En bref : Soixante pour cent des entreprises du S&P 500 considèrent l'IA comme un risque significatif, mais moins de quinze pour cent d'entre elles ont fait état d'un contrôle exercé au niveau du conseil d'administration ; cet écart est de nature structurelle et non informationnelle, et les organisations qui mettront en place une architecture de gouvernance avant l'entrée en vigueur de la réglementation bénéficieront d'un avantage durable qui se répercutera sur leur coût du capital.
Le déficit de gouvernance en matière d'IA est un problème lié au mandat structurel
La manière courante d'aborder les risques liés à l'IA au sein des conseils d'administration ne ciblent pas le véritable obstacle. Le frein réside dans l'autorité institutionnelle. A Recommandation de décembre 2025 du Comité consultatif des investisseurs de la Commission américaine des opérations boursières (SEC) a confirmé que 60 % des entreprises du S&P 500 considèrent déjà l'IA comme un risque significatif, mais que la plupart d'entre elles n'ont mis en place aucune structure de gouvernance permettant de donner suite à cette classification en tant qu'organe de contrôle principal.
Enquête mondiale 2025 de Deloitte sur l'IA au sein des conseils d'administration, réalisée auprès de 695 personnes interrogées issues de 56 pays, a révélé que 31 % des conseils d’administration n’ont toujours pas inscrit l’IA à leur ordre du jour, tandis que 66 % déclarent n’avoir qu’une connaissance ou une expérience limitée, voire nulle, du déploiement de l’IA. Seuls 14 % des conseils d’administration discutent régulièrement de l’IA, et 45 % n’ont jamais abordé le sujet en tant que point permanent de l’ordre du jour, selon une enquête de Deloitte citée dans un Étude de la California Management Review (CMR) de mai 2025 sur le niveau de maturité de la gouvernance de l'IA au sein des conseils d'administration. Ces chiffres mettent en évidence une lacune structurelle : l'absence des mécanismes institutionnels nécessaires pour rendre opérationnelle la supervision de l'IA au niveau des conseils d'administration.
Cette distinction est importante car les solutions diffèrent radicalement. Combler un déficit d’information nécessite des sessions de formation destinées aux administrateurs. Combler un déficit de mandat exige une réforme structurelle : des lignes de responsabilité clairement définies, des mécanismes de surveillance permanents, un vocabulaire propre au conseil d’administration pour évaluer les risques liés à l’IA, ainsi que des cadres de mesure permettant de traduire l’exposition opérationnelle à l’IA en termes fiduciaires. Haider Alleg, dont les activités de conseil portent sur ce déficit de structure de gouvernance au sein des secteurs réglementés, décrit précisément ce mode d’échec : la délégation de la gouvernance de l’IA à la direction, les conseils d’administration se contentant de recevoir des résumés trimestriels, reproduit l’échec des comités d’audit du début des années 2000. Dans le cadre de missions de conseil menées dans divers secteurs réglementés, un schéma récurrent permet de distinguer les conseils d’administration dotés d’une gouvernance de l’IA mature : plutôt que de se contenter de confirmer ce que leurs systèmes d’IA sont autorisés à faire, ces conseils d’administration se demandent ce qui se passe lorsque ces systèmes prennent des mesures dépassant le champ d’application initialement approuvé par le conseil, et qui en assume la responsabilité lorsque cette question se pose de manière urgente. Le conseil d’administration doit être l’instance finale de responsabilité, et non le simple destinataire des assurances données par la direction.
Les documents déposés auprès du conseil d'administration révèlent une tendance à « reconnaître et déléguer »
Les données issues des documents publics sont révélatrices. La même recommandation du Comité consultatif des investisseurs de la SEC, qui a mis en évidence que 60 % des entreprises reconnaissaient l’existence d’un risque significatif, a également révélé que seules 15 % des sociétés du S&P 500 divulguent des informations sur la supervision de l’IA par leur conseil d’administration, et que seules 40 % fournissent des informations liées à l’IA. L'écart entre la reconnaissance du risque et la mise en place d'un dispositif de contrôle s'élève à quarante-cinq points de pourcentage.
