L’intelligence artificielle s’est désormais imposée comme un composant à part entière des processus ITSM : routage automatisé des tickets, suggestions de priorisation, assistance aux agents, chatbots, corrélation d’événements, supervision prédictive ou encore automatisation des workflows.

Les bénéfices sont indéniables. Mais cette évolution s’accompagne également d’une nouvelle responsabilité. Avec l’entrée en vigueur du règlement européen sur l’intelligence artificielle (AI Act), la gouvernance de l’IA n’est plus uniquement une bonne pratique : elle devient une exigence réglementaire, mais aussi opérationnelle. Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Certaines dispositions sont applicables depuis 2025, tandis que son application générale est prévue à compter du 2 août 2026.

Pour les DSI, les directeurs informatiques et les responsables ITSM, le message est sans équivoque : l’intelligence artificielle ne peut plus être considérée comme une simple fonctionnalité avancée de la plateforme ITSM. Elle doit être encadrée par des processus de gouvernance, des responsabilités clairement définies, des mécanismes de contrôle, une documentation adaptée et une traçabilité complète.

Cet article examine chacune de ces dimensions.

Pourquoi le règlement européen sur l’intelligence artificielle (AI Act) concerne aussi la gouvernance ITSM

L’AI Act repose sur une approche fondée sur le niveau de risque. Le règlement distingue notamment les systèmes d’IA présentant un risque inacceptable, les systèmes à haut risque, ceux soumis à des obligations de transparence ainsi que les systèmes présentant un risque minimal ou nul.

La majorité des cas d’usage de l’IA en ITSM relèveront probablement de cette dernière catégorie, c’est-à-dire des niveaux de risque les plus faibles : chatbots, self-service, systèmes d’aide aux agents, classification automatique des tickets, routage intelligent ou assistance à la priorisation. Pour autant, cette classification ne doit jamais être considérée comme acquise.

Un chatbot qui aide les utilisateurs à rechercher des informations dans une base de connaissances présente un impact limité. En revanche, un système qui recommande la priorité d’un incident critique appelle déjà une vigilance accrue. Quant à un workflow qui automatise l’attribution d’accès à des systèmes sensibles, il nécessite une évaluation encore plus rigoureuse. Et cette logique s’applique à l’ensemble des usages.

En pratique, le principe est simple : plus l’IA intervient dans une décision automatisée susceptible d’avoir un impact significatif sur les droits d’accès, la sécurité, la continuité des opérations ou les droits des utilisateurs, plus les dispositifs de gouvernance et de contrôle doivent être robustes.

Gouvernance de l’IA et ITSM : comment classifier les cas d’usage

La première étape d’une démarche de gouvernance de l’IA consiste à établir un inventaire des cas d’usage déjà déployés ou prévus au sein de l’organisation.

Dans de nombreuses entreprises, l’IA s’introduit progressivement : d’abord sous la forme d’une fonctionnalité native de la plateforme ITSM, puis via un chatbot, un moteur de recommandations ou encore des automatisations connectées à des systèmes tiers. Cette adoption progressive est, dans la plupart des cas, la plus pertinente.

Pour chaque cas d’usage, plusieurs questions méritent d’être posées :

• Le système prend-il des décisions de manière autonome ou formule-t-il uniquement des recommandations ?
• Les résultats produits ont-ils un impact sur les utilisateurs, les droits d’accès, la sécurité ou la continuité des activités ?
• Un contrôle humain est-il prévu avant ou après l’exécution de l’action ?
• Le système traite-t-il des données personnelles ou des informations sensibles ?
• Les utilisateurs savent-ils qu’ils interagissent avec un système d’intelligence artificielle ?

Concrètement, les chatbots et assistants virtuels dédiés au self-service IT seront généralement considérés comme des systèmes à risque limité, notamment lorsqu’ils interagissent directement avec les utilisateurs. L’exigence principale porte alors sur la transparence : les utilisateurs doivent être informés qu’ils échangent avec une IA et pouvoir solliciter un interlocuteur humain lorsque cela est nécessaire.

Les systèmes d’assistance aux agents relèvent eux aussi, dans la plupart des cas, d’un niveau de risque limité ou minimal, à condition que l’agent conserve la décision finale.

En revanche, le routage intelligent des tickets et la priorisation automatique des incidents exigent un encadrement plus rigoureux, en particulier lorsqu’ils influencent le traitement d’incidents de sécurité, de pannes critiques ou de services essentiels.

