Quand l’IA commence à produire l’IA

Gouvernance IA : quand l’IA commence à produire l’IA

Anthropic vient de poser une question que beaucoup d’entreprises préféreraient encore éviter : que se passe-t-il lorsque l’intelligence artificielle ne se contente plus d’assister les équipes, mais commence à produire le code, les expérimentations et les briques techniques qui servent à développer les systèmes suivants ? La gouvernance IA ne peut plus rester déclarative lorsque les agents IA écrivent, testent, corrigent et accélèrent des processus entiers. L’enjeu n’est plus seulement d’adopter l’IA, mais de prouver qu’elle reste maîtrisée. C’est précisément là que les entreprises vont être attendues : sur la cartographie, la supervision, la traçabilité et les preuves.

Une bascule technique qui devient un problème de gouvernance

La gouvernance IA entre dans une nouvelle phase. Pendant longtemps, l’intelligence artificielle a été présentée comme un outil d’assistance : aide à la rédaction, résumé de documents, génération d’idées, support au développement informatique. Mais les agents IA déplacent le sujet. Ils ne se contentent plus de répondre ; ils exécutent, enchaînent des tâches, interagissent avec des outils et produisent des éléments directement intégrables dans l’activité opérationnelle.

Le signal publié par Anthropic est particulièrement fort. Dans son article “When AI builds itself”, l’entreprise indique qu’en mai 2026, plus de 80 % du code fusionné dans sa base de production pouvait être attribué à Claude. Anthropic précise aussi qu’au deuxième trimestre 2026, l’ingénieur type fusionnait huit fois plus de lignes de code par jour qu’en 2024, tout en reconnaissant que la ligne de code mesure davantage une accélération quantitative qu’un gain réel de productivité.

Cette nuance compte. Elle évite de transformer une donnée sérieuse en slogan. Mais elle ne réduit pas la portée du signal : l’IA commence déjà à participer à la fabrication de l’IA. Et lorsqu’une technologie intervient dans ses propres chaînes de développement, la question n’est plus seulement technique. Elle devient organisationnelle, juridique, assurantielle et stratégique.

Pourquoi la gouvernance IA déclarative ne suffit plus

Une entreprise peut très bien adopter des outils IA, rédiger une charte, former quelques équipes, publier des engagements responsables et rester incapable de répondre à des questions élémentaires.

Qui utilise quels systèmes ? Pour quelles tâches ? Avec quelles données ? Sous quelle supervision ? Avec quels droits d’accès ? Quels résultats sont vérifiés ? Quels incidents sont documentés ? Quelle part de la production opérationnelle dépend déjà d’une IA sans que la direction ne le sache clairement ?

C’est ici que la gouvernance IA déclarative atteint sa limite.

Une charte IA n’est pas une preuve. Une formation isolée n’est pas une maîtrise. Un tableau Excel d’usages n’est pas un dispositif de contrôle. Une politique interne non vérifiée n’est pas une gouvernance.

L’arrivée des agents IA modifie la nature du risque. Nous ne parlons plus seulement d’un salarié qui pose une question à un chatbot. Nous parlons de chaînes d’action où un système peut écrire du code, lancer des tests, corriger des erreurs, produire des analyses, proposer des décisions, interagir avec des outils internes et accélérer des processus entiers.

Dans ce contexte, le sujet n’est plus de savoir si l’IA est autorisée ou non. Le sujet est de savoir si l’organisation peut démontrer comment elle l’identifie, la classe, la supervise, la corrige et conserve la trace de ses usages.

Ce que disent les données

Plusieurs signaux convergent vers le même point : la gouvernance IA ne peut plus rester déclarative.

D’abord, Anthropic indique qu’en mai 2026, plus de 80 % du code fusionné dans sa base de production pouvait être attribué à Claude. L’entreprise précise également qu’au deuxième trimestre 2026, ses ingénieurs fusionnaient huit fois plus de lignes de code par jour qu’en 2024. Anthropic nuance elle-même cette donnée : la ligne de code n’est pas une mesure parfaite de la productivité réelle. Mais le signal reste majeur. L’IA ne se limite plus à assister la production. Elle participe déjà à la chaîne de production technique.

Ensuite, l’AI Act européen confirme que le niveau de risque d’un système d’IA dépend de son contexte d’usage, de son impact potentiel et de sa capacité à affecter la santé, la sécurité ou les droits fondamentaux. Autrement dit, il ne suffit pas de savoir quel outil est utilisé. Il faut comprendre où il intervient, avec quelles données, pour quelle finalité, sous quelle supervision et avec quelles traces disponibles.

Enfin, les cadres internationaux de gestion du risque IA convergent vers la même logique. Le NIST AI Risk Management Framework structure la maîtrise des risques autour de quatre fonctions : gouverner, cartographier, mesurer et gérer. L’ISO/IEC 42001 va dans le même sens en posant les bases d’un système de management de l’intelligence artificielle.

