Modèle de maturité de la gouvernance IA : où en sont les organisations

L’adoption de l’IA progresse souvent plus rapidement que la gouvernance. Les pilotes Copilot sont lancés avant que quiconque ne révise les autorisations, et les fonctionnalités IA SaaS apparaissent avant une validation de sécurité. Le WEF and Accenture 2025 Playbook a constaté que 81 % des 1 500 entreprises sont encore aux premiers stades de maturité de l’IA responsable.

Lorsque la direction demande à quel point la gouvernance de l'IA de l'organisation est mature, elle s'attend à un chiffre qu'elle peut suivre d'année en année, appuyé par une preuve claire. La plupart des affirmations de maturité ne peuvent fournir cette preuve, et une preuve défendable doit reposer sur ce que les contrôles peuvent prouver, pas sur ce que dit la politique. Peu d'organisations peuvent étayer cette affirmation ; selon The Netwrix 2026 Data and Identity Security Report, seulement 11 % déclarent une préparation complète à la sécurité de l'IA.

Le coût de cette faille apparaît déjà dans les données de violation : les organisations où l'IA a considérablement élargi l'accès à l'identité rapportent un taux de violation de 43 %, contre 11 % là où les modèles d'accès n'ont pas changé. C'est ce qui arrive lorsque la gouvernance ne suit pas l'adoption de l'IA.

C’est ici qu’intervient le modèle de maturité de la gouvernance de l’IA : il transforme « où en sommes-nous » d’une affirmation politique en un chiffre étayé par des preuves.

Qu'est-ce qu'un modèle de maturité de la gouvernance de l'IA ?

Un modèle de maturité de la gouvernance de l'IA est un cadre structuré qui décrit les niveaux de capacité de gouvernance de l'IA, de la supervision ad hoc au contrôle adaptatif et en amélioration continue. Pour un responsable de la sécurité ou un directeur informatique, il sert de référence, un moyen de communiquer la posture au Chief Information Security Officer (CISO) ou au conseil d'administration, de justifier la prochaine demande de budget et de suivre les progrès d'année en année avec un étalon constant.

Le modèle de maturité est distinct d’un cadre de gouvernance de l’IA. Le cadre est ce que l’organisation construit : les politiques, rôles, cycles de révision et contrôles qui régissent l’utilisation de l’IA. Le modèle de maturité montre si ce cadre fonctionne et où il est insuffisant.

Comment cela correspond à NIST AI RMF, EU AI Act et ISO/IEC 42001

Les cadres suivants définissent des obligations et des attentes de contrôle plutôt que des scores de maturité :

• NIST AI RMF 1.0 définit quatre fonctions : GOVERN, MAP, MEASURE et MANAGE, sans niveaux de maturité par paliers.
• ISO/IEC 42001 certifie la conformité aux exigences du système de gestion selon une approche réussite ou échec.
• La loi européenne sur l'IA classe les systèmes par niveau de risque et impose des obligations concrètes. Article 26(6) exige que les déployeurs de systèmes à haut risque conservent sous leur contrôle les journaux générés automatiquement pendant au moins six mois, et le communiqué de presse du Conseil de l'Union européenne de juin 2026 a confirmé l'adoption du Digital Omnibus, qui a reporté les obligations à haut risque de l'annexe III au 2 décembre 2027.

Ensemble, ces cadres définissent les exigences de gouvernance, tandis que le modèle de maturité ci-dessous traduit ces attentes en un score opérationnel, avec GOVERN et MAP correspondant aux niveaux initiaux et MEASURE et MANAGE aux niveaux ultérieurs.

Considérez-le comme un modèle pragmatique, adapté au marché intermédiaire, défendable face à ces cadres, et utilisez-le avec une cartographie de conformité.

Les 5 niveaux de maturité de la gouvernance de l'IA

Chaque organisation se situe quelque part sur cette échelle, même si le niveau n’est pas nommé. Utilisez ces niveaux pour reconnaître à quoi ressemble chaque étape, au quotidien comme dans un document de politique.

Niveau 1 : Ad Hoc (shadow AI partout)

Le Niveau 1 ressemble à l’adoption du cloud il y a une décennie : non gouverné, invisible pour la sécurité, et remarqué seulement après une panne. Il n’existe aucune gouvernance formelle de l’IA. La Shadow AI prolifère car les employés adoptent les outils plus vite que l’IT ne peut les évaluer, et les problèmes ne surgissent qu’à travers des incidents ou des constats d’audit. Les signaux sont constants : pas d’inventaire IA, des politiques qui ne mentionnent jamais l’IA, aucun propriétaire nommé, pas de journalisation spécifique à l’IA.

