- La gouvernance « par l'outil » (charte, liste blanche, blocage) échoue : elle crée du shadow AI ou tue les usages.
- La bonne unité de gouvernance n'est pas l'outil, c'est la pratique : ce que les équipes font réellement avec l'IA.
- CREWCREWLe cadre de gouvernance de Marylink (Concepts, Rôles, Environnements, Workflows) issu de la recherche. (Concepts · Rôles · Environnements · Workflows) est une grammaire pour gouverner la pratique, mappée 1:1 dans Marylink.
Tout DSI ou RSSI connaît le dilemme. D'un côté, des collaborateurs qui collent des données clients dans un ChatGPT personnel parce que « ça va plus vite ». De l'autre, une direction qui réclame de l'IA partout. Entre les deux, vous. Et deux mauvaises options.
Pourquoi gouverner l'outil ne marche pas
Interdire. Vous bloquez les domaines, vous publiez une charte, vous menacez. Résultat : vos équipes les plus motivées contournent (smartphone perso, compte gratuit, copier-coller). Vous n'avez pas supprimé le risque, vous l'avez rendu invisible. C'est le shadow AI, et c'est pire que l'usage encadré.
Tout autoriser. Vous ouvrez les vannes. Les usages explosent, et avec eux la surface de risque : fuite de données, hallucinations recopiées telles quelles, décisions prises sur des bases invérifiables, zéro traçabilité. Le jour de l'audit, vous ne savez ni qui a produit quoi, ni avec quoi.
Les deux approches partagent la même erreur de cible. Elles gouvernent l'outil : un objet qui change tous les trois mois, que vous ne contrôlez pas, et qui n'est jamais là où se joue vraiment le risque.
Le risque ne vit pas dans l'outil. Il vit dans la pratique : qui fait quoi, avec quelle donnée, validé par qui, selon quelles étapesÉtape de validationUne étape du parcours d'une publication (brouillon → revue → validé), avec des règles qui conditionnent le passage..
Gouverner la pratique : le cadre CREW
CREW est une grammaire de gouvernance opérationnelle issue de nos travaux de recherche (« Generative AI as Practice », publié sur ResearchGate). Elle décompose toute pratique IA en quatre briques, et chacune se mappe directement dans la plateforme.
C · Concepts
L'intention, le contenu, les règles, le style d'une pratique. Ce qui doit être fait, et comment bien le faire. → PublicationsPublicationUne pratique publiée dans un espace : versionnée, évaluée et soumise à des étapes de validation. & blocs typés.
R · Rôles
Qui est auteur, qui est expert, qui évalue, qui valide. La responsabilité est nominative, pas diffuse. → Rôles d'espaceRôles d'espaceLes responsabilités attribuées dans un espace : auteur, expert, évaluateur, modérateur, champion. (championChampionLe rôle qui anime un espace et fait remonter au collectif les pratiques qui marchent., modérateurModérateurLe rôle qui veille à la qualité et à la conformité des publications d'un espace., expert).
E · Environnements
Les espacesEspaceUn lieu de travail par métier ou par sujet, où l'équipe publie, partage et gouverne ses pratiques. où l'on publie, partage et valide, cloisonnés par métier, par client, par niveau de confidentialité. → Espaces.
W · Workflows
Les étapes d'exécution et de validation : ce qui doit passer une revueÉvaluationL'examen d'une pratique par un expert : note, commentaires et recommandations selon des critères. avant d'être réutilisable, ce qui est bloqué et pourquoi. → Étapes & règles.
Avec ce cadre, vous ne dites plus « ChatGPT est interdit / autorisé ». Vous dites : « cette pratique, sur ce type de données, doit être validée par un expert avant d'être réutiliséeRéutilisationLe fait qu'une même pratique serve plusieurs fois, dans plusieurs espaces, la mesure clé de la valeur du Practice Graph., et toute exécution est tracée ». La gouvernance suit le travail réel, au lieu de courir derrière les outils.
Ce que ça change pour le risque
- Fin du shadow AI : l'usage encadré devient plus pratique que le contournement, parce qu'il donne accès au patrimoine de l'équipe. On n'a plus envie de tricher.
- Traçabilité native : qui a produit quoi, à partir de quelle pratique, validée par qui. L'audit n'est plus une fouille, c'est une requête.
- Qualité gouvernée : les hallucinations ne deviennent jamais des « pratiques » : il faut passer une revue d'expert. La validation est un workflow, pas un espoir.
- SouverainetéSouverainetéHébergement en Europe et contrôle total de vos données : elles ne servent jamais à entraîner des modèles tiers. & conformité : données hébergées en Europe, jamais utilisées pour entraîner des modèles tiers, alignées RGPDRGPDRèglement général sur la protection des données. Marylink est conçu pour la conformité RGPD. et AI ActAI ActLe règlement européen sur l'IA. Marylink aide à cadrer et tracer les usages pour s'y conformer.. Voir Sécurité & confiance.
Le but n'est pas de ralentir l'IA. C'est de faire en sorte que la voie encadrée soit aussi la voie la plus rapide.
C'est la promesse d'une gouvernance qui ne s'oppose pas aux usages mais les capitalise : vous cadrez, vous prouvez, et vous étendez, sans jamais avoir à choisir entre la vitesse et le contrôle. Pour la mécanique complète et les publications de recherche, voyez la science derrière Marylink.