En bref : les meilleurs outils de gouvernance de l'IA en 2026, selon notre note pondérée (données à novembre 2026), sont IBM watsonx.governance (4,55/5), Credo AI (4,50), ModelOp (4,05), Saidot (4,00), Holistic AI et OneTrust (3,90 chacun), ServiceNow AI Control Tower (3,65) et Truyo (3,10). Seul IBM publie ses prix. Saidot (Finlande) est le seul éditeur dont le siège est dans l'UE ; Holistic AI est britannique et les six autres sont américains. Si votre risque principal est que les collaborateurs collent des données dans ChatGPT ou Copilot, il vous faut une gouvernance des usages (par exemple Microsoft Purview) avant une plateforme de gouvernance des modèles.
La plupart des entreprises utilisent déjà plus d'IA qu'elles ne sont capables d'en recenser. Le Cost of a Data Breach Report 2025 d'IBM montre que 63 % des organisations victimes d'une violation n'avaient pas de politique de gouvernance de l'IA ou étaient encore en train de l'élaborer, que seules 34 % de celles qui en avaient une auditaient régulièrement l'usage d'IA non autorisée, et qu'une organisation sur cinq a subi une violation liée à l'IA fantôme (shadow AI). C'est ce manque que comblent les outils de gouvernance de l'IA : un inventaire unique de chaque modèle, agent et fournisseur d'IA, rattaché aux règles qui s'y appliquent, avec des preuves qu'un auditeur acceptera.
La catégorie a désormais sa propre couverture par les analystes. Gartner a publié son premier Magic Quadrant des plateformes de gouvernance de l'IA le 17 juin 2026, selon l'annonce d'IBM, et « a évalué 13 éditeurs selon leur capacité d'exécution et leur vision », selon Holistic AI. La définition de Gartner fixe le niveau d'exigence utilisé dans tout ce guide : les plateformes de gouvernance de l'IA sont conçues pour « définir, approuver et appliquer de manière centralisée des politiques d'IA responsable » (citation reprise par Airia).
Nous avons noté huit de ces plateformes avec le même cadre publié et un angle explicite pour les acheteurs européens : le calendrier de l'AI Act après l'Omnibus IA et la certification ISO/IEC 42001. Les données produit et tarifaires ont été vérifiées sur les pages officielles de chaque éditeur en novembre 2026.
Que sont les outils de gouvernance de l'IA, et quel problème résolvent-ils ?
Les outils de gouvernance de l'IA sont des plateformes qui tiennent un inventaire à jour des systèmes d'IA d'une organisation, classent chacun selon son risque, appliquent les contrôles exigés par la réglementation ou la norme concernée et conservent la preuve que ces contrôles ont été appliqués. Concrètement, ils remplacent le couple tableur-e-mails par lequel commencent la plupart des équipes conformité.
Une plateforme complète couvre quatre fonctions :
- Découverte et inventaire : repérer modèles, agents, copilotes et fonctions d'IA tierces dans les clouds, les dépôts de code et les SaaS, y compris ceux que personne n'a déclarés (shadow AI).
- Classification et évaluation des risques : déterminer si un cas d'usage est interdit, à haut risque, à risque limité ou à risque minimal au sens de l'AI Act, et conduire des analyses d'impact ou de risque.
- Contrôles et workflows : validations, points de contrôle avant déploiement, packs de politiques et tests (biais, robustesse, hallucinations) liés à chaque cas d'usage.
- Preuves et surveillance : documentation prête pour l'audit, journaux et surveillance continue après la mise en production.
Ce que ces outils ne font pas : ils ne rendent pas à eux seuls un système d'IA conforme et ne remplacent pas l'analyse juridique visant à déterminer si vous êtes fournisseur ou déployeur. Ils rendent la gouvernance reproductible et démontrable. Si vous définissez encore les politiques qu'une plateforme devrait appliquer, commencez par nos services de conseil en IA avant d'acheter un logiciel.