Les documents de procuration déposés par les plus grandes entreprises illustrent clairement cette tendance. Le conseil d'administration d'Alphabet précise qu’elle est “ responsable en dernier ressort de la surveillance des risques, y compris les risques stratégiques, opérationnels et liés aux droits de l’homme associés à l’IA ”, et en octobre 2025 a créé un nouveau comité des risques et de la conformité en partie sous la pression des organismes de contrôle de l'IA. Pourtant, dans son proxy pour l'exercice 2025 (FY2025) L'année précédente, ce même conseil d'administration avait recommandé aux actionnaires de voter contre la mise en place de comités officiels chargés de la gouvernance de l'IA, affirmant que l'implication de l'ensemble du conseil était suffisante. Cette position constitue la contradiction structurelle au cœur du déficit de gouvernance : revendiquer la responsabilité des risques liés à l'IA tout en s'opposant aux mécanismes de responsabilité, aux structures de comités et à la composition d'experts qui permettraient de donner tout son sens à cette responsabilité.
Proxy de Microsoft pour l'exercice 2025 décrit l'IA responsable comme une priorité distincte pour les actionnaires, au même titre que la cybersécurité et les critères ESG (environnementaux, sociaux et de gouvernance), mais ne dispose pas pour autant d'un comité de gouvernance dédié à l'IA, la supervision étant répartie entre l'ensemble des membres du conseil d'administration. Le conseil d'administration de JPMorgan Chase, qui gère un budget technologique avoisinant les $18 milliards pour 2025 et a consacré environ $1,3 milliard aux capacités d’IA en 2024, traite les questions liées à l’IA par l’intermédiaire de son comité des risques, une structure conçue pour un examen rétrospectif plutôt que pour la surveillance continue, couvrant l’ensemble du cycle de vie, qu’exige la réglementation émergente. Dans le cadre d’une évolution notable survenue en 2026, JPMorgan a remplacé les cabinets de conseil en vote externes par une plateforme développée en interne et basée sur l'intelligence artificielle, Proxy IQ, en ce qui concerne les votes des entreprises américaines, ce qui montre que le conseil d'administration lui-même intègre l'IA dans ses propres processus, alors même que le cadre de gouvernance de cette intégration est encore en cours d'élaboration.
Les mesures de contrôle réglementaire entreront en vigueur dans quelques semaines
Le débat sur la gouvernance passe du stade de simple aspiration à celui d'obligation légale plus rapidement que ne l'avaient prévu la plupart des conseils d'administration. Le Loi de l'Union européenne sur l'intelligence artificielle (loi UE sur l'IA) (Le règlement (UE) n° 2024/1689) impose des obligations contraignantes aux fournisseurs et aux exploitants de systèmes d'IA à haut risque : les articles 9, 17 et 26 entreront en vigueur le 2 août 2026, soit dans quelques semaines à compter de la date de la présente analyse.
L'article 9 impose la mise en place de systèmes de gestion des risques continus tout au long du cycle de vie complet de l'IA. L'article 17 rend obligatoires les systèmes de gestion de la qualité assortis d'un cadre formel de responsabilité. L'article 26 exige des exploitants qu'ils confient la supervision humaine à des personnes compétentes et habilitées, et qu'ils conservent les journaux d'activité automatisés pendant au moins six mois. Les sanctions peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial en cas de pratiques interdites en matière d’IA ; les autres infractions sont passibles d’une amende de 15 millions d’euros ou de 3 %. La dérogation applicable aux services financiers permet aux banques et aux assureurs soumis à la législation européenne en matière de services financiers de se conformer aux obligations de l’article 17 par le biais de leurs cadres de gouvernance interne existants, une disposition qui lie directement la responsabilité en matière d’IA aux structures de gouvernance existantes au sein des conseils d’administration.
Il est essentiel de noter que la loi attribue la responsabilité à “ l’organisation ” sans prescrire d’architecture interne. Cette omission laisse à chaque organisation le soin de déterminer, dans le cadre de son propre dispositif de gouvernance, qui en assume la responsabilité. Dans toute entreprise bien gérée, cette responsabilité incombe au conseil d’administration.