Les organisations à ce niveau présentent des expositions de données et des angles morts réglementaires qu’elles ne peuvent même pas énumérer, et les chiffres le confirment. Le Netwrix 2026 Data and Identity Security Report a révélé que seulement 20 % des organisations surveillent pleinement l’utilisation de shadow AI par les employés, ce qui laisse la plupart travailler depuis ce type précis d’angle mort.

Niveau 2 : Défini (les politiques existent, la pratique est en retard)

Au Niveau 2, quelqu’un a rédigé la politique, mais savoir si quelqu’un la suit est une autre question. L’organisation a documenté les politiques et responsabilités liées à l’IA et a commencé un inventaire de base, mais les équipes les appliquent de manière inégale. L’application de la politique d’utilisation acceptable dépend de contrôles manuels, les inventaires restent incomplets et les équipes contournent les processus d’approbation lents.

Cet écart entre le papier et la pratique définit ce niveau ; l'organisation manque de preuves de contrôle pour les auditeurs ou le conseil car les preuves à l'appui sont absentes. L'étude Responsible AI Global Executive 2022 du MIT Sloan Management Review et Boston Consulting Group a trouvé la même division : 84 % des dirigeants déclarent que responsible AI devrait être une priorité de la direction, mais seulement 25 % rapportent un programme entièrement mature, ce qui correspond au Niveau 2 dans une seule statistique.

Niveau 3 : Opérationnalisé (contrôles intégrés dans le processus)

Au niveau 3, la gouvernance devient une étape obligatoire du déploiement plutôt qu’un document contourné par les équipes. La gouvernance s’intègre aux flux de travail des données, de l’identité et de la gestion des changements, et l’organisation applique une classification des risques à chaque cas d’usage de l’IA. La revue de l’IA fait partie de la prise en charge du projet ; les contrôles d’accès et Data Loss Prevention (DLP) couvrent les données accessibles par l’IA ; et chaque déploiement passe un point de contrôle de gouvernance.

Cela apparaît lors des incidents, lorsque l'équipe de sécurité peut démontrer quels contrôles étaient en place, qui a approuvé le système et à quelles données il pouvait accéder.

Niveau 4 : Mesuré (la gouvernance peut prouver le contrôle)

À ce niveau, la réponse à « où en sommes-nous de notre maturité ? » est chiffrée. L'organisation suit la performance de la gouvernance avec des indicateurs et des tableaux de bord, incluant la complétude de l'inventaire, le pourcentage de cas d'utilisation avec une évaluation des risques terminée avant le lancement, les violations de politique et les temps de détection et de réponse aux incidents. Le SANS AI Self-Assessment Maturity Model liste le suivi du temps moyen de détection (MTTD) et du temps moyen de réponse (MTTR) aux incidents IA comme exigence du Niveau 4.

Les preuves d'audit et du conseil sont disponibles à la demande, avec des rapports préparés avant chaque revue, rendant la gouvernance mesurable pour les dirigeants plutôt qu'anecdotique. La partie difficile est d'y parvenir, et l'enquête PwC's 2025 Responsible AI survey a constaté que la mise en œuvre de l'IA responsable, transformant les principes en processus répétables et mesurés, est le principal obstacle cité par la moitié des répondants.

Niveau 5 : Adaptatif (la gouvernance évolue avec l’utilisation de l’IA)

Dans les données WEF et Accenture, moins de 1 % des entreprises interrogées avaient pleinement opérationnalisé une IA responsable avec une approche systémique et anticipative, ce qui explique pourquoi peu d’organisations atteignent ce niveau. Au Niveau 5, les boucles de rétroaction favorisent une adaptation continue, et les politiques et contrôles réagissent aux nouvelles capacités d’IA ou aux nouveaux incidents en quelques jours plutôt qu’en trimestres.

Les signaux incluent l’application automatisée dans les pipelines d’IA, l’évaluation dynamique des risques et les tests proactifs de scénarios, avec des équipes de gouvernance et d’ingénierie travaillant en étroite collaboration. Une gouvernance à ce niveau permet une adoption sécurisée de l’IA au lieu de la suivre comme une barrière retardée.

Ce que mesurent les cinq dimensions

Une seule affirmation « nous sommes Niveau 3 » cache généralement un maillon faible. De nombreuses organisations sont fortes en politique mais faibles dans les contrôles des données et de l’identity, ou inversement, il faut donc évaluer ces cinq dimensions indépendamment avant de faire confiance au chiffre global.

