Ce que votre conseil d’administration ne sait pas encore sur l’IA, et qu’il vous faudra lui dire avant juin
L’AI Act entre en pleine application le 2 août 2026, dans 95 jours. Pour les conseils d’administration et les fondations qui supervisent un déploiement IA, la question n’est plus de savoir s’il faut s’en saisir, mais quand le faire et comment. Cet article décrit les quatre angles morts que la plupart des conseils n’ont pas encore éclairés : la cartographie des usages effectifs, la chaîne de responsabilité, la dépendance technologique, le cadre éthique opposable. Trois sessions de conseil suffisent à installer une discipline lisible. Voici la trame.
Quand Camille, présidente du conseil d’administration d’une ETI familiale agro-alimentaire de 1 200 salariés, a demandé en avril 2026 à la direction générale combien de fonctions de la maison utilisaient déjà l’IA générative, elle a reçu trois réponses différentes en deux semaines : huit, vingt-deux, et « plus que prévu ». Cette scène, nos équipes Afervescence la croisent dans deux conseils sur trois en 2026. Elle dit la zone grise dans laquelle la salle du conseil opère encore sur un sujet qui engage juridiquement, financièrement, réputationnellement la maison. L’article décrit les quatre angles morts du conseil sur l’IA, et comment les éclairer en trois sessions, avant que le calendrier réglementaire ne le fasse à votre place.
Pourquoi la salle du conseil reste à un cycle de retard sur l’IA
Le décalage est documenté. Le BCG Henderson Institute, dans son rapport Boards and AI · Closing the Oversight Gap publié le 21 avril 2026 sur 380 administrateurs interrogés dans 22 pays, mesure que 18 % seulement des conseils traitent l’IA comme un point récurrent de leur agenda. Dans 62 % des cas, le sujet apparaît au conseil sous forme de tour d’horizon ponctuel, sans cadre de suivi. Dans 20 %, il n’apparaît jamais. La même étude observe que les conseils des fondations et des établissements de l’enseignement supérieur sont en moyenne 14 mois en retard sur les conseils des sociétés cotées.
L’origine du retard n’est ni l’incompétence ni le désintérêt. Elle tient à la nature même de la matière. L’IA déployée en organisation se loge dans des processus métier que le conseil ne suit pas en routine : trésorerie, ressources humaines, supply chain, expérience client. Quand elle apparaît à l’agenda, c’est par une question budgétaire (combien on dépense), rarement par une question de pilotage (à quelle fin, sous quel cadre). Or, comme le rappelle l’Institut Français des Administrateurs dans sa note technique du 23 avril 2026, les obligations issues de l’AI Act et l’avis du Conseil d’État de mars 2026 placent la responsabilité du déploiement directement sur les organes de direction et leurs conseils, indépendamment de la conformité formelle du fournisseur du modèle.
Hugo, secrétaire général d’une fondation reconnue d’utilité publique en éducation (90 millions d’euros d’actifs sous gestion, conseil d’administration de 17 personnes), nous le formulait ainsi en avril : « la première fois qu’on a inscrit l’IA à l’agenda de notre conseil, on a réalisé qu’on ne savait pas qui dans la maison décidait des outils que nos équipes utilisaient déjà tous les jours ». Le constat, banal, dit l’urgence. Une organisation qui supervise sans cartographier ne supervise pas, elle ratifie.
« Le politique a délaissé le terrain de l’intelligence artificielle au moment même où il s’y rejouait son existence. »
Asma Mhalla, Technopolitique (Seuil, 2024)
Quatre angles morts que votre conseil n’a pas encore éclairés
Le premier angle mort est la cartographie des usages effectifs. La plupart des conseils raisonnent encore en projets IA officiels, alors que la matière première est déjà dans les outils du quotidien : assistants IA dans les suites bureautiques, copilotes de code, traduction, résumé d’appels, génération de visuels. Le rapport McKinsey State of AI 2025 documente que 88 % des organisations utilisent l’IA dans au moins une fonction, sans que les boards en aient une vue consolidée. Sans cartographie, le conseil ne peut pas trancher.
