# La gouvernance de l'IA fusionne-t-elle avec le GRC ou crée-t-elle un nouveau silo ? > SwissGRC® analyse si la gouvernance de l'IA doit être intégrée à la fonction GRC ou former un silo. L'article s'appuie sur le règlement sur l'IA, ISO/IEC 42001 et la FINMA et plaide pour une intégration aux structures existantes. - URL: https://swissgrc.com/fr/gouvernance-ia-grc-convergence-ou-silo/ - Éditeur: SwissGRC® - Publié: 2026-08-30 - Dernière mise à jour: 2026-09-17 ## Points clés - En juin 2026, Gartner a publié son premier Magic Quadrant consacré aux plateformes de gouvernance de l'IA et y a évalué 13 éditeurs. - L'article 9, paragraphe 10, du règlement sur l'IA permet aux fournisseurs déjà soumis à des obligations de gestion des risques d'intégrer les aspects liés à l'IA dans leurs processus existants. - ISO/IEC 42001:2023 est la première norme internationale fixant des exigences pour un système de management de l'IA, certifiable de manière autonome ou arrimable à des systèmes de management existants. - Dans sa communication sur la surveillance 08/2024, la FINMA demande l'extension des dispositifs existants de gouvernance, de gestion des risques et de contrôle, et non une structure de gouvernance de l'IA autonome. - Le Département fédéral de justice et police doit préparer d'ici fin 2026 un projet destiné à la consultation sur la réglementation de l'IA, avec des modifications aussi sectorielles que possible. - La première étape pratique consiste à recenser les applications d'IA utilisées et à les rattacher aux registres des risques, aux contrôles et aux processus de protection des données existants. En juin 2026, Gartner a publié son premier Magic Quadrant consacré aux plateformes de gouvernance de l’IA, évaluant 13 éditeurs. Une analyse indépendante de cette publication constate que l’intelligence artificielle dissout les frontières qui séparaient jusqu’ici la gouvernance de l’IA, la gouvernance des données et de l’analytique, la gouvernance des processus métier, la gouvernance informatique et la GRC classique. Pour les responsables de la gouvernance, des risques et de la conformité, cela soulève une question structurelle : la gouvernance de l’IA doit-elle être intégrée à la fonction GRC existante ou érigée en discipline distincte à ses côtés ? La réglementation et les normes fournissent déjà de premières orientations. En bref Le règlement sur l’IA, la norme ISO/IEC 42001 et la communication sur la surveillance 08/2024 de la FINMA vont tous dans le même sens : la gouvernance de l’IA devrait être intégrée aux structures existantes de gouvernance, de gestion des risques et de contrôle plutôt que construite en silo distinct. Les exigences propres à l’IA en matière de qualité des données, d’explicabilité et de risque de modèle appellent des compétences supplémentaires au sein de la fonction GRC existante, et non nécessairement une nouvelle unité organisationnelle. ## Que montre le premier Magic Quadrant consacré aux plateformes de gouvernance de l’IA ? En juin 2026, Gartner a évalué pour la première fois 13 éditeurs de plateformes de gouvernance de l’IA, confirmant l’existence d’un marché distinct pour les logiciels de gestion du risque lié à l’IA. Une analyse indépendante de la publication replace ce constat dans un contexte plus large : l’intelligence artificielle dissout les frontières qui séparaient jusqu’ici la gouvernance de l’IA, la gouvernance des données et de l’analytique, la gouvernance des processus métier, la gouvernance informatique et la GRC. Cela renvoie moins à une discipline nouvelle et isolée qu’à une extension des missions de gouvernance existantes aux questions propres à l’IA. Pour les organisations dotées d’un dispositif GRC établi, la question pertinente porte donc moins sur l’ajout d’une plateforme supplémentaire que sur les processus existants qui devraient absorber le risque lié à l’IA. ## Comment le règlement sur l’IA encadre-t-il la relation entre la gestion des risques liés à l’IA et les processus existants ? L’article 9 du règlement sur l’IA impose un système de gestion des risques continu tout au long du cycle de vie des systèmes d’IA à haut risque, mais autorise explicitement l’intégration de ce système dans des processus déjà en place. En vertu de l’[article 9, paragraphe 10](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-9), les fournisseurs déjà soumis à des obligations de gestion des risques au titre d’autres textes du droit de l’Union peuvent intégrer les aspects concernés dans leurs processus existants plutôt que de construire un dispositif parallèle. L’article 17 oblige en outre les fournisseurs de systèmes d’IA à haut risque à disposer d’un système de gestion de la qualité, et l’article 10 fixe des exigences spécifiques en matière de gouvernance et de qualité des données : les jeux de données doivent être pertinents, représentatifs, exempts d’erreurs et complets, dans la mesure du possible. Le législateur applique donc lui-même une logique d’intégration, même si les exigences