Ce que l’OCDE a publié et pourquoi maintenant
L’OCDE a publié le guide le 19 février 2026 comme instrument interprétatif non contraignant mais faisant autorité, adopté dans le cadre des Principes directeurs pour les multinationales et des Principes IA de l’OCDE. La publication est notable pour deux raisons. D’abord, son soutien politique est inhabituellement large : tous les membres de l’OCDE, plus 17 gouvernements partenaires et l’UE, ont signé. Ensuite, elle arrive au moment où l’AI Act européen entre en application, où les États-Unis ajustent leur posture fédérale, et où de nombreux pays rédigent des lois IA qui ont besoin d’un vocabulaire opérationnel commun.
Le guide vise les multinationales tous secteurs confondus, qu’elles fournissent des intrants, développent des modèles, intègrent l’IA dans des produits et services, ou utilisent l’IA en interne. Cette portée large est délibérée. L’OCDE n’invente pas un nouveau régime de conformité. Elle rend la gestion du risque IA lisible dans le cadre de RBC déjà utilisé par les entreprises pour la due diligence droits humains, environnement et gouvernance.
Le cadre en six étapes, en langage clair
Au cœur du guide se trouve le cadre RBC de due diligence, adapté à l’IA. Les six étapes : intégrer la conduite responsable dans les politiques et systèmes de gestion ; identifier et évaluer les impacts négatifs réels et potentiels dans les opérations, produits et chaînes de valeur ; faire cesser, prévenir et atténuer les impacts négatifs ; suivre la mise en œuvre et les résultats ; communiquer la manière dont les impacts sont traités ; prévoir ou coopérer à la remédiation lorsque des impacts se sont produits.
L’OCDE est explicite : ces étapes ne sont pas une checklist séquentielle. Elles forment un cycle continu de gestion du risque, avec des exemples pratiques d’implémentation pour chaque étape. Beaucoup de ces exemples s’inspirent de cadres existants comme NIST AI RMF et ISO/IEC 42001, et de consultations avec des experts d’industries déjà exposées comme l’embauche, le crédit ou la modération de contenu.
Pourquoi un cadre de due diligence voyage plus loin que des principes
L’IA responsable n’a pas manqué de principes. Les Principes IA de l’OCDE de 2019, la Recommandation UNESCO sur l’éthique de l’IA de 2021 et des dizaines de chartes éthiques d’entreprise circulent depuis des années sans produire de pratique de gestion cohérente. Les principes sont faciles à signer et difficiles à opérationnaliser. La due diligence est l’inverse : procédurale, auditable, et déjà ancrée dans la manière dont les grandes organisations gouvernent les risques complexes via documentation, escalade et revue.
En ancrant la gouvernance IA dans la due diligence, l’OCDE donne aux équipes conformité, juridique et risque un workflow reconnaissable qu’elles peuvent brancher sur les systèmes existants. Elle donne aussi aux décideurs un vocabulaire qu’ils peuvent réutiliser pour rédiger règles nationales, standards d’achats publics ou attentes prudentielles. Le guide a plus de chances d’influencer les comportements précisément parce qu’il demande une discipline de gestion plutôt qu’un alignement philosophique.
Publicité
Comment il interagit avec l’AI Act et d’autres règles
Le guide ne remplace pas l’AI Act, qui classifie les systèmes IA par risque et impose des obligations contraignantes. Mais les deux instruments sont conçus pour être compatibles. L’Act exige des systèmes de gestion du risque, du suivi post-mise sur le marché et un reporting d’incidents pour l’IA à haut risque ; le cadre OCDE permet d’organiser ces activités sous une gouvernance RBC plus large couvrant aussi partenaires de chaîne et cas d’usage non capturés directement par l’Act.
Pour les entreprises opérant entre l’UE, les États-Unis et les juridictions émergentes, le guide OCDE fonctionne comme tissu conjonctif. Il permet à un seul programme interne de gouvernance IA de parler de manière crédible à plusieurs régulateurs sans programmes sur mesure pour chacun.
Une voie d’adoption pratique
Pour la plupart des organisations, le chemin réaliste se déroule en quatre phases. Commencer par un inventaire IA listant chaque système en développement ou en production, les données qu’il consomme et les décisions qu’il influence. Attribuer une responsabilité claire pour chaque système, en séparant propriétaire modèle, propriétaire métier et propriétaire risque. Mener une évaluation d’impact axée sur les populations et droits potentiellement affectés, en s’appuyant sur les exemples OCDE. Construire ensuite les routines de suivi, communication et remédiation qui rendent le processus auditable.
Les petites entreprises et les firmes de marchés émergents peuvent utiliser une version allégée. Le but n’est pas de répliquer un programme multinational, mais de bâtir les habitudes de gestion qui rendent le risque IA visible pour la direction et adressable avant que des incidents n’imposent la conversation.
Ce qu’il faudra surveiller en 2026
Deux signaux indiqueront la durabilité du cadre OCDE. D’abord, si les superviseurs nationaux et les organes d’achat reprennent son langage dans les contrats et orientations 2026-2027, surtout dans les juridictions encore en train de rédiger leurs règles IA. Ensuite, si les multinationales commencent à reporter sur la due diligence IA dans leurs publications RBC et durabilité, comme elles le font déjà pour les droits humains ou les chaînes d’approvisionnement. Si les deux signaux apparaissent, le playbook OCDE fera ce que ses principes seuls n’avaient pas réussi : changer la manière dont le risque IA est réellement géré.