Les processus d’attribution des droits d’accès assistés par IA nécessitent également une attention particulière. Si l’IA se contente de recommander le groupe d’autorisations approprié, le niveau de risque peut rester limité. En revanche, si elle approuve ou révoque automatiquement des accès à des systèmes sensibles sans supervision suffisante, le profil de risque évolue sensiblement.

Les solutions de supervision prédictive, de corrélation d’événements et de détection d’anomalies doivent elles aussi être évaluées en fonction de leur degré d’autonomie : se limitent-elles à produire des alertes et des recommandations ou déclenchent-elles automatiquement des actions correctives ?

Comme on le constate, la mise en conformité avec l’AI Act européen couvre un périmètre particulièrement vaste, complexe et en constante évolution.

Documentation et traçabilité : les fondements d’une gouvernance efficace

Un environnement ITSM mature repose déjà sur un principe essentiel : la traçabilité. Chaque ticket possède un historique, chaque incident suit une chronologie précise et chaque changement devrait être justifié, approuvé, documenté en fonction de ses impacts attendus, puis évalué une fois mis en œuvre. La gouvernance de l’IA consiste à étendre ces mêmes principes aux processus assistés par l’intelligence artificielle. C’est là l’enjeu central.

Concrètement, la documentation devrait couvrir au minimum cinq dimensions :

• La finalité du système d’IA
• Son périmètre d’utilisation
• Les données exploitées
• Les résultats ou recommandations produits
• Les éléments de traçabilité (audit trail)

La traçabilité revêt ici une importance particulière. Chaque recommandation ou décision significative produite par un système d’IA devrait laisser une empreinte exploitable : les principales données d’entrée, le résultat généré, le niveau de confiance associé, l’identité de l’agent ayant validé, modifié ou rejeté la recommandation, ainsi que l’action finalement réalisée.

L’objectif n’est pas d’alourdir les processus par une documentation excessive, mais de constituer une véritable mémoire opérationnelle. Sans mémoire, il n’y a pas d’audit ; sans audit, il ne peut y avoir de gouvernance.

Intégrer l’explicabilité dans les workflows

L’explicabilité constitue l’un des piliers de la gouvernance de l’IA dans l’ITSM. Elle ne doit pas rester un concept purement technique : elle doit s’intégrer naturellement au quotidien des agents et des responsables de processus.

En pratique, lorsqu’une IA recommande une priorité pour un ticket, l’agent doit pouvoir comprendre les raisons qui ont conduit à cette proposition : tickets similaires, actif concerné, SLA applicables, service impacté, historique des incidents ou encore indicateurs de risque.

De la même manière, lorsqu’un système d’IA intervient dans un workflow de gestion des accès, il doit être en mesure d’expliquer les fondements de sa recommandation : rôle de l’utilisateur, département, demandes comparables, politique de sécurité applicable ou éventuelles exceptions.

Une explication technique détaillée n’est pas toujours nécessaire. En revanche, une explicabilité opérationnelle est indispensable : suffisamment claire pour permettre à un professionnel compétent d’évaluer la recommandation, de la valider ou de la corriger si nécessaire.

À défaut, l’intelligence artificielle risque d’être perçue comme une « boîte noire », dont les décisions seraient acceptées sans pouvoir être remises en question. Une situation dont les risques sont évidents.

Supervision humaine et responsabilité

Cette exigence découle directement des principes précédents. La supervision humaine constitue l’un des fondements de la gouvernance de l’IA dans l’ITSM.

Pour autant, tous les processus ne nécessitent pas le même niveau de contrôle. Une simple suggestion de mise à jour d’une FAQ peut ne nécessiter qu’une validation légère. En revanche, une recommandation de priorité concernant un incident critique exige un niveau de vigilance bien supérieur. Quant aux automatisations capables de modifier des droits d’accès, des configurations ou des actifs, elles doivent impérativement être encadrées par des mécanismes de contrôle renforcés.

D’un point de vue opérationnel, il est utile de distinguer trois niveaux de supervision :

• Human-in-the-loop : l’IA formule une recommandation, mais l’action n’est exécutée qu’après validation par un opérateur humain. Cette approche est particulièrement adaptée à l’attribution des droits d’accès, aux changements à fort impact et aux incidents critiques.
• Human-on-the-loop : l’IA agit dans un cadre prédéfini, tandis que les équipes supervisent son fonctionnement, reçoivent des alertes et peuvent intervenir à tout moment. Ce modèle convient aux automatisations répétitives dont le niveau de risque reste maîtrisé.
• Human-out-of-the-loop : l’IA ou le système automatisé agit sans intervention humaine directe. Ce mode de fonctionnement devrait être réservé à des processus standardisés, réversibles, parfaitement documentés et présentant un faible niveau de risque.