Gouvernance des usages de l'IA ou gouvernance des modèles : de laquelle avez-vous besoin ?
La gouvernance des usages encadre la façon dont les collaborateurs utilisent des outils comme ChatGPT, Copilot ou Gemini ; la gouvernance des modèles encadre les systèmes d'IA que votre organisation développe, achète ou déploie. Beaucoup de PME ont besoin de la première avant la seconde, et les produits diffèrent.
| Gouvernance des usages de l'IA | Gouvernance des modèles et systèmes d'IA | |
|---|---|---|
| Question principale | Quelles données les collaborateurs envoient-ils aux outils d'IA ? | Quels systèmes d'IA exploitons-nous, quel est leur risque, et pouvons-nous prouver leur maîtrise ? |
| Contrôles typiques | Prévention des fuites de données, étiquettes de confidentialité, inspection navigateur et réseau, audit des prompts | Inventaire, classification des risques, validations, tests, surveillance, preuves |
| Ancrage réglementaire | RGPD, confidentialité, maîtrise de l'IA | AI Act (articles 17 et 26), ISO/IEC 42001, NIST AI RMF |
| Exemples d'outils | Microsoft Purview, couches de sécurité à l'exécution comme Airia | Les huit plateformes notées ci-dessous |
Microsoft indique que Purview peut auditer les prompts et réponses de Copilot, leur appliquer étiquettes de confidentialité et prévention des fuites de données, et empêcher de coller des données sensibles dans des sites d'IA générative tiers comme ChatGPT depuis des postes Windows intégrés. Cela couvre les usages, pas un registre des systèmes d'IA à haut risque. La plupart des ETI finissent par avoir besoin des deux couches.
Comment nous avons noté les meilleures plateformes de gouvernance de l'IA : notre cadre d'évaluation
Chaque plateforme a été notée de 1 à 5 sur six critères. La note pondérée (maximum 5,00) détermine le classement ; en cas d'égalité, la meilleure note en contrôles du cycle de vie départage, et nous le signalons.
| Critère | Poids | Ce que nous avons évalué |
|---|---|---|
| Couverture réglementaire | 25 % | Contenus prêts à l'emploi pour l'AI Act, ISO/IEC 42001 et le NIST AI RMF, vérifiés sur les pages de l'éditeur |
| Inventaire et découverte | 20 % | Découverte automatisée des modèles, agents et du shadow AI ; cartographie des dépendances |
| Contrôles du cycle de vie et preuves | 20 % | Évaluations, validations, tests, surveillance et preuves prêtes pour l'audit |
| Intégration et écosystème | 15 % | Connecteurs documentés vers clouds, plateformes de ML, ticketing et outils GRC |
| Transparence tarifaire | 10 % | Publication des prix ou, au minimum, du modèle tarifaire sur le site officiel |
| Adéquation UE | 10 % | 5 = siège dans l'UE ; 4 = région d'hébergement dans l'UE ou option sur site documentées sur des pages officielles ; 3 = contenu AI Act uniquement |
Quatre principes derrière ce cadre :
- La couverture réglementaire pèse le plus (25 %), car la première raison pour laquelle une entreprise européenne achète une plateforme de gouvernance en 2026 est de prouver sa conformité à l'AI Act et de préparer la certification ISO/IEC 42001.
- Nous ne notons que ce qui est documenté. Si un référentiel ou une fonctionnalité ne figure pas sur les pages officielles de l'éditeur, il ne rapporte aucun point, même si une présentation commerciale le promet.
- Nous notons la transparence tarifaire, pas le prix. Un seul des huit éditeurs publie ses tarifs ; les autres vendent sur devis, ce qui compte si vous avez besoin d'un chiffre avant de parler aux commerciaux.
- Il s'agit d'une étude documentaire, pas d'un test en laboratoire. Nous n'avons pas testé les huit produits en conditions réelles. Les notes reflètent la documentation publique ; la liste de tests de preuve de concept plus bas est donc le point de départ de votre propre évaluation.
