Le logiciel GRC IA au service de votre gouvernance

Les deux expressions circulent, elles ne désignent pas la même chose. La GRC IA consiste à utiliser l'intelligence artificielle pour conduire vos travaux de gouvernance, de risque et de conformité : analyses, livrables, suivi des plans d'action. La gouvernance de l'IA va dans l'autre sens : encadrer les systèmes d'IA que votre organisation développe ou utilise, avec des référentiels comme l'ISO/IEC 42001 et le règlement européen sur l'IA. Une organisation mature finit souvent par mener les deux, mais ce sont deux chantiers distincts, avec des responsables distincts.

Trois questions suffisent le plus souvent. L'IA a-t-elle accès à l'ensemble de votre référentiel (actifs, risques, mesures, preuves) ou seulement au document ouvert ? Produit-elle des objets exploitables dans l'outil, un risque, une mesure, une action, ou seulement du texte à recopier ailleurs ? Peut-on remonter de chaque phrase générée à la source qui l'a produite ? Un assistant conversationnel greffé sur un outil existant échoue en général sur les deux dernières.

Tout ce qui engage l'organisation. L'acceptation d'un risque résiduel, l'arbitrage budgétaire sur un plan de traitement, la validation d'une dérogation ou l'approbation d'une déclaration d'applicabilité restent des actes de direction, et un auditeur demandera qui les a pris. L'IA sert à préparer le terrain : rassembler les éléments, proposer une première analyse, rédiger un projet de livrable. La revue humaine n'est pas une formalité, c'est ce qui rend le résultat défendable.

En remontant la chaîne. Un contenu généré doit indiquer sur quels documents il s'appuie, qui l'a relu et à quelle date il a été validé. Le principe est le même que pour un livrable rédigé à la main : ce qui compte n'est pas l'outil, c'est la traçabilité de la décision. Concrètement, exigez de la plateforme un historique des versions, un valideur identifié et le lien vers les sources utilisées. Sans cela, le temps gagné en amont revient sous forme de questions d'audit.

Un tableur tient tant que le périmètre reste petit. Il casse dès qu'il faut rattacher une même mesure à plusieurs référentiels, retrouver la preuve qui justifie un statut, savoir qui a modifié une cotation la semaine dernière, ou produire un état à date pour un comité. Ces quatre besoins sont exactement ceux d'un audit. Une plateforme les traite nativement, et l'IA n'apporte un gain réel que si elle travaille sur des données structurées : sur un tableur, elle n'a rien à exploiter.

Quatre points méritent une réponse écrite : où les données sont hébergées et sous quelle juridiction, quels sous-traitants interviennent, y compris les fournisseurs de modèles, si vos contenus peuvent servir à entraîner un modèle, et comment la restitution est organisée en fin de contrat. Ce sont aussi les éléments attendus dans votre registre des traitements et dans les clauses de sous-traitance imposées par le RGPD. En SaaS, Vailor stocke les données en France (AWS, région Paris), fait passer les traitements d'IA par AWS Bedrock dans des régions de l'Union européenne, ne les utilise jamais pour entraîner un modèle, et vous laisse choisir le modèle, y compris un modèle auto-hébergé.

Non, et la pression réglementaire pousse plutôt dans l'autre sens. La directive NIS2 élargit le champ des entités concernées à des entreprises de taille moyenne dans de nombreux secteurs, et le règlement DORA impose aux entités financières un cadre exigeant de gestion du risque lié aux TIC. Ces organisations ont rarement une équipe conformité dédiée. C'est précisément là que l'automatisation change l'équation : l'enjeu n'est pas la taille, c'est le rapport entre le périmètre à couvrir et le temps disponible.