de fond sont nouvelles pour de nombreuses fonctions GRC. Cette position tranche avec le débat public selon lequel le règlement sur l’IA étoufferait l’innovation ou relèverait de la surréglementation. ## Qu’apporte la norme ISO/IEC 42001 en tant que norme autonome pour les systèmes de management de l’IA ? ISO/IEC 42001:2023 est la première norme internationale à fixer des exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de l’IA. Comme les autres normes de systèmes de management, ISO/IEC 42001 est conçue comme un dispositif pouvant être certifié de manière autonome, mais elle peut tout aussi bien s’arrimer à des structures GRC existantes, par exemple un système de management de la sécurité de l’information ou de la qualité déjà en place. Cette double compatibilité reflète la logique du règlement sur l’IA : la gouvernance de l’IA exige ses propres briques spécialisées, mais n’a pas besoin d’être ancrée organisationnellement à l’écart du reste de la gestion des risques. Pour les responsables de la GRC, la décision se déplace donc de la structure vers les ressources : qui apporte l’expertise nécessaire pour traiter des risques intelligents, et quel processus existant porte les éléments de preuve. ## Où en sont l’autorité de supervision et le législateur suisses sur la gouvernance de l’IA ? Dans sa communication sur la surveillance 08/2024, la FINMA ne demande pas une structure de gouvernance de l’IA autonome, mais l’extension des dispositifs existants de gouvernance, de gestion des risques et de contrôle, tandis que le Conseil fédéral s’oriente vers une réglementation sectorielle de l’IA. La FINMA fonde sa [communication sur la surveillance 08/2024](https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/) sur les constats issus de son activité de surveillance courante et indique que la plupart des établissements financiers se situent encore à un stade de développement précoce. Chaque établissement assujetti doit réexaminer l’effet de l’utilisation de l’IA sur son profil de risque et adapter sa gouvernance, sa gestion des risques et son dispositif de contrôle au cadre réglementaire applicable. La Suisse n’ayant pas de législation spécifique à l’IA, la FINMA suit une approche fondée sur les risques qui couvre les risques opérationnels, de données, informatiques et cyber, ainsi que les aspects juridiques et réputationnels. Le Conseil fédéral a décidé de ratifier la convention sur l’IA du Conseil de l’Europe et d’adapter le droit suisse en conséquence ; le conseiller fédéral Albert Rösti a signé la convention au nom de la Suisse. Le Département fédéral de justice et police, avec le Département fédéral de l’environnement, des transports, de l’énergie et de la communication et le Département fédéral des affaires étrangères, doit préparer d’ici fin 2026 un projet destiné à la consultation, exposant des mesures en matière de transparence, de protection des données, de non-discrimination et de surveillance. Les modifications législatives se veulent aussi sectorielles que possible, les éventuelles règles transversales devant se limiter aux domaines centraux touchant aux droits fondamentaux. Le niveau de maturité actuel des établissements est décrit en détail dans l’enquête de la FINMA sur l’utilisation de l’intelligence artificielle. ## Comment mettre en œuvre cette intégration en pratique ? La première étape consiste à recenser les applications d’IA déjà utilisées et à les rattacher aux registres des risques, aux contrôles et aux processus de protection des données existants. La fonction responsable de la GRC devrait achever ce recensement au cours du cycle de planification en cours, avant de se prononcer sur une fonction de gouvernance de l’IA distincte. C’est seulement ensuite qu’il sera possible d’évaluer quelles lacunes propres à l’IA exigent une expertise supplémentaire, par exemple en matière de qualité des données au titre de l’article 10 du règlement sur l’IA ou d’explicabilité des décisions des modèles. Dans la plupart des cas, ces lacunes peuvent être comblées par de nouveaux rôles et de nouvelles étapes de revue au sein de la structure existante, plutôt que par un silo supplémentaire. Une fonction de gouvernance de l’IA distincte ne se justifie que lorsqu’il est démontré que la structure GRC existante ne peut pas couvrir les exigences propres à l’IA. À lire aussi ### Un socle de données commun pour le risque lié à l’IA AI GRC intègre le risque lié à l’IA dans le même registre des risques que celui déjà utilisé pour les autres types de risques. La solution relie les exigences du règlement sur l’IA aux contrôles et aux éléments de preuve existants. [AI GRC](https://swissgrc.com/fr/ai-grc/) En pratique ## Points clés - L’article 9, paragraphe 10, du règlement sur l’IA autorise explicitement l’intégration de la gestion des risques liés à l’IA dans les processus existants. - ISO/IEC 42001 peut être certifiée comme dispositif autonome ou arrimée à des systèmes de management existants. - La FINMA exige des établissements