Critère d'inclusion. Nous sommes partis des éditeurs qui ont annoncé publiquement leur positionnement dans le Magic Quadrant 2026 de Gartner, avons ajouté deux spécialistes aux contenus réglementaires solides et documentés (Credo AI, Leader de la Forrester Wave du T3 2025, et Saidot, l'option européenne), puis retenu ceux qui documentent un inventaire d'IA multiplateforme et des contenus pour au moins deux des trois référentiels principaux (AI Act, ISO/IEC 42001, NIST AI RMF). Sept autres produits examinés mais non notés figurent, avec la raison, dans « Autres options étudiées », suivis des principales options open source.
À propos des positions Gartner. Le rapport de Gartner est payant ; nous n'indiquons donc un positionnement que lorsque l'éditeur l'a lui-même annoncé, et nous lions cette annonce dans chaque section. Nous n'avons trouvé aucune annonce publique de Credo AI ni de Saidot : leur case Gartner indique donc « Non annoncé ». Les catégories restent en anglais, comme dans le rapport : Leader, Visionary (Visionnaire), Challenger et Niche Player (Acteur de niche). Le positionnement de l'analyste a orienté nos recherches, mais n'a pas fixé nos notes.
Les 8 meilleurs outils de gouvernance de l'IA en 2026, comparés et notés
IBM watsonx.governance arrive en tête avec 4,55/5 grâce aux contenus réglementaires documentés les plus larges et à la seule grille tarifaire publique ; Credo AI suit à 4,50 avec l'offre la plus solide parmi les spécialistes, et ModelOp est troisième à 4,05 pour l'automatisation du cycle de vie dans les grands portefeuilles de modèles.
Notes et positions Gartner à novembre 2026.
| # | Plateforme | Siège | Note | Idéal pour | Gartner MQ 2026 | Référentiels documentés | Prix |
|---|---|---|---|---|---|---|---|
| 1 | IBM watsonx.governance | États-Unis | 4,55 | Contenus réglementaires larges avec tarifs publics | Leader | AI Act, ISO 42001, NIST AI RMF | Public, dès 3 500 $/mois |
| 2 | Credo AI | États-Unis | 4,50 | Packs de politiques et registre d'agents dans les secteurs régulés | Non annoncé | AI Act, ISO 42001, NIST AI RMF | Sur devis |
| 3 | ModelOp | États-Unis | 4,05 | Grands portefeuilles de ML, IA générative et agents | Visionary | AI Act, ISO 42001, NIST AI RMF, SR 11-7 | Sur devis |
| 4 | Saidot | Finlande (UE) | 4,00 | Acheteurs qui veulent un éditeur européen | Non annoncé | AI Act, ISO 42001, NIST AI RMF | Sur devis |
| 5 | Holistic AI | Royaume-Uni | 3,90 | Tests, red teaming et assurance des modèles | Challenger | AI Act, ISO 42001, NIST AI RMF | Sur devis |
| 6 | OneTrust AI Governance | États-Unis | 3,90 | Entreprises déjà sur OneTrust pour la protection des données | Visionary | AI Act, ISO 42001, NIST AI RMF | Sur devis (modèle publié) |
| 7 | ServiceNow AI Control Tower | États-Unis | 3,65 | Entreprises dont la CMDB est dans ServiceNow | Leader | AI Act, NIST AI RMF (ISO 42001 en revue) | Sur devis |
| 8 | Truyo | États-Unis | 3,10 | Équipes confidentialité ayant besoin de découverte et de désidentification | Leader | AI Act, NIST AI RMF | Sur devis |
Notes par critère à novembre 2026 (Rég. = couverture réglementaire, Inv. = inventaire, Cycle = contrôles du cycle de vie, Int. = intégration, Prix = transparence tarifaire, UE = adéquation UE) :
| Plateforme | Rég. | Inv. | Cycle | Int. | Prix | UE | Pondérée |
|---|---|---|---|---|---|---|---|
| IBM watsonx.governance | 5 | 4 | 5 | 4 | 5 | 4 | 4,55 |
| Credo AI | 5 | 5 | 5 | 5 | 2 | 3 | 4,50 |
| ModelOp | 4 | 4 | 5 | 5 | 2 | 3 | 4,05 |
| Saidot | 5 | 4 | 4 | 3 | 2 | 5 | 4,00 |