Un cadre en trois piliers pour les responsables conformité et les experts risque IA
Le guide OCDE fait 70 pages et reste dense techniquement. La plupart des équipes conformité n’ont pas besoin d’implémenter chaque élément simultanément. Les trois piliers suivants représentent le chemin d’adoption minimum viable qui satisfait l’intention du cadre et positionne une organisation pour démontrer une gouvernance IA responsable auprès des régulateurs, acheteurs publics et investisseurs en 2026.
Pilier 1 : Inventaire IA et attribution des responsabilités
Commencez par un audit structuré de chaque système IA que votre organisation utilise, développe ou acquiert — y compris les outils prêts à l’emploi intégrés dans les logiciels RH, finance, juridique, service client et opérations. Pour chaque système, documentez : les décisions ou résultats qu’il influence, les données qu’il consomme, les populations qu’il affecte, et le nom du responsable métier redevable de sa gouvernance. Le guide OCDE est explicite : les lacunes de gouvernance se concentrent à la frontière entre propriétaires modèle (typiquement IT ou data science) et propriétaires métier (typiquement opérations ou commercial). Les organisations ayant réalisé cet inventaire signalent à Ropes & Gray qu’il fait apparaître 30 à 50 % de points de décision IA de plus que ce que la direction pensait exister avant l’audit. Sans l’inventaire, les deux piliers suivants n’ont pas de cible.
Pilier 2 : Évaluation d’impact centrée sur les populations affectées
L’étape deux du cadre OCDE en six étapes exige d’identifier les impacts négatifs réels et potentiels dans les opérations, produits et chaînes de valeur. En pratique, cela signifie sélectionner les cinq à dix systèmes IA à risque le plus élevé dans votre inventaire et mener des évaluations d’impact structurées qui demandent : quelles personnes sont affectées par les résultats de ce système, quels droits ou intérêts pourraient être lésés, quels biais de données ou limitations de conception pourraient produire des résultats inégaux, et quels contrôles d’atténuation sont déjà en place ? Le NIST AI Risk Management Framework et ISO/IEC 42001 proposent tous deux des modèles structurés pour cette évaluation. La revue du guide OCDE par Burges Salmon note que l’évaluation d’impact est l’étape où la plupart des adoptants précoces sous-investissent, en se concentrant sur le risque technique plutôt que sur les droits et intérêts des tiers affectés — exactement ce que les régulateurs sondera en premier lors de l’application.
Pilier 3 : Routines continues de suivi, communication et remédiation
La due diligence n’est crédible que si elle est reproductible. Bâtissez trois routines de gouvernance qui fonctionnent en continu plutôt que comme exercices ponctuels : une revue trimestrielle des systèmes IA à haut risque par rapport aux conclusions de l’évaluation d’impact du Pilier 2 ; un protocole de communication informant les parties affectées sur la manière dont les résultats IA influencent les décisions les concernant (requis pour les catégories à haut risque selon l’AI Act européen) ; et un parcours de remédiation reliant le préjudice documenté à un responsable nommé et une date limite de résolution. Le guide OCDE de février 2026, soutenu par 38 gouvernements membres de l’OCDE plus 17 partenaires, signale que ces routines seront attendues dans les questionnaires de due diligence d’achats publics et les rapports de durabilité d’ici 2027. Les organisations disposant de cycles documentés avant les délais de conformité auront des réponses fondées sur des preuves ; celles qui commencent à la demande construiront le système sous pression.
En bref : Commencez par l’inventaire IA pour rendre visible ce que votre direction ne sait pas encore. Assignez des propriétaires pour chaque système avant de lancer l’évaluation d’impact. Construisez les routines de suivi et remédiation maintenant — les acheteurs publics et partenaires multinationaux les exigeront dans les questionnaires de due diligence 2027.
La Vue d’Ensemble
Le parcours d’adoption en trois piliers — inventaire IA et attribution des responsabilités, évaluation d’impact centrée sur les populations affectées, et routines continues de suivi et de remédiation — constitue une posture de gouvernance, pas une liste de contrôle de conformité. La distinction compte parce que la due diligence de l’OCDE est conçue pour fonctionner en continu, pas pour être complétée une fois puis classée. Les organisations qui traitent l’inventaire comme un audit ponctuel et l’évaluation d’impact comme un exercice pré-lancement auront une documentation qui ne résistera pas à la première question de suivi d’un régulateur.
La guidance de février 2026, soutenue par 38 gouvernements membres de l’OCDE plus 17 partenaires et l’UE, signale que la due diligence IA se dirige vers le statut de standard de marchés publics. L’analyse de mise en œuvre de Ropes & Gray documente déjà des questionnaires de procurement et des déclarations de durabilité intégrant le langage de due diligence OCDE. Les organisations qui construiront des routines de gouvernance opérationnelles avant que ces questionnaires deviennent obligatoires auront des réponses basées sur des preuves ; celles qui démarreront à la demande construiront des systèmes sous pression d’exécution.
Pour les organisations de marchés émergents qui interagissent avec des chaînes d’approvisionnement multinationales, l’argument pratique pour une adoption précoce est compétitif plutôt que réglementaire. Une entreprise capable de démontrer un inventaire IA fonctionnel, des évaluations d’impact documentées et un registre de remédiation versionné a un avantage de crédibilité dans les conversations de procurement enterprise qui est indépendant des calendriers d’exécution domestiques. Le playbook de l’OCDE est, à ce stade, autant un signal commercial qu’un instrument de gouvernance.
Sources et lectures complémentaires
- OECD Due Diligence Guidance for Responsible AI — OCDE
- The OECD’s new responsible AI guidance: A compass for businesses — OECD.AI
- OECD Publishes Responsible AI Due Diligence Guidance for Multinational Enterprises — Ropes & Gray
- OECD publishes Due Diligence Guidance for Responsible AI — Burges Salmon
- AI Act — Commission européenne
