utilisateurs touchés et décisions influencées.
Classification des risques
Chaque système classé selon son impact et rattaché aux catégories de l’AI Act, aux fonctions du NIST AI RMF et aux mesures de l’ISO/IEC 42001 que vous choisissez d’adopter.
Politiques et responsabilités
Une politique d’utilisation de l’IA, des règles d’usage acceptable, des étapes de validation pour les nouveaux systèmes et un responsable nommé pour chaque système, assez courtes pour être lues.
Conception de la supervision humaine
Là où une personne doit valider, contrôler un échantillon ou pouvoir arrêter le système, intégré au workflow avec l’autorité et le contexte nécessaires pour le faire.
Évaluation et supervision
Des jeux d’évaluations avec des seuils de réussite qui conditionnent les mises en production, des contrôles de dérive après chaque changement de modèle ou de prompt, et des alertes qui parviennent au responsable du système.
Journalisation, fournisseurs et incidents
Des pistes d’audit des entrées, des outils appelés et des sorties ; l’examen des fournisseurs de modèles et de leurs conditions d’utilisation des données ; une procédure de gestion des incidents IA avec des niveaux de gravité.
De l’inventaire à des contrôles qui fonctionnent.
Inventorier
Des entretiens et un examen des outils, des contrats et du code font apparaître les systèmes d’IA en usage, y compris ceux achetés par des équipes avec une carte bancaire.
Classer
Chaque système reçoit un niveau de risque, un responsable et une liste d’écarts au regard du NIST AI RMF, de l’ISO/IEC 42001 et, si votre conseil juridique estime qu’il s’applique, de l’AI Act.
Mettre en place les contrôles
Étapes de revue humaine, évaluations qui conditionnent les mises en production, journalisation, limitation des accès et vérification des fournisseurs sont intégrées aux systèmes, en commençant par le niveau de risque le plus élevé.
Faire fonctionner
La supervision, des revues trimestrielles et une procédure de gestion des incidents tiennent les traces à jour à mesure que les modèles, les prompts et les fournisseurs changent.
Des prix publiés, tâche par tâche.
Chaque montant est celui de la page Tarifs. Aucune plateforme n’a sa propre grille.
Un prix « à partir de » couvre le périmètre de base décrit sur la page Tarifs. Un projet plus large fait l’objet d’un devis à prix fixe avant le début des travaux. Le travail sans fin naturelle, comme le développement continu, est facturé par ingénieur et par mois, sans engagement de durée.
Quand Gouvernance de l’IA est le bon choix, et quand il ne l’est pas.
- Des équipes ont livré ou acheté de l’IA plus vite que quiconque n’a consigné qui en est responsable.
- Le questionnaire de sécurité d’un client, un auditeur ou un administrateur vous demande comment vous gouvernez l’IA.
- Vous exploitez des agents IA qui agissent, pas seulement qui répondent à des questions.
- Vous vendez dans l’UE ou à des acheteurs réglementés de la santé, de la finance ou du secteur public.
- Vous avez besoin d’un avis juridique sur la façon dont l’AI Act classe un système. Adressez-vous à un avocat ; nous travaillons à ses côtés.
- Vous voulez que nous vous délivrions un certificat ISO 42001. La certification est délivrée par un organisme de certification accrédité ; nous vous aidons à vous préparer à son audit.
- Vous utilisez un ou deux outils d’IA du commerce, sans données clients. Une courte politique d’usage acceptable suffit.
De l’IA en production, avec les contrôles intégrés.
Un contrôle d’accès par domaine d’expertise sur la base de connaissances d’un cabinet de conseil, des contrôles HIPAA sur une plateforme de téléconsultation, et des garde-fous cliniques avec passage de relais à un humain sur un assistant patients.
Transformation IA : 1 200 heures récupérées par trimestre
Transformation IA : un cabinet de conseil américain de 140 salariés récupère 1 200 heures par trimestre et 480 000 $ par an. ROI : 129 % la première année.
Lire l’étude de casTélémédecine, FHIR et HIPAA : 1 200 patients en 90 jours
Plateforme de télémédecine conforme HIPAA, reliée à 3 systèmes EHR : 1 200 patients en 90 jours et une série A de 4,5 M$.