Le Principes de l'Organisation de coopération et de développement économiques (OCDE) relatifs à l'intelligence artificielle, mise à jour en mai 2024 et adoptée par quarante-sept pays, renforce cette logique : les acteurs de l’IA doivent être tenus responsables du bon fonctionnement des systèmes d’IA en fonction de leurs rôles respectifs. La mise à jour de 2024 préconise la mise en place de structures de gouvernance claires en matière d’IA, de comités chargés de surveiller les opérations liées à l’IA, de pistes d’audit et de mesures visant à garantir la conformité. Le Guide du Forum économique mondial (WEF) sur l'intelligence artificielle dans le secteur des services financiers (juin 2026), élaboré sur une période de dix-huit mois avec la participation de plus de 150 cadres supérieurs issus de plus de 100 organisations, désigne “ la définition d’une vision et d’une stratégie assorties d’une responsabilité au niveau du conseil d’administration ” comme la première des quatre actions nécessaires à une IA transformatrice. Comme l’a fait remarquer David Parker, d’Accenture, dans ce rapport : “ Les institutions qui s’imposeront ne seront pas celles qui disposeront des modèles les plus avancés, mais celles auxquelles les clients font le plus confiance pour agir dans leur intérêt. La confiance n’est plus un sous-produit d’un service de qualité ; c’est le produit lui-même. ”
L'expertise en matière d'IA au sein des conseils d'administration est concentrée dans les entreprises qui en ont le moins besoin
Le problème lié à l'architecture de gouvernance est aggravé par une répartition structurelle des compétences qui concentre les expertises en IA précisément là où elles sont le moins nécessaires. Une enquête réalisée en février 2025 auprès des cinquante premières entreprises américaines en termes de capitalisation boursière, citée dans le Étude sur la maturité de la gouvernance CMR, a révélé que seules six entreprises comptent parmi leurs administrateurs des personnes ayant une formation en IA. Ces six entreprises sont toutes des entreprises technologiques. Pour les secteurs non technologiques soumis à une réglementation, la conséquence est claire : les conseils d’administration des secteurs des services financiers, de la santé, de l’énergie et de l’industrie manufacturière doivent prendre la décision la plus importante de la décennie en matière de gouvernance technologique sans disposer, au sein de leur conseil, d’aucune expertise en IA.
Une analyse complémentaire citée dans le Forum de la faculté de droit de Harvard sur la gouvernance d'entreprise (février 2026) a révélé que seules 12 % des entreprises du classement Fortune 100 avaient fait état de formations ou d’initiations à l’IA dispensées à leur conseil d’administration entre janvier et novembre 2025. Selon une enquête de la Harvard Law School citée dans cette même étude du CMR, seules 13 % des entreprises du S&P 500 comptent parmi leurs administrateurs des personnes possédant une expertise en IA. Un Analyse de la revue « MIT Sloan Management Review » a révélé que seules 41 % des organisations identifient de manière exhaustive les risques liés au déploiement de l'IA et leur attribuent un ordre de priorité. L' même analyse réalisée par EY (Ernst & Young) et le Forum de la faculté de droit de Harvard Une étude a révélé que, en novembre 2025, 22 % des entreprises du classement Fortune 100 avaient signalé, dans leurs rapports 10-K, que les « hallucinations », les « inexactitudes » ou les « biais » liés à l’IA constituaient des risques significatifs ; or, pour les 78 % restants, les mécanismes mis en place par les conseils d’administration pour donner suite à ces signalements restent largement sous-développés.
Le Forum de la faculté de droit de Harvard définit clairement le cadre : des connaissances de base en IA pour tous les administrateurs, au moins un poste occupé par une personne disposant d'une expertise de fond, une structure de surveillance dédiée et des lignes hiérarchiques claires par rapport à la direction. L'approche consiste à suivre de près les activités sans pour autant s'immiscer dans les opérations.
La gouvernance de l'IA Premium : le prochain arbitrage de capitaux
Les arguments des marchés financiers en faveur de la réduction du déficit de mandat précèdent toute obligation réglementaire. Le cycle de gouvernance ESG de 2015 à 2022 offre le parallèle structurel le plus évident. Les organisations qui ont intégré la gouvernance ESG avant l’entrée en vigueur des obligations réglementaires ont pu accéder à des capitaux moins coûteux, attirer des investisseurs institutionnels à long terme et asseoir une crédibilité en matière de publication d’informations qui leur a permis de se démarquer dans le cadre des fusions-acquisitions (M&A) et des marchés publics. Celles qui ont réagi de manière réactive ont dû faire face à une pénalité persistante en matière de gouvernance.
La gouvernance de l'IA suit la même trajectoire. Les propositions d'actionnaires liées à l'IA ont quadruplé en 2024, avec une augmentation de 84 % par rapport à l’année précédente concernant la publication d’informations relatives à la supervision de l’IA par les conseils d’administration. La recommandation formulée en décembre 2025 par le Comité consultatif des investisseurs de la SEC, visant à exiger la publication d’informations sur la gouvernance de l’IA, s’inscrit dans la lignée du précédent structurel établi par la règle de la SEC de juillet 2023 relative à la publication d’informations sur la cybersécurité, qui imposait, de manière tout à fait identique, la publication d’informations sur la supervision par les conseils d’administration des risques cybernétiques significatifs.
