Qui est responsable quand une stratégie générée par IA se révèle erronée ?

Quand une recommandation stratégique générée par IA se révèle erronée, la responsabilité incombe aux personnes nommément désignées dans la chaîne de décision – et non à l'outil. La question est de savoir lesquelles, et la réponse honnête est : trois rôles souvent confondus ou tenus par la même personne, ce qui est précisément là que se concentre le risque.

Cet article examine les trois rôles et les raisons pour lesquelles les confondre crée des risques ; le document de gouvernance écrit qui attribue la responsabilité avant qu'une décision soit prise ; les obligations de l'AI Act européen en matière de supervision humaine ; et la fiche de validation en cinq champs minimum qui rend le fil d'une décision reconstituable lorsqu'il doit être examiné ultérieurement.

• Les trois rôles de responsabilité : rédacteur du brief ou propriétaire de la requête, réviseur ou autorité de validation, décideur.
• Le document de gouvernance écrit : ce qu'il doit contenir et pourquoi l'ISO/IEC 42001 considère la traçabilité comme une exigence de conception.
• Article 14 de l'AI Act européen : les obligations de supervision humaine pour les systèmes d'IA à haut risque.
• Article 29 du UK Corporate Governance Code : déclarations du conseil d'administration sur les contrôles internes significatifs pour les exercices ouverts à compter du 1er janvier 2026.

Une recommandation stratégique élaborée avec l'assistance de l'IA n'a pas d'auteur humain unique. Une personne formule la question, une autre fournit les documents, une troisième façonne la requête, une quatrième révise les résultats et une cinquième soumet la décision au conseil d'administration. Quand la recommandation se révèle ensuite erronée, chacun peut pointer l'autre du doigt. Il s'agit du classique problème des mains multiples, accentué par l'IA, car l'étape de rédaction qui laissait autrefois une trace visible de travaux préparatoires se déroule désormais dans un outil qui n'en laisse aucune par défaut.

L'analyse forensique est sans détour. Les équipes de services forensiques et d'intégrité d'EY notent que, dans de nombreux déploiements d'IA, la documentation est limitée et les processus de décision ne sont pas conçus pour être reconstitués a posteriori, ce qui rend difficile l'explication, l'audit ou l'investigation des résultats pilotés par l'IA lorsqu'ils sont contestés.^[1]

L'Index IA de Stanford HAI rapporte que la base de données AI Incident Database a recensé 362 incidents IA documentés en 2025, contre 233 en 2024.^[2] La part des entreprises sans politique d'IA responsable est passée de 24 % à 11 %. Le fossé qui demeure est celui entre la politique et la pratique.

Ce qui disparaît quand le fil n'est pas consigné par écrit

• Le brief : personne ne peut montrer quelle version du brief ou de la requête a produit l'analyse, ni qui en a approuvé le cadrage.
• Les données d'entrée : les documents et données sur lesquels l'IA s'est appuyée sont éparpillés dans des téléversements, des conversations et des dossiers personnels.
• La révision : ce que le réviseur a contesté, corrigé ou accepté est souvent invisible.
• La décision : le moment du choix, et la personne qui l'a pris, sont enfouis dans une réunion ou un fil de messagerie.
• L'état de l'outil : la version de la plateforme, le modèle et les paramètres utilisés ne sont pas consignés.

Rien de tout cela ne se résout en demandant aux personnes d'être plus prudentes. Cela se résout par un artefact écrit qui attribue chaque élément à une personne nommément désignée avant que la décision soit prise.

La responsabilité d'une recommandation stratégique assistée par IA est partagée entre trois rôles distincts. Les confondre – par exemple en faisant rédiger le brief, réviser les résultats et prendre la décision par la même personne – concentre le risque et rend le questionnement indépendant structurellement impossible.

• Le rédacteur du brief ou propriétaire de la requête est responsable de la question posée et des données d'entrée fournies. Sa responsabilité comprend de s'assurer que le cadrage est complet, impartial et représente la décision que l'organisation doit réellement prendre.
• Le réviseur ou l'autorité de validation est responsable du questionnement et de la validation de l'analyse. Sa responsabilité comprend d'interroger les résultats, de vérifier les sources, d'identifier les lacunes et de porter l'affaire en escalade si l'analyse ne peut être étayée.
• Le décideur est responsable du choix et de ses conséquences. Sa responsabilité comprend de pondérer la recommandation au regard du contexte que l'analyse n'a peut-être pas capturé, et d'assumer la responsabilité du résultat.