Le deuxième angle mort est la chaîne de responsabilité. Qui rend des comptes au conseil sur les usages IA ? Dans 70 % des conseils que nous accompagnons, la réponse est diffuse : la DSI sur la technique, les directions métier sur les cas d’usage, le DPO sur la conformité, personne sur la valeur d’ensemble. Le BCG observe la même fragmentation. La conséquence est mécanique : le conseil ne peut pas convoquer un·e responsable, donc il ne peut pas exiger de redevabilité chiffrée.
Le troisième angle mort est la dépendance technologique. Sur quels modèles repose votre maison, dans quels pays, sous quelle juridiction ? Comme le souligne la chercheuse Asma Mhalla dans Technopolitique, une organisation qui externalise ses inférences sans en mesurer la dépendance externalise aussi une part de sa souveraineté de décision. La National Association of Corporate Directors, dans son outil Director’s Essential AI Oversight Tools publié en avril 2026, recommande aux conseils d’exiger une fiche de dépendance modèle pour tout système structurant.
Le quatrième angle mort est le cadre éthique opposable. Au-delà du formalisme RGPD ou de la charte interne, le conseil dispose-t-il d’un document court, écrit, opposable, qui dit ce que la maison s’autorise et ce qu’elle s’interdit en matière d’IA ? Sans ce document, en cas d’incident, c’est l’administrateur·rice qui répondra de l’absence de cadre. Le Conseil d’État, dans son avis de mars 2026, est explicite : la diligence du conseil s’apprécie au regard du cadre qu’il a posé, pas du cadre qu’il aurait pu poser.
Ce que coûte un conseil sous-informé en 2026
Les coûts ne sont plus hypothétiques. L’AI Act, dans sa pleine application au 2 août 2026, prévoit des amendes pouvant atteindre 7 % du chiffre d’affaires mondial pour les usages relevant des risques inacceptables, et 3 % pour les manquements aux obligations sur les systèmes à haut risque. Pour une ETI familiale comme celle de Camille (380 millions d’euros de chiffre d’affaires consolidé), le risque d’amende maximal théorique avoisine 26 millions d’euros, soit sept fois son investissement IA cumulé.
Mais l’amende n’est qu’une partie du tableau. Le rapport AI Index 2026 de l’université Stanford, coordonné par Erik Brynjolfsson et James Manyika, documente trois autres lignes de coût : la judiciarisation d’une décision algorithmique mal cadrée (en moyenne 2,1 millions d’euros de provision sur les premières décisions de jurisprudence européenne), la perte de marché public en cas de non-conformité documentée (jusqu’à 18 mois d’éviction), et l’érosion de réputation employeur, plus diffuse mais durable, mesurée par Glassdoor et Welcome to the Jungle sur une cohorte de 1 800 entreprises européennes.
Pour une fondation comme celle d’Hugo, le risque est d’une autre nature mais d’une intensité comparable. Les commissaires aux comptes, depuis le 1er janvier 2026, intègrent une revue dédiée IA dans leur diligence sur les organisations à mission. Un audit défavorable peut entraîner la suspension d’un agrément ou la perte d’une convention pluriannuelle d’objectifs. Le conseil d’administration en porte la responsabilité collégiale, comme le rappelle la doctrine du Haut Conseil à la Vie Associative dans son guide d’avril 2026.
Comment installer une discipline IA au conseil en trois sessions
La méthode tient en trois sessions ordinaires de conseil, étalées sur six mois. Première session : inventaire. Le directeur général ou la directrice générale présente la cartographie des usages IA effectifs (officiels et de fait), la chaîne de responsabilité actuelle, les principales dépendances techniques. Pas de débat à ce stade, juste la photographie. Le conseil prend acte, identifie les zones d’ombre, demande les compléments d’information.
Deuxième session : discipline. Le conseil arbitre la chaîne de responsabilité. Une personne référente IA est nommée parmi les directions existantes, avec une lettre de mission écrite, un objectif de retour mesuré, un point trimestriel publié au conseil. Le conseil valide les contreparties d’éviction (qu’est-ce que la maison cesse de faire pour libérer l’IA), la grille des usages autorisés, et le périmètre des décisions qui ne peuvent pas être déléguées à un système algorithmique.