1. Inventaire et périmètre : Le niveau 1 ne dispose pas de liste des systèmes d’IA utilisés. Le niveau 5 possède un catalogue dynamique et complet couvrant les outils sanctionnés, les fonctionnalités IA intégrées SaaS et les usages non approuvés, chacun lié à une évaluation des risques. NIST AI RMF mentionne explicitement cette exigence dans GOVERN 1.6.
2. Politique et propriété : Le niveau 1 n'a pas de politique spécifique à l'IA. Le niveau 5 a une politique appliquée avec un propriétaire nommé et responsable, une personne plutôt qu'un comité. C'est dans cette dimension que la plupart des programmes stagnent : L'enquête sur la gouvernance de l'IA 2025 d'EY a révélé que seulement 18 % des organisations ont des responsabilités clairement définies en matière de gouvernance des données pour l'IA.
3. Contrôles des données et de l’identité : Le niveau 1 n’a aucune visibilité sur les données accessibles par les outils d’IA. Le niveau 5 a documenté, least-privilege access cartographié par système IA et par identité. Cette dimension pèse plus que ce que la plupart des équipes attendent, car des outils comme Microsoft 365 Copilot héritent des permissions existantes plutôt que de créer de nouveaux chemins d’accès, ce qui fait que le partage excessif antérieur constitue la surface d’exposition IA.
4. Surveillance, journalisation et preuves : Le Niveau 1 ne possède pas de journaux spécifiques à l'IA. Le Niveau 5 dispose de journaux, d'approbations et d'enregistrements d'incidents récupérables à la demande, conformément aux logging obligations du EU AI Act logging obligations.
5. Réponse et amélioration : Le Niveau 1 ne peut pas révoquer rapidement l'accès d'un système d'IA. Le Niveau 5 peut isoler ou révoquer l'accès et mettre à jour les contrôles en quasi temps réel.

Pourquoi les agents IA rendent chaque dimension plus difficile à maintenir

L'IA agentique élève la barre sur les cinq dimensions à la fois, et la plupart des programmes n'ont pas encore rattrapé leur retard. Une enquête de janvier 2026 Cloud Security Alliance et Aembit auprès de 228 professionnels IT et sécurité a révélé que 68 % des organisations ne peuvent pas clairement distinguer les actions des agents IA de l'activité humaine, alors que 85 % utilisent déjà des agents en production. C'est le piège : une équipe qui atteint le niveau 3 ou 4 pour l'utilisation standard de l'IA peut se retrouver au niveau 1 lorsque les agents, pas seulement les interfaces de chat, commencent à agir sur ces mêmes données.

Comment évaluer le niveau de maturité de la gouvernance de l'IA dans votre organisation

Une évaluation utile traduit les dimensions ci-dessus en un score défendable pour l'organisation. Les équipes peuvent effectuer le travail sans consultant.

1. Cataloguer chaque système d’IA qui touche vos données

Listez chaque outil d’IA autorisé, chaque fonctionnalité d’IA intégrée dans les plateformes SaaS existantes (Copilot, extensions de customer relationship management (CRM) et similaires), ainsi que toute utilisation non approuvée de l’IA. Enregistrez ce à quoi chacun se connecte, y compris les partages de fichiers, les emails, les enregistrements CRM et les dépôts de code.

La portée compte plus que l’existence, et l’écart entre ce que la sécurité suppose utilisé et ce que le catalogue trouve est souvent la première surprise. Les seuls dossiers d’achat ne détecteront pas les fonctionnalités IA ajoutées par les fournisseurs après l’achat.

2. Répondez à cinq questions de diagnostic

Répondez honnêtement, car l’écart entre les réponses honnêtes et aspirantes est l’objectif de cet exercice.

• L'organisation peut-elle lister tous les systèmes d'IA utilisés, y compris les fonctionnalités IA SaaS ?
• Sait-il exactement quelles données sensibles Copilot ou tout assistant IA déployé peut atteindre ?
• Y a-t-il un propriétaire nommé et accountable pour la gouvernance de l'IA ?
• Peut-il produire un journal d'accès ou d'incident IA en 24 heures si un régulateur ou le conseil le demande ?
• Peut-il révoquer l'accès aux données d'un système d'IA sans un cycle de gestion des changements de plusieurs semaines ?

