82% des administrateurs utilisent l'IA. 6% ont une politique pour cela.

Les conseils d'administration posent des questions difficiles à la direction sur la gouvernance de l'IA tout en n'en ayant pratiquement aucune eux-mêmes. La question plus difficile n'est pas de savoir si vous avez une surveillance. C'est de savoir si vous détecteriez une défaillance.

🔢 Commencez par le chiffre qui vous concerne réellement

Une enquête portant sur 104 administrateurs de sociétés publiques américaines, menée par le Diligent Institute et Corporate Board Member, a révélé que 82 % avaient utilisé l'IA générative dans leurs travaux de conseil d'administration au cours des six mois précédents.

Six pour cent ont signalé une politique formelle la couvrant.

Cinquante-quatre pour cent ont déclaré qu'aucune orientation n'existait du tout dans leur entreprise. 📋

C'est un petit échantillon et il convient de le traiter comme directionnel plutôt que définitif. Mais la forme de celui-ci est difficile à contester, et la plupart des administrateurs qui la lisent reconnaissent immédiatement leur propre conseil.

Le même organisme qui demande à la direction de démontrer la gouvernance de l'IA fonctionne, dans la majorité des cas, sans aucune. ⚖️

Extérieurement, le tableau correspond. ISS-Corporate a signalé en 2026, sur les données de 2025, que seules 22 % des sociétés du S&P 500 ont divulgué la surveillance de l'IA par le conseil d'administration, et 24 % ont divulgué les cadres et politiques d'IA.

Le fossé de la gouvernance n'est donc pas un problème de gestion que le conseil supervise. Il traverse le conseil lui-même.

🏁 L'encadrement de la course est le risque

La couverture de l'IA s'est installée dans une course. Qui est en avant, qui est en arrière, ce que cela coûte d'attendre.

Cet encadrement cause des dégâts réels dans une salle de conseil, et le mécanisme est précis.

La pression concurrentielle est la raison la plus courante pour laquelle une étape de gouvernance est supprimée. Pas la malveillance, pas l'ignorance. Un trimestre est serré, un concurrent a annoncé quelque chose, et l'étape d'examen est la seule chose du plan qui peut être comprimée sans manquer la date.

Les contrôles supprimés ne reviennent presque jamais. Personne ne programme la réunion pour réinstaurer une étape sans laquelle rien n'a visiblement mal tourné. 🔥

Le vrai travail du conseil dans une course n'est pas de fixer le rythme. C'est d'être l'organisme qui remarque les contrôles qui ont été abandonnés pour l'atteindre, et de demander explicitement cette liste, car elle ne sera pas fournie volontairement.

🔍 La question que personne ne pose : comment le saurions-nous ?

La plupart des conseils peuvent obtenir un oui à « avons-nous une gouvernance de l'IA ». Cette réponse est pratiquement sans valeur.

La question qui a du poids est : comment détecterions-nous une défaillance ?

Voici pourquoi cela importe plus pour l'IA que pour n'importe quoi d'autre que le conseil supervise.

Les défaillances financières sont bruyantes. Une réconciliation s'interrompt, un covenant se déclenche, un auditeur soulève un point. Les défaillances opérationnelles sont bruyantes. Un système tombe en panne, les clients se plaignent, une ligne s'arrête.

Les défaillances de l'IA sont silencieuses. 🔇

Un système d'extraction de documents mal lit un champ et retourne un nombre plausible. Une requête en langage naturel se joint de la mauvaise manière et retourne un chiffre dans la plage attendue. Un agent prend une action raisonnable sounding pour une mauvaise raison. Rien n'est en erreur. Rien n'alerte. Le résultat ressemble exactement à un résultat correct, car structurellement c'est un résultat correct d'un processus incorrect.

Votre machinerie de surveillance a été construite pour attraper les défaillances bruyantes. La chose dont vous êtes maintenant responsable échoue silencieusement. C'est le fossé, et il n'est pas comblé en ajoutant l'IA au registre des risques.

🧭 Quatre questions auxquelles un conseil devrait pouvoir répondre

Pas spécifiquement sur l'IA. Sur n'importe quel système dont l'organisation dépend. Si les réponses n'existent pas pour l'IA, c'est la conclusion.

1. Où se trouvent les données et qui peut forcer l'accès ? 🗺️ Pas où se trouvent les serveurs. Quelles juridictions peuvent exiger la divulgation, et ce qui empêche à la fois l'accès externe et l'utilisation abusive interne.

