Risque, architecture et action
Les participants suivent individuellement les huit modules précédents, puis se retrouvent pour cette session animée afin de tester, comparer et mettre en pratique ce qu’ils ont appris. Cette session de synthèse est délibérément conçue comme un atelier, et non comme un cours magistral ou un quiz : sa valeur réside dans le fait de travailler sur les dossiers, les scénarios et les décisions de votre propre organisation — ensemble, dans la salle — et de repartir avec un résultat concret destiné au conseil d'administration plutôt qu'avec une simple série de notes.
Déroulement de la séance
Organisez cette activité sous la forme d’une session de groupe synchrone d’une durée de 90 à 150 minutes, en fonction de la taille du groupe et du nombre de séries d’exercices que vous réaliserez. Travaillez en petits groupes de trois à cinq personnes. Un animateur gère le temps, met en évidence les désaccords plutôt que de les passer sous silence, et veille à ce que chaque série se termine par un bref compte-rendu. Les quatre séries d’exercices ci-dessous s’articulent autour du parcours de synthèse de 90 minutes et de sa note de gouvernance ; les conseils d’administration plus restreints peuvent se contenter d’une partie de ces exercices, mais la série D et le parcours de synthèse doivent toujours être réalisés.
Série d'exercices A — Mise en correspondance des enregistrements
Commencez par votre propre organisation. Avant de se pencher sur l'architecture ou les scénarios, le groupe doit se forger une vision commune et lucide des documents qui revêtent réellement une importance en matière de gouvernance, et des points les plus vulnérables de chacun d'entre eux.
Format de l'atelier
- Énumérez les dix principaux documents liés à la gouvernance dont dispose votre organisation : procès-verbaux, documents destinés au conseil d'administration, projets de stratégie, délibérations des comités, historiques des votes, procédures de contestation, résumés générés par l'IA, autorisations, correspondance officielle, etc.
- Classez chaque enregistrement en fonction de l'importance des conséquences ( faible, moyenne ou élevée ) qu'entraînerait sa modification, sa perte, sa divulgation ou sa contestation. Prenez en compte le pire scénario plausible, et non le cas typique.
- Marquez chaque enregistrement qui ne dispose pas d' une provenance immuable ou d'un historique des modifications vérifiable — c'est-à-dire pour lequel vous ne pouvez pas prouver qui en est l'auteur, comment il a évolué ou à qui il a été partagé.
- Indiquez les trois dossiers qui nécessitent le plus une approche souveraine, en expliquant en une phrase pour chacun d'entre eux pourquoi.
Sujets de discussion
- Sur quels points le groupe était-il en désaccord concernant l'évaluation des conséquences, et que révèle ce désaccord sur les hypothèses tacites ?
- Quels sont les dossiers « à fort impact » dont la traçabilité s'est avérée la plus faible — et pourquoi cette combinaison est-elle si courante ?
- Parmi vos dix principaux outils, combien d'entre eux sont susceptibles de modifier leurs conditions d'utilisation, leur juridiction ou leur disponibilité sans votre consentement ?
Série d'exercices B — Travaux pratiques sur les scénarios de défaillance
Le risque abstrait devient concret lorsque l'on suit le parcours d'un échec, de bout en bout. Attribuez un scénario à chaque groupe, puis testez-le deux fois : une fois dans le monde dans lequel vous vivez actuellement, et une fois dans celui que vous pourriez construire.
Format de l'atelier
- L'animateur attribue à chaque groupe un scénario : une omission dans le résumé généré par l'IA (une opinion dissidente importante omise du procès-verbal) ; un procès-verbal contesté (deux parties ont une version différente de la résolution) ; la fuite d'un document du conseil d'administration; une demande de communication d'informations entre juridictions; ou une chaîne de paternité inexacte.
- Reconstruisez, étape par étape, le déroulement du scénario dans votre environnement actuel: ce qui est avéré, ce qui est contestable, les points de vulnérabilité de l'organisation et qui supporte le risque résiduel.
- Répétez maintenant la reconstruction en partant du principe d'une architecture de type « sovereign record »: provenance vérifiable, limites contrôlées, historique des modifications attribuable et contraintes explicites en matière d'IA.
- Bilan : quels préjudices disparaissent dans le cadre de l'architecture souveraine, lesquels persistent, et lesquels deviennent plus visibles (et donc susceptibles de donner lieu à des actions) plutôt que de rester cachés ?
Sujets de discussion
- Quels préjudices n’ont pas pu être évités par la conception — et qu’est-ce que cela vous apprend sur les limites de l’architecture par rapport à la politique et à la culture ?
- Dans quels cas le fait de mettre davantage en lumière un préjudice vous a-t-il mis mal à l'aise, et pourquoi ce malaise pourrait-il justement être le but recherché ?
- Dans le cadre d'une affaire impliquant plusieurs juridictions, qui décide en réalité de ce qui doit être divulgué aujourd'hui : votre conseil d'administration, les conditions d'un fournisseur ou un régime juridique étranger ?
Série d'exercices C — Politique et conception constitutionnelle
Une architecture sans règles n'est qu'un simple système de stockage. Cet exercice invite chaque groupe à rédiger les règles constitutionnelles par défaut d'une classe d'enregistrement, puis à les soumettre à un test de résistance face à un cas complexe.