Le principal danger réside dans une automatisation invisible. Tout processus automatisé doit disposer d’un responsable clairement identifié, de seuils d’escalade, de critères permettant d’interrompre son exécution ainsi que d’une procédure de retour arrière (rollback).

En d’autres termes, l’intelligence artificielle peut accélérer les processus, mais la responsabilité, elle, demeure, et doit demeurer, entre les mains des personnes qui les pilotent.

Une feuille de route concrète pour mettre en place la gouvernance de l’IA dans l’ITSM

Pour transformer la gouvernance de l’IA dans l’ITSM en démarche opérationnelle, il est recommandé d’avancer de manière progressive. Voici les sept étapes clés qui permettent de structurer cette approche :

1. Recenser les cas d’usage de l’IA, qu’ils soient déjà déployés ou en cours de projet.
2. Classer chaque cas d’usage selon son niveau de risque, en documentant les critères ayant conduit à cette évaluation.
3. Définir les rôles et les responsabilités, en désignant un responsable métier, un référent technique ainsi qu’un interlocuteur dédié aux questions de conformité et de sécurité
4. Mettre en place un socle documentaire minimal, couvrant notamment la finalité du système, les données utilisées, les résultats produits, les mécanismes de contrôle humain, la journalisation, les indicateurs de performance ainsi que les modalités de révision.
5. Intégrer l’explicabilité aux workflows, afin que les recommandations de l’IA soient compréhensibles aussi bien par les agents que par les responsables de processus.
6. Faire évoluer les politiques de gestion des changements : toute modification significative apportée à un modèle d’IA, à une règle d’automatisation ou à une intégration basée sur l’intelligence artificielle doit être considérée comme un changement nécessitant une gouvernance adaptée.
7. Former les équipes. La maîtrise des enjeux liés à l’intelligence artificielle (AI literacy) concerne l’ensemble des acteurs de l’ITSM : Service Desk, Incident Managers, Change Managers, Asset Managers, administrateurs de plateforme et responsables de processus.Créer un inventaire des cas d’usage IA déjà actifs ou planifiés.

Conclusion

L’intelligence artificielle transforme profondément l’ITSM. Elle réduit les délais de traitement, améliore la classification des demandes, assiste les agents, allège la charge du Service Desk, anticipe les anomalies et contribue à offrir une expérience utilisateur plus fluide. Mais à mesure que l’IA s’intègre davantage dans les processus métiers, elle doit également s’inscrire dans un cadre de gouvernance plus structuré.

L’AI Act européen ne doit pas être perçu comme un frein à l’innovation, mais comme un cadre permettant de rendre cette innovation plus fiable, plus pérenne et plus facilement démontrable dans la durée. Pour les DSI et les directeurs informatiques, c’est également une opportunité majeure : mettre au service de la gouvernance de l’intelligence artificielle toute la rigueur méthodologique qui fait la force de l’ITSM.

FAQ

Que prévoit la conformité à l’AI Act européen ?
Se conformer à l’AI Act européen implique de mettre en place des exigences de transparence, de documentation, de traçabilité, de supervision humaine et des mécanismes de contrôle adaptés au niveau de risque de chaque cas d’usage de l’intelligence artificielle.

Que signifie la gouvernance de l’IA dans l’ITSM ?
La gouvernance de l’IA dans l’ITSM consiste à définir les règles, les responsabilités, les mécanismes de contrôle et les processus qui encadrent l’utilisation de l’intelligence artificielle au sein des plateformes d’IT Service Management. Elle couvre notamment la classification des risques, la documentation, la traçabilité des décisions, la supervision humaine, l’explicabilité des recommandations, la sécurité des données ainsi que l’implication des équipes juridiques et de conformité.

Par où commencer pour mettre son ITSM en conformité avec l’AI Act européen ?
La première étape consiste à recenser l’ensemble des cas d’usage de l’intelligence artificielle déjà déployés ou prévus au sein de l’organisation. Il convient ensuite de les classifier selon leur niveau de risque, de désigner les responsables de chaque cas d’usage, de documenter les données exploitées et les résultats produits, d’intégrer des mécanismes de traçabilité et d’explicabilité, de mettre à jour les politiques de gestion des changements et de former les équipes aux enjeux de la gouvernance de l’IA.