Troisième session : architecture. Le conseil pose le cadre éthique opposable, signé du président ou de la présidente, daté, versionné, accessible aux administrateurs et aux commissaires aux comptes. Comme l’écrit Roger Martin dans Playing to Win (HBR Press, 2013, et mise à jour 2024), une stratégie qui n’élimine rien n’est pas une stratégie. Pour le conseil, le cadre éthique opposable est précisément l’acte qui élimine. Il dit ce que la maison refuse, par écrit, à froid, avant l’incident. À six mois, vous avez supprimé les quatre angles morts. À douze mois, vous avez transformé un risque diffus en discipline tenable. Avant juin, vous pouvez avoir tenu la première session. Le calendrier vous laisse encore le choix.
Foire aux questions
L’AI Act s’applique-t-il à une fondation ou une association ?
Oui, dès lors que l’organisation déploie un système d’IA relevant des catégories de l’annexe III (recrutement, accès à l’éducation, services essentiels, accès à des prestations) ou utilise un système à usage général dans un cadre opérationnel. Le statut juridique non lucratif n’exonère pas. Le règlement européen vise le déployeur indépendamment de sa forme. Le Conseil d’État, dans son avis de mars 2026, le confirme explicitement.
Faut-il créer un comité IA dédié au conseil d’administration ?
Pas nécessairement. La supervision IA peut être logée dans le comité d’audit, le comité des risques ou un comité stratégie existant, à condition que les compétences soient présentes ou complétées par un·e administrateur·rice indépendant·e qualifié·e. L’IFA recommande dans sa note d’avril 2026 d’évaluer d’abord la maturité des comités existants avant d’en créer un nouveau, pour éviter la dilution de la responsabilité.
Quelle est la responsabilité personnelle d’un·e administrateur·rice ?
L’AI Act n’introduit pas de responsabilité personnelle directe, mais le droit français des sociétés et le code monétaire et financier permettent d’engager la responsabilité civile d’un·e administrateur·rice pour défaut de diligence. Une absence de cadre IA documenté, après le 2 août 2026, peut constituer un défaut de diligence opposable. La souscription d’une police de responsabilité civile des dirigeants doit être revue à l’aune du nouveau périmètre.
Comment mesurer la maturité IA d’un conseil ?
Quatre indicateurs simples : un point IA récurrent à l’agenda annuel, une cartographie des usages mise à jour deux fois par an, une personne référente nommée avec lettre de mission, un cadre éthique signé et versionné. Si les quatre sont en place, votre conseil est à jour. Si moins de deux, votre conseil est en retard significatif. Le BCG fournit dans son rapport d’avril 2026 une grille de scoring détaillée, complétée par les outils NACD pour le contexte international.
Pour aller plus loin
- AI Act EU · texte consolidé et calendrier d’application sur le site de la DG CNECT de la Commission européenne
- Conseil d’État · avis de mars 2026 sur la gouvernance IA, dossier de consultation publique en cours
- Institut Français des Administrateurs · note technique avril 2026 sur la supervision IA en conseil
- BCG Henderson Institute · rapport Boards and AI · Closing the Oversight Gap (avril 2026)
- AI Index Stanford · édition 2026, chapitre dédié à la supervision corporate
Le cercle dirigeant Afervescence
Si ces arbitrages, vous voulez les tester avant de les porter en séance, nous accueillons quatre fois par an un cercle dirigeant Afervescence dédié aux présidences de conseil et de fondation. Format trois heures, sur invitation, douze places. Pour rejoindre la prochaine session, écrivez-nous depuis la page contact d’Afervescence ou parcourez notre approche du cadrage stratégique IA et le diagnostic gouvernance que nous proposons aux boards. Vous pouvez aussi consulter notre dernier article sur l’investissement IA en ComEx qui prolonge la réflexion côté direction générale.
La rédaction Afervescence accompagne dirigeantes, dirigeants et conseils d’administration sur leurs arbitrages stratégie et IA. La maison conseille des ETI familiales, des scale-up, des fondations reconnues d’utilité publique et des établissements de l’enseignement supérieur. Sa baseline, « faire croitre ce qui compte vraiment », guide chaque dossier. Plus sur afervescence.com.