Lire l’étude de casAssistant patient LLM : 62 % de demandes répétitives en moins
Un assistant patient RAG doté de garde-fous cliniques a réduit en 8 semaines les demandes répétitives à l’accueil de 62 % et le délai de réponse de 68 %.
Lire l’étude de casVos questions sur Gouvernance de l’IA
Combien coûte une mission de conseil en gouvernance de l’IA ?
Le diagnostic correspond à l’AI Transformation Sprint : 25 000 $, prix fixe, en deux semaines, avec l’inventaire, les niveaux de risque, la liste d’écarts et un pilote du premier contrôle. La mise en place de la gouvernance qui suit fait l’objet d’un prix fixe écrit après cadrage. Les ingénieurs qui mettent en place les contrôles dans plusieurs équipes coûtent 3 000 à 7 500 $ par ingénieur et par mois, et la supervision continue relève de Managed AI Operations, de 3 000 à 20 000 $ par mois. Si vous avez besoin de tests d’attaque sur un agent ou une fonction LLM, l’AI Security Assessment commence à 12 000 $, prix fixe.
Qu’est-ce qu’un cadre de gouvernance de l’IA ?
C’est la structure qui vous sert à décider quels systèmes d’IA vous exploitez et comment vous les contrôlez : rôles et responsabilités, méthode de classification des risques, politiques, contrôles requis par niveau de risque, et traces qui prouvent que les contrôles ont été appliqués. La plupart des entreprises construisent le leur sur le NIST AI Risk Management Framework, dont les quatre fonctions sont Govern, Map, Measure et Manage, et sur l’ISO/IEC 42001 si elles veulent un système de management certifiable. Le NIST publie aussi un profil pour l’IA générative (NIST AI 600-1, juillet 2024) qui applique le cadre aux modèles génératifs.
En quoi la gouvernance des agents IA est-elle différente ?
Un agent agit : il appelle des outils, écrit dans des systèmes et envoie des messages. La gouvernance des agents ajoute des contrôles dont un chatbot n’a pas besoin : des identifiants à moindre privilège pour chaque outil, une liste d’actions autorisées, une étape de validation humaine avant les actions lourdes de conséquences, des plafonds de dépenses et de fréquence, et un journal de chaque appel d’outil avec ses entrées et ses sorties, pour pouvoir rejouer ce que l’agent a fait et pourquoi.
L’AI Act s’applique-t-il à une entreprise située hors de l’UE ?
C’est possible. L’article 2 applique le règlement aux fournisseurs qui mettent des systèmes d’IA sur le marché de l’UE, où qu’ils soient établis, ainsi qu’aux fournisseurs et déployeurs situés hors de l’UE lorsque les sorties du système sont utilisées dans l’UE. Les pratiques interdites le sont depuis le 2 février 2025, et la modification de juillet 2026 a reporté les règles sur le haut risque de l’annexe III au 2 décembre 2027 et celles de l’annexe I au 2 août 2028 (vérifié le 23 octobre 2026). Savoir si un système précis entre dans le champ du règlement, et dans quelle catégorie, relève de votre conseil juridique. Nous construisons l’inventaire, les journaux et la supervision qu’il vous demandera.
Pouvez-vous nous aider à obtenir la certification ISO 42001 ?
Nous vous aidons à vous y préparer. L’ISO/IEC 42001:2023 définit les exigences d’un système de management de l’IA, et la certification est délivrée par un organisme de certification accrédité à l’issue de son propre audit. Gigabit met en place ce que l’auditeur examinera concrètement : l’inventaire de l’IA, les évaluations des risques et des impacts, des politiques et des responsables documentés, et la preuve que des contrôles comme les évaluations, la supervision et la gestion des incidents fonctionnent réellement. Nous ne délivrons pas de certificats et ne vous auditons pas nous-mêmes.
Souvent cadré dans le même projet.
Vous ne savez pas quelle IA tourne dans votre entreprise ?
Dites-nous, en français ou en anglais, quels systèmes d’IA vous connaissez et qui pose les questions. Nous vous répondons en anglais avec la façon dont nous les recenserions et les classerions, et ce que cela coûte.