Le message est donc clair : une organisation ne sera pas jugée seulement sur ses intentions, mais sur sa capacité à produire des preuves. Registre des usages, journalisation, supervision humaine, documentation, gestion des incidents, contrôle des accès et traçabilité deviennent les nouveaux marqueurs d’une gouvernance IA crédible.

Cartographier : on ne gouverne pas ce qu’on ne voit pas

La première exigence est simple : cartographier les usages réels.

Une entreprise ne peut pas gouverner ce qu’elle ne voit pas. L’usage des IA génératives, des copilotes de code, des assistants métiers et des agents autonomes doit être inventorié. Il faut distinguer les usages faibles, sensibles et critiques.

Un outil utilisé pour reformuler un mail n’a pas le même niveau de risque qu’un outil qui génère du code, analyse des données clients, prépare une décision RH ou intervient dans une chaîne commerciale.

Cette cartographie doit aller au-delà de la question : “utilisez-vous l’IA ?”

Elle doit documenter les flux : données entrantes, outils utilisés, niveau d’autonomie, validation humaine, conservation des traces, dépendance fournisseur, capacité d’explication, exposition juridique, exposition cyber, impact sur les personnes concernées.

Le NIST AI Risk Management Framework place précisément la fonction “Map” au cœur de la gestion des risques IA : il s’agit de contextualiser les systèmes, leurs usages, leurs impacts et les risques associés avant de prétendre les maîtriser. La Commission européenne adopte une logique comparable dans l’AI Act : le niveau de risque dépend du cas d’usage, du contexte et des effets potentiels sur les personnes.

Sans cartographie, la direction pilote à l’aveugle. Et plus les agents IA gagnent en autonomie, plus cet aveuglement devient coûteux.

Former : la responsabilité humaine ne disparaît pas, elle se déplace

La deuxième exigence est la formation. Mais pas une formation cosmétique.

Former à l’IA ne peut plus signifier seulement apprendre à mieux écrire des prompts. Les collaborateurs doivent comprendre ce qu’ils peuvent déléguer, ce qu’ils doivent vérifier, ce qu’ils doivent refuser et ce qu’ils doivent signaler.

Les managers doivent savoir distinguer gain de productivité et transfert de responsabilité. Les directions doivent comprendre que l’IA ne supprime pas la responsabilité humaine : elle la déplace, la fragmente et la rend plus difficile à attribuer si rien n’a été prévu.

C’est précisément le problème des agents IA.

Quand un humain écrit une ligne de code, produit une analyse ou recommande une décision, la chaîne de responsabilité reste relativement lisible. Quand un agent génère, teste, corrige, documente et propose une solution, la question devient plus délicate : qui a validé ? Qui a compris ? Qui a accepté le risque ? Qui a conservé la preuve ? Qui pouvait intervenir ? Qui savait que le système agissait à ce niveau d’autonomie ?

L’AI Act prévoit d’ailleurs des obligations d’AI literacy, applicables depuis février 2025 selon la Commission européenne, et impose pour les systèmes à haut risque des mesures de supervision humaine adaptées au niveau d’autonomie, au contexte d’usage et aux risques. Autrement dit : la compétence humaine devient une composante de la gouvernance, pas un supplément pédagogique.

L’enjeu n’est pas de bloquer l’innovation. L’enjeu est d’éviter qu’une accélération technique devienne une zone grise juridique, organisationnelle et réputationnelle.

Auditer la gouvernance IA : passer des affirmations aux preuves

La troisième exigence est l’audit des preuves.

La gouvernance IA ne doit plus être évaluée sur ce que l’organisation affirme, mais sur ce qu’elle peut démontrer.

Existe-t-il un registre des usages ? Des règles d’accès ? Des processus de validation ? Des journaux d’activité ? Des critères de revue humaine ? Des procédures d’incident ? Une distinction claire entre assistant, copilote et agent autonome ? Une documentation des systèmes à risque ? Une politique de conservation des preuves ? Une capacité à retrouver qui a fait quoi, avec quel outil, sur quelles données et sous quelle supervision ?

C’est sur ce terrain que se joue la crédibilité des entreprises dans les prochains mois.

L’AI Act, les attentes des autorités, les exigences des clients grands comptes, les assureurs, les banques et les donneurs d’ordre convergent vers le même point : la preuve. La Commission européenne rappelle que les systèmes à haut risque doivent notamment intégrer journalisation, documentation, supervision humaine, robustesse, cybersécurité et gestion des risques. Le NIST AI RMF converge également vers cette logique d’opérationnalisation : gouverner, cartographier, mesurer, gérer.

Ce qui n’est pas documenté sera difficilement défendable. Ce qui n’est pas mesuré sera difficilement assurable. Ce qui n’est pas gouverné deviendra tôt ou tard un risque financier.

L’article d’Anthropic ne doit donc pas être lu comme une simple alerte technologique. Il doit être lu comme un signal de bascule.