2. Qu'est-ce que nous pouvons révoquer aujourd'hui ? 🔌 Un fournisseur, partenaire ou service interne peut-il être coupé des données de l'entreprise cet après-midi, sans projet ? Si non, cette relation n'est pas gouvernée, elle est simplement contractée.

3. Qui exploite cela quand cela échoue en dehors des heures de bureau ? 🛠️ Et travaillent-ils pour nous. La propriété sans capacité d'exploitation est un diagramme.

4. Avons-nous testé le départ ? 🚪 Une clause de sortie que tout le monde a lue et que personne n'a exercée est un espoir. Une sortie testée est un levier, et elle change chaque conversation de renouvellement que vous aurez.

La plupart des organisations répondent à une ou deux de ces questions avec confiance. C'est la ligne de base honnête, et savoir laquelle des deux est plus précieuse qu'un score de maturité.

⏱️ Deux forces externes qui rendront cela concret

L'horloge réglementaire a maintenant une date. 📅 L'Omnibus numérique a été adopté en tant que Règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026. Il a reporté les obligations essentielles à haut risque pour les systèmes de l'annexe III au 2 décembre 2027 et de l'annexe I au 2 août 2028. Le report existe parce que les normes harmonisées n'étaient pas prêtes, pas parce que les obligations sont devenues facultatives. Ce sont des lois contraignantes avec une nouvelle date.

Les investisseurs ont commencé à la noter. 📊 ISS et Glass Lewis ont commencé à incorporer la gouvernance de l'IA dans l'évaluation des administrateurs, ce qui la porte sur le territoire de la réélection. C'est une pression différente d'un régulateur, et elle arrive plus tôt.

Séparément, et important à savoir plutôt que de paniquer : les commentaires juridiques encadrent de plus en plus la surveillance de l'IA comme relevant des obligations fiduciaires existantes plutôt que d'exiger une nouvelle loi. Aux États-Unis, la ligne de cas du devoir de surveillance est celle qui est citée. En Australie, l'ASIC a déclaré que le déploiement de l'IA sans comprendre ses risques pourrait constituer un manquement au devoir de diligence.

Nous sommes un cabinet de conseil, pas un cabinet juridique, et la plupart des matériaux disponibles sur ce sujet sont des commentaires consultatifs plutôt que des jugements définitifs. Prenez la direction au sérieux et consultez votre conseiller pour les détails.

📋 Ce qu'un conseil peut faire ce trimestre

Quatre choses, dont aucune ne nécessite un programme.

Demandez l'inventaire de l'IA. Où elle est utilisée, ce qu'elle décide ou influence, qui possède chacune par nom. La plupart des organisations n'ont jamais produit cela et l'exercice seul révèle des choses dont aucun administrateur ne savait l'existence.

Demandez quels contrôles ont été supprimés pour respecter une date. Formulez-le exactement de cette façon. La liste existe, elle n'est simplement jamais fournie volontairement.

Demandez comment une défaillance silencieuse serait détectée. Si la réponse décrit un tableau de bord, demandez ce que le tableau de bord afficherait si le résultat était plausible mais incorrect.

Rédigez une politique pour l'utilisation du conseil. Si 82 % des administrateurs utilisent ces outils sur les documents du conseil, y compris les paquets de pré-lecture confidentiels et les minutes de brouillon, l'organisme directeur a sa propre exposition. Six pour cent l'ont abordée.

⚖️ Ce que nous ne prétendrions pas

Ce n'est pas un avis juridique et nous ne sommes pas qualifiés pour le donner. Le tableau juridictionnel diffère sensiblement entre le Delaware, l'Allemagne, le Royaume-Uni, l'Inde et l'Australie, et une grande partie de la rédaction actuelle est un commentaire de cabinet juridique plutôt qu'une loi décidée.

Ce que nous dirions avec confiance est plus étroit. La surveillance que vous ne pouvez pas prouver n'est pas une surveillance. Un contrôle que vous avez supprimé sous délai est une décision que le conseil aurait dû voir. Et un mode de défaillance que votre système de détection ne peut pas voir n'est pas couvert par votre registre des risques, peu importe le nombre de fois où l'IA y apparaît.

📅 Par où commencer

Avec un système, pas un cadre.

Prenez le système d'IA dont votre organisation dépend le plus, et appliquez les quatre questions à celui-ci. Où se trouvent les données, ce qui peut être révoqué, qui le répare à 02h00, si la sortie a été testée.

Cela prend un après-midi, cela produit une réponse réelle, et selon notre expérience, cela reframe une conversation de conseil qui tourne depuis un an. 🎯

Demander un examen de la gouvernance d'un système : mejuvante.ai/enquiry-1