SANS structure la gouvernance de la sécurité IA

Un cadre de gouvernance pour les programmes IA

SANS publie un guide consacré à la gouvernance des programmes de sécurité liés à l’intelligence artificielle. Le document s’intitule Govern Field Guide. Il a été présenté dans une édition publiée le 14 octobre 2026. Chris Cochran, Field CISO et vice-président de la sécurité IA chez SANS, l’a rédigé. Le guide doit aider les organisations à vérifier la fiabilité de leur programme de sécurité IA et à identifier les responsabilités nécessaires à son pilotage. SANS associe cette démarche à cinq étapes destinées à faire progresser le programme vers une étape 3 défendable. Cette présentation place la gouvernance au centre de l’architecture de sécurité proposée, plutôt que de la traiter comme un simple outil technique isolé. Consulter le guide Govern de SANS.

Les domaines couverts par le guide

Quatre domaines structurent le guide présenté par SANS. Le premier concerne la gestion des risques, avec l’objectif de repérer les menaces et de les intégrer dans les décisions de sécurité. Le deuxième porte sur la supervision et la responsabilité. Il s’agit de clarifier les rôles, les mécanismes de contrôle et les personnes chargées de suivre les résultats du programme. Le troisième traite la visibilité de l’IA fantôme, c’est-à-dire l’usage de systèmes ou de services d’intelligence artificielle qui échappent à l’inventaire et aux règles de l’organisation. Le quatrième concerne la préparation à la conformité. SANS relie chacun de ces domaines à une action précise pour atteindre une étape 3 défendable.

La gouvernance repose ainsi sur une combinaison de contrôles, de responsabilités et de capacités de suivi. Chris Cochran est présenté comme le responsable de la rédaction du document. Son titre de Field CISO et de vice-président de la sécurité IA situe le guide dans une fonction de sécurité spécialisée. La proposition vise les organisations qui cherchent à évaluer la fiabilité de leurs programmes et à mesurer leur niveau de préparation. Le guide ne se limite donc pas à une seule dimension réglementaire ou opérationnelle : il rassemble plusieurs responsabilités de gouvernance dans un même cadre de travail.

Une progression vers une maturité défendable

Le modèle de maturité présenté par SANS organise la progression du programme autour de plusieurs étapes. L’objectif mis en avant est d’atteindre une étape 3 défendable, qui suppose que les pratiques de sécurité, les responsabilités et les mécanismes de contrôle puissent être expliqués et vérifiés. Cette approche permet de relier la stratégie aux activités quotidiennes, notamment l’identification des risques, la supervision des usages et la préparation aux exigences de conformité.

Pour les organisations, le guide peut servir de point de départ à un état des lieux. Les équipes peuvent comparer leurs pratiques aux domaines identifiés, déterminer les lacunes prioritaires et définir les actions nécessaires pour renforcer leur programme de sécurité IA. Cette démarche donne également un cadre commun aux responsables de la sécurité, aux équipes chargées de la conformité et aux métiers qui déploient des outils d’intelligence artificielle. Accéder au guide Govern. Pour aller plus loin, consultez notre guide sur la formation IA et les obligations de l’AI Act.