Un seul « non » identifie la dimension faible. Trois réponses « non » ou plus placent l'organisation au Niveau 1 ou 2, quel que soit le contenu du document de politique.

3. Évaluez chacune des cinq dimensions de 1 à 5

Évaluez chaque dimension sur sa propre échelle de 1 à 5 plutôt que d’utiliser un seul chiffre pour l’ensemble du programme. Un 1 signifie que la question diagnostique ci-dessus a reçu un non catégorique. Un 3 signifie que la capacité existe mais repose sur une vérification manuelle ou la mémoire d’une personne plutôt que sur un système d’enregistrement. Un 5 signifie que la preuve est automatique, actuelle et récupérable sans que personne n’ait à créer un rapport pour la prouver. Notez en fonction de ce que la preuve soutient, pas de ce que promet le langage de la politique.

4. Cartographiez les scores dans une carte thermique, pas une moyenne

Construisez le résultat sous forme de grille simple : cinq lignes pour les dimensions, une colonne pour le score actuel et une pour un objectif à 12 mois, avec les deux scores les plus bas signalés, quelle que soit la valeur des trois autres. Cette grille, et non un paragraphe de réserves, est ce qui doit être présenté au conseil. Faire la moyenne des cinq chiffres en un seul score masque précisément le problème que cet exercice cherche à mettre en lumière, car un programme de politique de Niveau 4 reposant sur une visibilité des données de Niveau 1 est en réalité un programme de Niveau 1.

5. Définissez un niveau cible et un délai

Choisissez un niveau cible réaliste pour les 12 à 24 prochains mois, car un score sans objectif devient une diapositive que personne ne revoit. Pour la plupart des organisations en phase initiale, cela signifie atteindre Defined ou Operationalized plutôt que de déclarer Adaptive par défaut. Pesez l’exposition réglementaire et les incidents récents plus que la commodité lors du choix de la dimension à corriger en premier. Une équipe avec une visibilité des données de Niveau 1 avant un audit imminent ne devrait pas passer le premier trimestre à peaufiner le document de politique.

Comment combler l'écart vers le niveau de maturité suivant

La suite dépend du score obtenu par l'organisation. Chaque transition suppose que l'évaluation ci-dessus a identifié le niveau actuel et la dimension la plus faible.

Passer du Niveau 1 (Ad Hoc) au Niveau 2 (Défini)

Au Niveau 1, rendez l'IA visible avant de tenter de la contrôler. Considérez cela comme un sprint de 30 jours avec un livrable : un registre du système IA en première ébauche que l'organisation peut défendre lors d'une réunion.

Commencez par réaliser un inventaire d’IA sur les dossiers d’approvisionnement, les consoles administratives OAuth et SaaS, et une enquête directe auprès des unités commerciales, en nommant un responsable unique, une personne, pas un comité. Une fois cette base établie, publiez une courte politique d’utilisation de l’IA qui interdit l’utilisation à haut risque de shadow AI sur les données réglementées et exige une approbation pour les nouveaux outils, et utilisez les capacités existantes de découverte des données pour commencer à cartographier où l’IA pourrait toucher des données sensibles.

Passer du Niveau 2 (Défini) au Niveau 3 (Opérationnalisé)

Au Niveau 2, déplacez la gouvernance hors du document de politique et dans les flux de travail que les gens utilisent déjà. Lancez un pilote de 90 jours sur deux ou trois systèmes d’IA avant de le déployer plus largement.

• Intégrez la revue IA dans la prise en charge des projets et la gestion des changements afin qu’un déploiement ne puisse pas être mis en production sans y passer.
• Étendez les contrôles de moindre privilège et DLP aux systèmes accessibles par l'IA, et lancez la certification d'accès pour ces systèmes spécifiquement.
• Traitez les incidents d’IA comme tout autre événement de sécurité, avec la même cadence d’exercices et le même chemin d’escalade.

Le pilote réussit lorsque ses workflows d’approbation, d’accès et d’incidents génèrent des preuves sans que personne n’ait à les demander ; ce modèle s’étend ensuite au reste du registre.

Passer du Niveau 3 (Opérationnalisé) au Niveau 4 (Mesuré)

Au Niveau 3, remplacez « l'organisation croit avoir le contrôle » par des chiffres qui le prouvent, sur un trimestre complet de rapport.

• Définissez les indicateurs avant le début du trimestre, couvrant la complétude de l’inventaire, le respect des politiques et les temps de détection et de réponse aux incidents, afin d’avoir une base de référence.
• Corrigez les flux de travail de journalisation et de preuve pour qu’un audit soit répondu par une requête, pas par un chaos de feuilles de calcul.
• Produisez le premier rapport trimestriel de gouvernance avant que quiconque ne le demande, couvrant toutes les métriques ci-dessus.