La “ prime de gouvernance de l’IA ” constitue le prochain arbitrage en matière de gouvernance. Les organisations qui intègrent une gouvernance de l’IA au niveau du conseil d’administration avant l’entrée en vigueur de la réglementation, avec des structures formelles de responsabilité, des comités de surveillance permanents, des administrateurs maîtrisant l’IA et des cadres de mesure reliant les risques liés à l’IA à l’exposition financière, dégageront un signal de qualité de gouvernance que les investisseurs institutionnels prendront en compte dans leurs valorisations. Selon une étude, 71 % des dirigeants d’organisations investissant plus de $10 millions dans l’IA font déjà état de gains de productivité significatifs liés à l’IA, selon Analyse réalisée par EY et le Forum de la faculté de droit de Harvard. Les conseils d'administration dotés d'une architecture de gouvernance permettant de pérenniser et de développer ces acquis, tout en gérant les obligations d'information correspondantes, renforcent encore cet avantage. Ceux qui considèrent la supervision de l'IA comme une simple délégation de gestion seront perçus comme des retardataires en matière de gouvernance sur un marché qui pénalise déjà les entreprises à la traîne sur les critères ESG.
De la délégation à la compétence : l'architecture qui comble le fossé
La gouvernance de l'IA embarquée est une question d'architecture qui nécessite une réforme structurelle. La Matrice de maturité de la gouvernance de l'IA de CMR définit une progression en quatre niveaux, détaillée dans le tableau ci-dessous. Environ 31 % des conseils d’administration restent au niveau « ad hoc », l’IA étant totalement absente de l’ordre du jour. 45 % supplémentaires ne s’engagent que lorsque des incidents les y obligent, selon le les mêmes données issues de l'enquête Deloitte 2025. Le niveau structuré, qui correspond aux 15 % des entreprises du S&P 500 qui communiquent actuellement sur la supervision de l'IA par leur conseil d'administration, représente la « frontière active ». Une gouvernance véritablement intégrée concernerait, selon les estimations, entre 3 et 5 % des grandes entreprises, toutes issues du secteur technologique.
Pour combler ce déficit de mandat, trois interventions structurelles sont nécessaires. Premièrement, la gouvernance de l’IA doit devenir une compétence explicitement définie du conseil d’administration : un critère de sélection des administrateurs et d’auto-évaluation du conseil, auquel on accorde la même importance qu’aux compétences financières ou à l’expertise en matière de risques. Deuxièmement, un mécanisme de surveillance de l’IA doit être mis en place au niveau des comités, avec des lignes hiérarchiques clairement définies entre la direction et une fonction indépendante chargée des risques liés à l’IA. Troisièmement, le cadre de mesure traduit les performances des systèmes d’IA, les données relatives aux incidents et l’exposition réglementaire en indicateurs financiers et de responsabilité compréhensibles par le conseil d’administration. La gouvernance de l’IA exprimée uniquement en langage technique s’arrête au directeur technique (CTO) ; elle parvient jusqu’au conseil d’administration lorsqu’elle est recadrée en termes d’exposition à la responsabilité, d’évolution du coût du capital et de conséquences sur la compétitivité.
Cette exigence architecturale s'applique avec une acuité particulière aux systèmes d'IA autonomes : les modèles agents qui exécutent des transactions, initient des communications ou prennent des décisions lourdes de conséquences au nom d'une organisation, sans contrôle humain au cas par cas, réduisent la marge de manœuvre en matière de gouvernance à presque zéro. Un conseil d’administration qui délègue la supervision de ces systèmes à la direction, en l’absence d’un cadre de responsabilité structuré, détient le titre de « dernière ligne de défense » sans disposer du mandat nécessaire pour l’exercer.
Le Cadre de l'OCDE sur la responsabilité en matière d'IA et celui du Forum économique mondial (WEF) Recommandations en matière de gouvernance à l'ère de l'IA générative aboutissent toutes à la même conclusion structurelle : à mesure que les systèmes d’IA autonomes assument des rôles déterminants, la délégation de pouvoirs du conseil d’administration à la direction devient un modèle de gouvernance insuffisant. Le conseil d’administration doit être un mandant compétent, capable de définir la norme en matière de responsabilité plutôt que de se contenter d’entériner le résumé de la direction. Dans un monde où un déploiement d’IA mal calibré peut détruire la confiance des clients à grande échelle ou entraîner une infraction réglementaire passible d’une amende équivalente à 7 % du chiffre d’affaires, le conseil d’administration qui se contente de statuer sur la base d’un simple résumé n’est plus qu’une dernière ligne de défense de nom seulement.