| Holistic AI | 4 | 4 | 5 | 4 | 2 | 3 | 3,90 |
| OneTrust AI Governance | 4 | 4 | 4 | 4 | 3 | 4 | 3,90 |
| ServiceNow AI Control Tower | 3 | 5 | 4 | 4 | 2 | 3 | 3,65 |
| Truyo | 3 | 4 | 3 | 3 | 2 | 3 | 3,10 |
Holistic AI et OneTrust sont à égalité à 3,90 ; Holistic AI se classe cinquième grâce au départage sur les contrôles du cycle de vie (5 contre 4). L'écart entre IBM et Credo AI (0,05) tient entièrement à l'adéquation UE et aux prix : IBM documente un hébergement dans l'UE et une option sur site, et publie ses tarifs, alors que Credo AI ne documente ni l'un ni l'autre sur ses propres pages. Sans ces deux critères, Credo AI serait premier.
1. IBM watsonx.governance : la plateforme la plus complète, avec des prix publics (4,55/5)
IBM watsonx.governance est la seule plateforme de cette liste à publier ses tarifs, et elle y ajoute les contenus réglementaires documentés les plus larges. La page produit mentionne des contenus réglementaires et de risque pour l'AI Act, le NIST AI RMF et ISO 42001, ainsi qu'un graphe de gouvernance, la détection du shadow AI, une surveillance continue et l'application des politiques, avec un déploiement dans le cloud ou sur site. IBM a été nommé Leader dans le Magic Quadrant 2026 de Gartner, selon l'annonce d'IBM.
Sa note de 4 en adéquation UE repose sur deux faits documentés : la page de disponibilité régionale d'IBM cite Francfort parmi les régions de watsonx.governance, sur IBM Cloud comme sur AWS, et l'édition Advanced est vendue comme logiciel d'entreprise pour un déploiement autogéré. Gardez à l'esprit qu'un éditeur américain reste soumis au droit américain même lorsque les données sont à Francfort.
Tarifs vérifiés en novembre 2026 sur la page officielle des prix : essai gratuit de 14 jours dans un environnement partagé ; Model Management sur IBM Cloud, en paiement à l'usage après 30 jours d'essai, avec un prix d'entrée dont IBM ne publie pas l'unité de facturation ; Risk & Compliance Basic sur IBM Cloud à partir de 3 500 $ par mois (une instance, un module, un utilisateur simultané ; avec options, jusqu'à 25 utilisateurs simultanés au maximum) ; Risk & Compliance Advanced, vendu comme logiciel d'entreprise, à partir de 6 450 $ par mois (jusqu'à 200 utilisateurs simultanés) ; et une offre AWS Marketplace « à partir de 42 000 $ » avec une instance, cinq cas d'usage d'IA, 12 000 évaluations et 25 utilisateurs simultanés (la page n'indique pas la durée du contrat). Le logiciel autogéré est facturé au nombre de cœurs de processeur virtuels. IBM précise que les prix sont indicatifs et varient selon les pays.
Point faible : la tarification par utilisateur simultané grimpe vite si de nombreux responsables métier doivent remplir des évaluations ; chiffrez les options avant la fin du pilote.
2. Credo AI : le spécialiste des packs de politiques pour les entreprises régulées (4,50/5)
Credo AI est la plateforme spécialisée la plus solide ; elle ne manque la première place que sur la transparence tarifaire et l'adéquation UE. Son site documente un registre d'agents avec fiches d'agent, la détection du shadow AI, la classification des risques, la cartographie des dépendances, une bibliothèque de risques et de contrôles pensée pour les risques agentiques tels que le mauvais usage d'outils ou la dérive de périmètre, et des packs de politiques prêts à déployer pour l'AI Act, le NIST AI RMF et ISO 42001. Les intégrations natives incluent Snowflake, Databricks, AWS, Azure, ServiceNow, Jira, Confluence, Slack, GitHub et MLflow.