Atteindre ce premier rapport trimestriel est ce qui distingue un programme qui est Mesuré d’un qui ne fait que sembler mesuré.

Passer du Niveau 4 (Mesuré) au Niveau 5 (Adaptatif)

Au Niveau 4, automatisez les parties de la gouvernance qui restent manuelles et réactives de manière continue, car le Niveau 5 est une capacité permanente plutôt qu’un projet avec une date de fin.

• Automatisez l'application lorsque c'est possible, y compris les contrôles pilotés par des politiques dans les pipelines IA et les décisions d'accès dynamiques.
• Examinez les données d’incidents et de tendances au moins trimestriellement et utilisez-les pour mettre à jour la gouvernance de manière proactive plutôt qu’après coup.
• Intégrez les unités commerciales dans un rythme régulier de revue de gouvernance et gérez l'IA comme un actif stratégique avec son propre responsable, budget et indicateurs.

La maturité adaptative dépend des signaux de gouvernance qui modifient les décisions opérationnelles en temps réel, et non des tableaux de bord qui ne font que documenter l’historique après coup.

Comment Netwrix soutient la maturité de la gouvernance de l'IA

La plupart des évaluations de maturité échouent sur les contrôles des données et de l'identité, ainsi que sur la surveillance, la journalisation et les preuves. Netwrix fournit la posture de sécurité des données et le contexte d'identité qui rendent les affirmations de maturité vérifiables au-delà du Niveau 2, l'expression pratique de "Data Security That Starts With Identity™." Les plateformes spécialisées en AI governance couvrent la gouvernance du cycle de vie des modèles ; Netwrix couvre les preuves sous-jacentes.

Combler le fossé de visibilité des données et des identités

La Netwrix 1Secure™ Platform utilise Data Security Posture Management (DSPM) pour découvrir et classifier les données sensibles sur SharePoint Online et les serveurs de fichiers Windows, cartographiant ce que Copilot ou tout outil d’IA peut atteindre avant sa mise en production. Cela comble une lacune spécifique identifiée par le Netwrix 2026 Data and Identity Security Report : 79 % des organisations manquent de visibilité complète sur les données sensibles utilisées dans les outils IA, modèles ou copilotes. Netwrix Access Analyzer étend cette même visibilité aux serveurs de fichiers sur site, et son Effective Access Report montre les accès qu’un utilisateur possède plutôt que les simples entrées de permissions.

Transformer la dérive des permissions en un enregistrement vérifiable

Chaque outil d'IA fonctionne sous une identité, et Netwrix Auditor suit comment les permissions de ces identités évoluent dans le temps à travers Active Directory et Microsoft Entra ID, y compris les changements de rôle, l'activité de connexion et les escalades de privilèges. Flagler Bank a atteint cette visibilité en 30 minutes et a réduit le temps d'enquête de plusieurs heures à 10 minutes, le type de preuve opérationnelle qui fait passer cette dimension de notée à prouvée.

Produire des preuves à la demande plutôt que de les reconstituer

Un programme mesuré répond aux questions du conseil d'administration et des régulateurs avec des journaux, pas avec la mémoire. L'historique des modifications de Netwrix Auditor et les rapports d'activité, de conformité et de risque prédéfinis de 1Secure fournissent à l'équipe de sécurité des enregistrements à la demande. Le Mise à jour 1Secure de mars 2026 a ajouté des évaluations de préparation Copilot et des pistes d'audit d'interaction IA en plus de cette base.

Le point essentiel sur la maturité de la gouvernance de l’IA

L'écart entre le niveau qu'une organisation pense avoir et celui qu'elle peut prouver est, dans presque tous les cas, d'abord un écart de visibilité des données. Évaluez honnêtement les cinq dimensions, corrigez la plus faible avant de courir après la prochaine étiquette, et revoyez l'évaluation au moins une fois par an, ou plus tôt après un déploiement majeur d'IA ou un incident. Un modèle de maturité qui ne sort que lors d'un audit est un artefact de conformité. Celui qui fixe les priorités du trimestre suivant est un outil de gouvernance et une aide à la planification de la résilience cyber.

Demandez une démo pour voir comment Netwrix peut vous aider à transformer les dimensions données et identité de ce modèle d’un score auto-déclaré en un chiffre étayé par des preuves.