Format de l'atelier
- Choisissez une catégorie de documents : procès-verbaux du conseil d'administration, projets de stratégie ou délibérations des comités.
- Rédigez les règles par défaut : qui peut consulter, qui peut modifier, qui peut exporter, qui peut valider et qui peut supprimer.
- Précisez ce qui nécessite une contresignature (une deuxième validation attribuable) et ce qu’un assistant IA est autorisé ou non à faire avec le document — par exemple, en faire un résumé sans jamais le modifier sans en informer l’utilisateur, ou en rédiger une ébauche sans jamais l’approuver.
- Testez les règles en les appliquant à un cas exceptionnel : une question culturelle protégée, un litige professionnel ou une demande d'examen externe. À quel moment les règles par défaut ne s'appliquent-elles plus, et quelle exception contrôlée est nécessaire ?
Sujets de discussion
- Ce cas exceptionnel vous a-t-il contraint à assouplir une valeur par défaut, ou à ajouter une exception contrôlée dotée de sa propre provenance ? Quelle est la différence, et en quoi est-ce important ?
- Dans votre projet, qui est en mesure de prendre une mesure irréversible — et ce pouvoir est-il contresigné, consigné et encadré ?
- Qu'est-ce que votre groupe a décidé que l'IA ne devrait jamais faire, et comment l'architecture permettrait-elle de garantir cela, plutôt que de se contenter de l'énoncer ?
Série d'exercices D — Déclaration relative aux décisions du conseil d'administration
La valeur de cette formation se mesure uniquement au changement qu’elle engendre au sein du conseil d’administration. Chaque groupe résume désormais son travail dans un document d’une page et le défend face aux critiques.
Format de l'atelier
- Rédigez une déclaration d'une page à l'intention du conseil d'administration, comprenant quatre parties : le risque lié à la situation actuelle que vous avez identifié ; le principe que vous comptez respecter pour l'avenir; la portée du projet pilote que vous proposez ; et les contrôles de gouvernance requis.
- Limitez-vous à une seule page : une déclaration du conseil d’administration qui ne tient pas sur une seule page n’aura pas sa place à l’ordre du jour de la réunion.
- Présentez cette déclaration à l'assemblée.
- Répondre aux questions posées sur le terrain par des pairs jouant le rôle d'administrateurs (est-ce abordable et proportionné ?), d'auditeurs (pouvez-vous en apporter la preuve ?) et d'autorités de régulation (cela répond-il à vos obligations ?).
Sujets de discussion
- Quelle question du défi vous a semblé la plus difficile à répondre, et cette lacune se situe-t-elle au niveau de vos données, de votre architecture ou de votre politique ?
- Un administrateur sceptique pourrait-il lire votre déclaration et comprendre exactement ce qu'on lui demande d'approuver ?
- Que faudrait-il qu'il se passe d'ici douze mois pour que cette déclaration ait valu la peine d'être écrite ?
Le déroulé capstone de 90 minutes
Si le temps est compté, voici l'essentiel de la séance. Elle regroupe les quatre séries d'exercices en une seule séquence chronométrée qui aboutit à un résultat concret par groupe.
Format de l'atelier
- Partie 1 · Énoncé des risques (20 min) — Complétez ensemble la phrase suivante : « Notre organisation est exposée à un risque significatif lorsque les comptes rendus des délibérations sont… » Appuyez-vous sur la cartographie de la série d’exercices A et sur les scénarios de la série d’exercices B.
- Partie 2 · Exposé sur l'architecture (25 min) — terminé : « Pour nous, un environnement de délibération souverain adapté à l'usage prévu devrait… » Citez les caractéristiques qui permettraient de remédier aux vulnérabilités identifiées dans la partie 1.
- Partie 3 · Déclaration d'action (25 min) — Citez trois engagements : un au niveau du conseil d'administration, un au niveau opérationnel et un projet pilote ou de validation de principe. Chacun doit avoir un responsable et un horizon temporel.
- 4e partie · Compte rendu (20 min) — chaque groupe présente ses conclusions concernant les risques, l'architecture et les mesures à prendre ; l'ensemble des participants les examine et les affine.
Sujets de discussion
- Votre déclaration d'action découle-t-elle de votre déclaration de risque, ou le groupe s'est-il précipité vers une solution privilégiée avant même d'avoir identifié l'exposition au risque ?
- Votre projet pilote est-il suffisamment modeste pour être lancé et suffisamment pertinent pour en tirer des enseignements ?
- Lequel de ces trois engagements sera le plus difficile à respecter, et comment éviter qu’il ne tombe discrètement à l’eau ?
Résultats du projet de fin d'études
Chaque groupe repart avec une brève note de gouvernance — un document unique sur lequel le conseil d'administration peut s'appuyer pour agir. Il comporte quatre sections : les principaux risques (issus de la cartographie des données et de l’atelier de scénarios), les principes de l’état cible (issus de la déclaration d’architecture et de la conception des politiques), les actions à court terme (engagements au niveau du conseil d’administration, au niveau opérationnel et dans le cadre de projets pilotes), et une proposition de projet pilote (portée, contrôles, responsable et horizon). Cette note constitue le trait d’union entre cette formation et une décision concrète : elle doit être présentée au conseil, consignée dans le procès-verbal et — comme il se doit — conservée en tant que document officiel à part entière.