Séparer les rôles ne nécessite pas de nouvelles ressources. Cela exige que le document de gouvernance indique qui occupe chaque rôle pour chaque décision significative. Cela reflète le modèle de responsabilité partagée utilisé dans les cadres de gouvernance de l'IA : développeur, organisation de déploiement, utilisateur. Chaque couche assume la responsabilité de ce qu'elle apporte ; aucune ne peut se décharger de la sienne en pointant une autre du doigt.

Des défaillances apparaissent quand une même personne occupe deux ou trois de ces rôles. La confusion la plus fréquente est celle du rédacteur du brief qui conduit également la révision – il n'y a alors pas de questionnement indépendant, et personne avec un angle de vue différent ne vérifie si la question a été posée d'une façon ne pouvant produire qu'une seule réponse.

Un document de gouvernance IA défendable pour les décisions stratégiques comporte deux parties : une politique permanente décrivant les trois rôles et le chemin d'escalade, et une fiche de validation par décision qui documente, pour chaque décision significative, qui occupait chaque rôle et ce que chacun a fait.

L'ISO/IEC 42001 exige des rôles et responsabilités définis pour les systèmes d'IA, une documentation maintenue des décisions relatives au cycle de vie de l'IA, et la traçabilité des décisions.^[3] Ce que la politique permanente doit couvrir au minimum :

1. Des personnes nommément désignées par niveau de décision – des individus spécifiques, non des intitulés de poste, afin que la responsabilité soit personnelle et ne puisse être renvoyée à un rôle qui aurait entre-temps changé de titulaire.
2. Un chemin d'escalade – ce qui se passe lorsque le réviseur est indisponible, ou lorsque le rédacteur du brief et le réviseur sont la même personne.
3. La version de l'analyse jointe – la date, la plateforme et la version utilisée, et le brief ou la requête tels que soumis.
4. La date et le mode de validation – procès-verbal de réunion, signature électronique ou approbation écrite.

Pourquoi la version jointe est importante

La version jointe est le champ que la plupart des équipes omettent et que la plupart des investigations requièrent. Le même brief exécuté sur une version, un modèle ou une configuration de plateforme différents peut produire une recommandation substantiellement différente. Sans la version consignée, personne ne peut reconstituer la base réelle de la décision. L'exigence de traçabilité de l'ISO/IEC 42001 couvre précisément ce point.

À quoi ressemble le chemin d'escalade en pratique

Le chemin d'escalade répond à l'avance à trois questions : (1) Si le réviseur désigné ne peut pas achever la révision avant la date limite, qui est son suppléant ? (2) Si l'analyse soutient une option que le rédacteur du brief favorisait manifestement, la révision doit être menée par quelqu'un qui n'a pas façonné le brief. (3) Si le niveau de décision s'élève – d'une recommandation d'équipe à un document du conseil d'administration – la validation doit monter en conséquence.

La distinction la plus utile en gouvernance de l'IA est celle entre assisté par IA – où un être humain décide sur la base de l'analyse – et décidé par IA – où les résultats du système sont mis en œuvre sans révision humaine significative. C'est dans le second cas que la responsabilité se noie dans l'outil, lequel n'a aucune personnalité juridique selon le droit actuel et ne peut être tenu responsable.

Les obligations de supervision humaine de l'AI Act européen figurent à l'article 14.^[4] Pour les systèmes d'IA à haut risque relevant de l'annexe III, l'article 14 exige que les personnes physiques supervisant le système :

• comprennent correctement les capacités et limites du système ;
• restent conscientes du biais d'automatisation – la tendance à s'appuyer excessivement sur les résultats du système ;
• interprètent correctement les résultats du système ;
• soient en mesure de décider, dans toute situation particulière, de ne pas utiliser le système ou d'ignorer ou d'annuler ses résultats.

Pour les systèmes à haut risque relevant de l'annexe III, ces obligations s'appliquent à compter du 2 décembre 2027. Les entreprises qui construisent des structures de gouvernance dès maintenant – alors que les obligations sont encore anticipées plutôt qu'appliquées – ont l'avantage de mettre en place une documentation correcte avant que le contrôle ne s'intensifie.

La classification assisté par IA ou décidé par IA appartient à la fiche de validation. Elle oblige l'organisation à affronter la limite au moment de la décision, quand elle peut encore être rectifiée, plutôt que lors d'une investigation ultérieure où la distinction est importante mais les preuves ont disparu.