L’IA n’accélère plus seulement la production de contenus. Elle accélère la production de systèmes, de code, d’expériences et de décisions préparatoires. Elle réduit le temps entre l’idée et l’exécution. Elle augmente la surface d’action de chaque collaborateur. Mais elle augmente aussi la surface de risque de chaque organisation.

Analyse stratégique : ce que cela change pour les entreprises

Pour les dirigeants, le sujet n’est plus de “faire de l’IA”. Beaucoup d’entreprises en font déjà, parfois sans le savoir précisément. Le sujet est de rendre cette IA gouvernable.

Pour les directions juridiques et conformité, le problème va être de plus en plus concret : comment démontrer qu’un usage IA a été identifié, classé, contrôlé et documenté ? Comment prouver qu’une supervision humaine réelle existait ? Comment distinguer un usage faible d’un usage sensible ? Comment traiter les agents qui agissent sur des systèmes internes ?

Pour les DSI et RSSI, la question devient également cyber. Un agent IA doté de droits excessifs peut produire, modifier ou transmettre des éléments sensibles à grande vitesse. La gouvernance des accès, des journaux, des environnements de test et des chaînes d’intégration devient donc centrale.

Pour les directions métiers, l’enjeu est plus subtil : l’IA peut accélérer la production, mais aussi masquer une perte de maîtrise. Une équipe peut produire plus vite tout en documentant moins. Elle peut livrer davantage tout en fragilisant la traçabilité. Elle peut gagner du temps à court terme et créer une dette de gouvernance à moyen terme.

C’est précisément là que Svar-IA se positionne.

Le Risk Scan permet de faire apparaître en quelques minutes les angles morts d’une organisation : usages invisibles, absence de preuve, supervision insuffisante, gouvernance trop déclarative, confusion entre charte interne et dispositif réel de contrôle.

L’Audit Svar-IA permet ensuite de passer du signal faible à la feuille de route opérationnelle : cartographie, risques, priorités, preuves disponibles, preuves manquantes et plan de correction.

Le sujet n’est pas de ralentir l’entreprise. Le sujet est de lui permettre d’accélérer sans devenir ingouvernable.

Trois scénarios pour les 6 à 18 prochains mois

Premier scénario : les entreprises continuent à traiter l’IA comme un sujet d’usage interne. Elles diffusent des chartes, organisent quelques formations, mais ne disposent pas d’une vision consolidée des usages réels. Ce scénario est confortable à court terme, mais fragile dès qu’un client, un assureur, un régulateur ou un incident exige des preuves.

Deuxième scénario : les organisations les plus matures structurent une gouvernance IA démontrable. Elles cartographient, qualifient les risques, documentent les responsabilités, forment par niveau d’exposition et mettent en place des preuves exploitables. Elles ne seront pas parfaites, mais elles auront une base défendable.

Troisième scénario : les agents IA accélèrent plus vite que les dispositifs de contrôle. Dans ce cas, l’écart entre usage réel et gouvernance déclarée deviendra le principal risque. Non pas parce que l’IA serait mauvaise par nature, mais parce que l’organisation n’aura pas su adapter ses preuves à la vitesse de ses outils.

La question structurante est donc simple : avant de craindre que l’IA construise sa successeure, chaque organisation est-elle capable de prouver qu’elle maîtrise déjà l’IA que ses équipes utilisent aujourd’hui ?

Conclusion

La gouvernance IA entre dans une phase de vérité.

Tant que l’IA restait un outil d’assistance ponctuelle, les chartes et les formations générales pouvaient donner l’impression d’un premier niveau de maîtrise. Mais lorsque l’IA écrit du code, exécute des tâches, interagit avec des systèmes internes et commence à participer à la production de ses propres briques techniques, cette approche devient insuffisante.

L’entreprise n’a plus seulement besoin de dire qu’elle est responsable. Elle doit pouvoir le démontrer.

Cartographier, former, auditer : ces trois exigences ne sont pas des freins à l’innovation. Elles sont les conditions minimales pour que l’innovation reste gouvernable.

La différence entre utiliser l’IA et gouverner l’IA tient désormais en un mot : la preuve.

Sources & références

Institutions publiques

• Commission européenne — AI Act, approche par les risques et obligations des systèmes à haut risque
• Commission européenne — Consultation ciblée sur les lignes directrices de classification des systèmes d’IA à haut risque, 19 mai 2026
• EUR-Lex — Règlement (UE) 2024/1689 sur l’intelligence artificielle

Normes / régulateurs / cadres de gestion du risque

• NIST — AI Risk Management Framework
• NIST AI RMF Core — Govern, Map, Measure, Manage
• NIST AI RMF Playbook
• ISO — ISO/IEC 42001:2023, AI management systems

Entreprises / recherche industrielle

• Anthropic Institute — When AI builds itself, juin 2026

Médias spécialisés

• Reuters — Anthropic says AI labs need coordinated plan to halt development if risks rise, 4 juin 2026
• Axios — Anthropic warns AI could soon help build its own successors, 4 juin 2026