Credo AI a été nommé Leader dans The Forrester Wave: AI Governance Solutions, Q3 2025, avec la note maximale sur 12 critères, dont la gestion des politiques d'IA et l'audit de conformité réglementaire. Nous n'avons trouvé aucune annonce publique de Credo AI sur son positionnement dans le Magic Quadrant 2026 de Gartner.
Attention : pas de tarifs publics ni d'hébergement dans l'UE documenté sur ses propres pages. Demandez les deux par écrit dès le premier échange.
3. ModelOp : l'automatisation du cycle de vie pour les grands portefeuilles d'IA (4,05/5)
ModelOp convient aux organisations qui exploitent déjà des centaines de modèles et ont besoin d'une gouvernance intégrée à la livraison plutôt qu'ajoutée par-dessus. Son site décrit un inventaire de portefeuille couvrant le ML, l'IA générative, l'IA agentique et l'IA des fournisseurs ; l'automatisation du cycle de vie de l'idée à la production ; des contrôles de gouvernance intégrés aux workflows ; et une visibilité sur les coûts, les tokens, le risque et le ROI. Il revendique une intégration avec plus de 50 technologies et la prise en charge de l'AI Act, d'ISO/IEC 42001, du NIST AI RMF et de SR 11-7, la recommandation américaine sur le risque de modèle bien connue des banques.
ModelOp a été nommé Visionary dans le Magic Quadrant 2026 de Gartner, selon son annonce de juin 2026, qui fait aussi état d'une note de 3,97/5 sur le cas d'usage gouvernance des agents, à égalité avec IBM.
La contrepartie : l'outil est conçu pour des entreprises riches en modèles ; une société avec une douzaine de cas d'usage paiera des capacités dont elle ne se servira pas.
4. Saidot : l'option européenne, pensée pour les agents (4,00/5)
Saidot est le choix des acheteurs européens qui veulent un éditeur soumis à la même réglementation qu'eux. L'entreprise est basée à Helsinki, en Finlande, selon sa page tarifs, et son site décrit un graphe de connaissances de gouvernance comptant plus de 260 risques, 620 contrôles, 110 politiques et 170 modèles d'IA tiers, avec des contenus éditorialisés pour l'AI Act, ISO/IEC 42001 et le NIST AI RMF. Il relie agents, systèmes, modèles et jeux de données dans un inventaire unique, suit les risques hérités des modèles utilisés par un agent et se connecte à Azure AI Foundry, Amazon Bedrock et d'autres plateformes via des API REST qui, selon l'éditeur, permettent de piloter 95 % de ses fonctionnalités. Il propose aussi des serveurs MCP pour connecter vos propres assistants et agents d'IA à la plateforme. Saidot indique être certifié ISO/IEC 27001:2022.
Pourquoi l'intégration reste à 3 : la couverture API et MCP est large, mais connecter Saidot à votre stack relève surtout du développement de votre côté, alors que Credo AI cite dix intégrations natives et ModelOp plus de 50. Aucun prix n'est affiché sur la page tarifs.
5. Holistic AI : tests et red teaming intégrés (3,90/5)
Holistic AI se distingue par l'assurance technique. Son site décrit une découverte couvrant cloud, code et SaaS avec plus de 20 intégrations, du red teaming contre l'injection de prompts et les jailbreaks, plus de 40 tests de biais, d'hallucination, de confidentialité et de robustesse, et des contrôles alignés sur l'AI Act, le NIST AI RMF et ISO/IEC 42001. Ses « Guardian Agents » supervisent les agents autonomes en temps réel et peuvent bloquer, rediriger ou escalader des actions.