Le UK Corporate Governance Code 2024 s'applique aux sociétés cotées en premium pour les exercices ouverts à compter du 1er janvier 2025, selon le principe de conformité ou d'explication.^[5]

L'article 29, applicable aux exercices ouverts à compter du 1er janvier 2026, exige des conseils d'administration qu'ils déclarent l'efficacité de leurs contrôles internes significatifs. Un processus stratégique assisté par IA – où les recommandations soumises au conseil sont élaborées avec l'aide de l'IA – est précisément le type de contrôle interne significatif sur lequel le conseil doit pouvoir se prononcer.

Ce que la déclaration implique en termes de preuves

• Un processus documenté : la politique de responsabilité existe, est à jour et identifie les responsables.
• Des fiches par décision : des fiches de validation existent pour les analyses significatives assistées par IA, avec la version de l'analyse jointe.
• Des preuves de supervision : la fiche montre un véritable questionnement, y compris des cas où le réviseur a contredit ou escaladé.
• Visibilité du conseil : le conseil ou ses comités peuvent décrire comment ils surveillent le cadre.

Le mécanisme de conformité ou d'explication offre une soupape de sécurité : une entreprise qui n'a pas encore constitué le dossier peut expliquer ce qu'elle fait à la place et pourquoi. Mais l'explication doit être substantielle. Des explications se résumant à « nous faisons confiance à l'équipe » risquent de ne pas satisfaire les régulateurs ou les actionnaires si une recommandation IA erronée devient un incident de gouvernance.

Une fiche de validation défendable requiert cinq champs. Les quatre premiers garantissent que le fil peut être reconstitué ; le cinquième est la classification qui rend la responsabilité explicite au moment où elle importe.

Le cinquième champ est celui que la plupart des équipes trouvent inconfortable, car il impose une réponse publique à une question que la plupart préfèrent laisser dans le flou. Mais c'est le champ qui, plus que tout autre, crée la responsabilité que la structure de gouvernance est censée fournir.

Cet exemple est illustratif. Une équipe de stratégie d'entreprise prépare une recommandation sur l'entrée sur un marché d'Asie du Sud-Est à l'aide d'une plateforme de stratégie nativement IA.

1. Brief et données d'entrée : l'analyste soumet un brief et téléverse des études de marché et des données financières internes. La fiche de validation porte le texte du brief, la liste des documents et la date de soumission.
2. Version de l'analyse : la plateforme renvoie une recommandation avec les sources citées. La fiche joint la version de l'analyse – nom de la plateforme, version du modèle et date de génération.
3. Révision : la directrice du développement du groupe agit en tant que réviseure. Elle remet en question les hypothèses sur la taille du marché, vérifie les sources citées et demande un nouveau calcul avec un éventail d'options plus large. Elle valide par signature électronique, avec une date consignée.
4. Classification de la décision : le directeur de la stratégie classe la décision comme assistée par IA. La classification est consignée avant que la recommandation ne remonte en hiérarchie.
5. Document du conseil : la recommandation est soumise au conseil avec une note de provenance. La fiche de validation est archivée avec le document.

Dix-huit mois plus tard, l'entrée sur le marché est en dessous des objectifs. Le fil montre : qui a décidé, sur quelle base et avec quelle supervision. Non pas que la recommandation était juste – elle ne l'était pas – mais que la responsabilité n'a jamais fait de doute, et que l'organisation peut examiner ce qui s'est passé sans qu'un litige sur les responsabilités n'éclate.

Decisity est une plateforme de conseil en stratégie nativement IA qui joint des citations sources à chaque affirmation et conserve l'analyse traçable jusqu'à ses données d'entrée, faisant de la version jointe et de la carte affirmation-source une partie du flux de travail standard plutôt qu'une charge documentaire supplémentaire.

Lectures associées :

• Cadre de gouvernance IA pour les conseils d'administration
• Gestion des risques IA pour les conseils d'administration : un cadre pour les administrateurs
• Divulgation de la version du modèle IA : ce que votre conseil doit savoir
• Pourquoi les présentations IA passent trop facilement la revue : la correction de gouvernance

• EY Forensic & Integrity Services : L'écart de gouvernance et de responsabilité dans l'adoption de l'IA
• Stanford HAI AI Index 2026 : IA responsable
• ISO/IEC 42001 : Présentation de la norme de management des systèmes d'IA
• AI Act européen : article 14, Mesures de supervision humaine
• Financial Reporting Council : UK Corporate Governance Code 2024