Références
- Comité consultatif des investisseurs de la SEC : adoption d'une recommandation relative à la publication d'informations sur l'intelligence artificielle (4 décembre 2025) — https://www.sec.gov/files/approved-artificial-intelligence-disclosure-recommendation-120425.pdf
- D&O Diary : Le comité IAC de la SEC recommande des lignes directrices en matière de communication d'informations liées à l'IA — https://www.dandodiary.com/2025/12/articles/securities-laws/sec-investor-advisory-committee-recommends-ai-related-disclosure-guidelines/
- Deloitte : Progrès de l'IA au sein des conseils d'administration, 2e édition (2025) — https://www.deloitte.com/global/en/issues/trust/progress-on-ai-in-the-boardroom-but-room-to-accelerate.html
- Mohanty, Mishra & Stephen, “ Matrice de maturité en matière de gouvernance de l'IA : une feuille de route pour des conseils d'administration plus avisés ”, California Management Review (mai 2025) — https://cmr.berkeley.edu/2025/05/ai-governance-maturity-matrix-a-roadmap-for-smarter-boards/
- Document de procuration d'Alphabet pour l'exercice 2026 (DEF 14A) — https://www.sec.gov/Archives/edgar/data/0001652044/000130817926000342/goog-20260424.htm
- Document de procuration d'Alphabet pour l'exercice 2025 (DEF 14A) — https://www.sec.gov/Archives/edgar/data/1652044/000130817925000511/goog012701-def14a.htm
- Mise à jour 2026 sur la responsabilité en matière d'IA chez Google — https://ai.google/static/documents/ai-responsibility-update-2026.pdf
- Document de procuration de Microsoft pour l'exercice 2025 (DEF 14A) — https://www.sec.gov/Archives/edgar/data/789019/000119312525245150/d908201ddef14a.htm
- Document de procuration de JPMorgan Chase pour l'exercice 2025 (DEF 14A) — https://www.sec.gov/Archives/edgar/data/19617/000001961725000321/jpm-20250405.htm
- Governance Intelligence : JPMorgan Chase remplace ses conseillers en vote par un outil d'IA interne (Proxy IQ) — https://www.governance-intelligence.com/shareholders-activism/week-grc-jpmorgan-chase-dumps-proxy-advisors-internal-ai-tool-elliott-builds
- Loi européenne sur l'IA, règlement (UE) 2024/1689, Journal officiel — https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
- Principes de l'OCDE relatifs à l'IA (mis à jour en mai 2024) — https://oecd.ai/en/ai-principles
- Instrument juridique de l'OCDE OECD-LEGAL-0449 — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0449
- WEF : Le guide de l'IA pour les services financiers (juin 2026) — https://www.weforum.org/publications/the-ai-playbook-for-financial-services/
- WEF : La gouvernance à l'ère de l'IA générative (2024) — https://www.weforum.org/publications/governance-in-the-age-of-generative-ai/
- Série de notes d'information de l'Alliance pour la gouvernance de l'IA du Forum économique mondial (janvier 2024) — https://www.weforum.org/publications/ai-governance-alliance-briefing-paper-series/
- EY/Henderson & Smith : “ Comment les conseils d'administration peuvent jouer un rôle moteur dans un monde transformé par l'IA ”, Forum de la Harvard Law School sur la gouvernance d’entreprise (février 2026) — https://corpgov.law.harvard.edu/2026/02/19/how-boards-can-lead-in-a-world-remade-by-ai/
- Forum de la faculté de droit de Harvard : “ L’IA au cœur de l’actualité en 2025 : les conseils d’administration et les actionnaires se tournent vers l’IA ” (avril 2025) — https://corpgov.law.harvard.edu/2025/04/02/ai-in-focus-in-2025-boards-and-shareholders-set-their-sights-on-ai/
- Forum de la faculté de droit de Harvard : “ Le contrôle de l'IA par les conseils d'administration ” (septembre 2024) — https://corpgov.law.harvard.edu/2024/09/17/board-oversight-of-ai/
- Forum de la faculté de droit de Harvard : “ Le contrôle de l’IA par les conseils d’administration : les conseils d’administration ont-ils besoin d’experts en IA ? ” (avril 2026) — https://corpgov.law.harvard.edu/2026/04/27/board-oversight-of-ai-do-boards-need-ai-experts/
- MIT Sloan Management Review : “ Pourquoi votre conseil d'administration doit mettre en place un plan de supervision de l'IA ” — https://sloanreview.mit.edu/article/why-your-board-needs-a-plan-for-ai-oversight/