Selon son annonce Gartner, Holistic AI a été nommé Challenger dans le Magic Quadrant 2026 et s'est classé premier dans le rapport complémentaire Critical Capabilities pour le cas d'usage risque et conformité de l'IA (3,90/5), et dans le top 3 pour la gouvernance des agents.
Le bémol : pas de tarifs publics, et la profondeur des tests ne sert à rien si votre besoin principal est un registre de politiques plutôt qu'une assurance des modèles.
6. OneTrust AI Governance : le choix naturel si vous utilisez déjà OneTrust (3,90/5)
OneTrust étend une plateforme de protection des données et de GRC que de nombreux DPO européens utilisent déjà. Sa page AI Governance décrit une découverte continue de l'IA, une évaluation homogène des risques pour l'IA interne et tierce, une classification automatisée des risques pour l'AI Act, le NIST AI RMF et ISO 42001, la surveillance des modèles et agents sur Amazon Bedrock et Microsoft Foundry, et des connecteurs pour Google Vertex, Databricks Unity Catalog, Jira et Palo Alto Networks. OneTrust a été nommé Visionary dans le Magic Quadrant 2026 de Gartner, selon cette même page.
OneTrust gagne un point de plus en transparence tarifaire, car sa page tarifs expose le modèle : utilisateurs administrateurs et inventaire d'IA, sur devis. Il obtient 4 en adéquation UE parce que sa documentation d'hébergement propose un hébergement en Allemagne et en France, entre autres.
À garder en tête : hors d'un environnement OneTrust existant, la plateforme représente un achat lourd pour un besoin limité à l'IA.
7. ServiceNow AI Control Tower : le meilleur choix si ServiceNow pilote déjà votre IT (3,65/5)
ServiceNow est l'option la plus forte en inventaire si votre CMDB s'y trouve déjà. Le 15 octobre 2026, ServiceNow, qui se présente désormais comme « the Super Intelligence Control Tower for business reinvention », a annoncé AI Passport, qui donne un « contrôle à l'exécution sur ce que les agents d'IA et les serveurs MCP sont autorisés à faire », ainsi que la détection du shadow AI, la gestion des coûts de l'IA et un coupe-circuit ; AI Passport, la détection du shadow AI et la gestion des coûts sont prévus au T4 2026. Les notes de version de juin 2026 avaient déjà ajouté des connecteurs de découverte pour Databricks, Snowflake et Hugging Face et des packs de conformité préconfigurés pour l'AI Act et les lois sur l'IA de Californie et du Colorado, tandis que les contenus ISO 42001 étaient décrits comme « currently in legal review ». ServiceNow indique sur sa page consacrée au rapport Gartner avoir été nommé Leader dans le Magic Quadrant 2026.
Point faible : les contenus réglementaires ISO 42001 n'étaient pas encore publiés au moment de ces notes, ce qui lui coûte des points selon nos pondérations.
8. Truyo : découverte et désidentification, avec une approche centrée sur la confidentialité (3,10/5)
Truyo est Leader chez Gartner mais arrive dernier ici, car notre cadre récompense d'abord les contenus réglementaires documentés. Sa page Gartner confirme le positionnement Leader, et sa page sur la gouvernance de l'IA décrit l'analyse pour découvrir les usages d'IA, un inventaire de l'IA, des évaluations par cas d'usage, la couverture de l'AI Act et du NIST AI RMF, des tests de biais et « Scramble », qui produit des jeux de données désidentifiés pour entraîner et tester des modèles. ISO/IEC 42001 n'est pas mentionnée sur ces pages.
Attention : peu de contenus documentés sur ISO 42001 et les agents. Son atout : une équipe confidentialité qui a besoin de découverte de l'IA et de désidentification des données dans un seul outil.
Gouvernance des agents : quelles plateformes couvrent les agents d'IA et les serveurs MCP ?