assujettis qu’ils étendent les dispositifs existants de gouvernance, de gestion des risques et de contrôle plutôt que d’en construire un nouveau. - Le Conseil fédéral s’oriente vers une réglementation sectorielle de l’IA, avec un projet destiné à la consultation attendu du Département fédéral de justice et police d’ici fin 2026. - Le recensement des applications d’IA déjà utilisées constitue la première étape concrète, avant toute décision structurelle. FAQ ## Questions fréquentes Une entreprise doit-elle créer un nouveau service dédié à la gouvernance de l’IA ? Non. Le règlement sur l’IA, la norme ISO/IEC 42001 et la communication sur la surveillance 08/2024 de la FINMA convergent vers une intégration de la gouvernance de l’IA dans les structures existantes de gouvernance, de gestion des risques et de contrôle. Une fonction de gouvernance de l’IA autonome ne se justifie que lorsqu’il est démontré que la structure GRC existante ne peut pas couvrir les exigences propres à l’IA. Qu’exige l’article 9 du règlement sur l’IA en matière de gestion des risques pour les systèmes d’IA à haut risque ? L’article 9 du règlement sur l’IA impose un système de gestion des risques continu tout au long du cycle de vie des systèmes d’IA à haut risque. En vertu de l’article 9, paragraphe 10, les fournisseurs déjà soumis à des obligations de gestion des risques au titre d’autres textes du droit de l’Union peuvent intégrer ces aspects dans des processus existants plutôt que de construire un dispositif parallèle. ISO/IEC 42001 peut-elle être certifiée de manière autonome ou uniquement en complément de dispositifs existants ? Comme les autres normes de systèmes de management, ISO/IEC 42001:2023 est conçue comme un dispositif pouvant être certifié de manière autonome, mais elle peut tout aussi bien s’arrimer à des structures GRC existantes, par exemple un système de management de la sécurité de l’information ou de la qualité déjà en place. Cette double compatibilité reflète la logique d’intégration du règlement sur l’IA. Quel rôle joue la communication sur la surveillance 08/2024 de la FINMA pour les établissements financiers suisses ? La FINMA n’exige pas une structure de gouvernance de l’IA autonome, mais l’extension des dispositifs existants de gouvernance, de gestion des risques et de contrôle. Chaque établissement assujetti doit réexaminer l’effet de l’utilisation de l’IA sur son profil de risque et suivre une approche fondée sur les risques, la Suisse n’ayant pas de législation spécifique à l’IA. Quelle est la première étape concrète pour intégrer la gouvernance de l’IA dans la GRC ? La première étape consiste à recenser les applications d’IA déjà utilisées et à les rattacher aux registres des risques, aux contrôles et aux processus de protection des données existants. C’est seulement ensuite qu’il sera possible d’évaluer quelles lacunes propres à l’IA exigent une expertise supplémentaire, avant de se prononcer sur une fonction de gouvernance de l’IA distincte. Sources 1. [Article 9, système de gestion des risques pour les systèmes d’IA à haut risque](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-9)AI Act Service Desk, Commission européenne 2. [Communication sur la surveillance 08/2024 relative à la gouvernance et à la gestion des risques liés à l’IA](https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/)FINMA ## Questions fréquentes ### Faut-il créer un service dédié à la gouvernance de l'IA ? Pas nécessairement. Le règlement sur l'IA, ISO/IEC 42001 et la communication 08/2024 de la FINMA vont vers une intégration dans les structures existantes. Une fonction distincte ne se justifie que s'il est démontré que la structure GRC existante ne couvre pas les exigences propres à l'IA. ### Que prévoit l'article 9 du règlement sur l'IA pour la gestion des risques ? L'article 9 impose un système de gestion des risques continu tout au long du cycle de vie des systèmes d'IA à haut risque. Selon le paragraphe 10, les fournisseurs déjà soumis à des obligations de gestion des risques peuvent intégrer ces aspects dans leurs processus existants. ### ISO/IEC 42001 peut-elle être certifiée de manière autonome ? Oui, ISO/IEC 42001 est conçue comme un dispositif pouvant être certifié de manière autonome. Elle peut aussi s'arrimer à des structures existantes, par exemple un système de management de la sécurité de l'information ou de la qualité. ### Que demande la FINMA aux établissements financiers sur l'IA ? Chaque établissement assujetti doit réexaminer l'effet de l'utilisation de l'IA sur son profil de risque. Il doit adapter sa gouvernance, sa gestion des risques et son dispositif de contrôle au cadre réglementaire applicable. ### Par où commencer pour intégrer la gouvernance de l'IA dans la GRC ? Il faut d'abord recenser les applications d'IA déjà utilisées et les rattacher aux registres des risques, aux contrôles et aux processus de protection des données. Ensuite seulement, on évalue quelles lacunes exigent une expertise supplémentaire.