La gouvernance des agents est aujourd'hui le critère qui évolue le plus vite ; nous l'avons donc suivie à part plutôt que de l'intégrer aux pondérations. Dans le rapport complémentaire Critical Capabilities de Gartner, ModelOp revendique une note de 3,97/5 pour le cas d'usage gouvernance des agents d'IA, qu'il présente comme la meilleure (ex aequo), et Holistic AI indique figurer dans le top 3 pour ce cas d'usage.
| Plateforme | Gouvernance des agents documentée |
|---|---|
| IBM watsonx.governance | Contrôles spécifiques aux agents non détaillés sur la page produit consultée ; demandez une démo de l'inventaire et de la surveillance des agents |
| Credo AI | Registre d'agents avec fiches d'agent ; bibliothèque de risques pour le mauvais usage d'outils et la dérive de périmètre |
| ModelOp | 3,97/5 en AI Agent Governance dans Critical Capabilities (donnée de l'éditeur) ; IA agentique dans l'inventaire du portefeuille |
| Saidot | Agents, modèles et jeux de données dans un inventaire unique ; risques hérités des modèles sous-jacents ; serveurs MCP pour connecter vos propres assistants et agents |
| Holistic AI | « Guardian Agents » qui bloquent, redirigent ou escaladent les actions des agents ; top 3 sur le cas d'usage agents |
| OneTrust | Surveillance des modèles et agents sur Amazon Bedrock et Microsoft Foundry |
| ServiceNow | AI Passport avec contrôle à l'exécution de ce que les agents et serveurs MCP peuvent faire, coupe-circuit (plusieurs fonctions prévues au T4 2026) |
| Truyo | Aucun contrôle spécifique aux agents documenté sur les pages consultées |
Autres options étudiées : pourquoi Airia, Monitaur, Microsoft Purview et d'autres ne sont pas dans le top 8
Nous avons examiné sept autres produits et les avons laissés hors notation pour les raisons ci-dessous, pas parce qu'ils sont faibles.
| Outil | Statut | Pourquoi il n'est pas noté ici |
|---|---|---|
| Airia | Visionary chez Gartner ; premier sur le cas d'usage sécurité de l'IA de Critical Capabilities, selon Airia | Priorité à la sécurité et à l'application à l'exécution (garde-fous, contraintes d'agents, red teaming) ; une bonne couche usages et exécution, mais notre cadre pondère le registre de conformité |
| Monitaur | Visionary chez Gartner ; « Customer Favorite » de Forrester, selon Monitaur | Volontairement centré sur l'assurance et d'autres secteurs régulés ; à inclure dans la liste courte si c'est votre secteur |
| Cranium AI, Relyance AI | Options orientées sécurité (Cranium) et confidentialité (Relyance) | Non notés dans cette édition ; à examiner s'ils font déjà partie de votre stack sécurité ou confidentialité |
| SAP AI Agent Hub | Gestion des agents dans SAP | Périmètre lié aux environnements SAP ; pertinent surtout pour les entreprises centrées sur SAP |
| Microsoft Purview | Hors MQ | Gouvernance des usages et des données pour Copilot et les applications d'IA, pas un registre des systèmes d'IA à haut risque (voir la section ci-dessus) |
| Collibra AI Command Center | Hors MQ | Option issue du catalogue de données, avec un registre unifié des cas d'usage, modèles et agents et des modèles pour l'AI Act et le NIST AI RMF, selon Collibra ; idéal si vous utilisez déjà Collibra |
Options gratuites et open source. Des outils gratuits existent, mais aucun n'égale les plateformes commerciales en découverte automatisée et en connecteurs. Ce que couvre chacun :
| Outil | Licence | Ce qu'il couvre |
|---|---|---|
| VerifyWise | Code source disponible (gratuit pour un usage non commercial et le secteur public ; licence commerciale pour les entreprises) | Plateforme de gouvernance de l'IA auto-hébergée : inventaire des modèles, évaluation des risques par cas d'usage, risque fournisseurs et incidents, avec des correspondances AI Act, ISO/IEC 42001 et NIST AI RMF |
| IBM AI Fairness 360 | Apache 2.0 | Métriques d'équité et algorithmes de réduction des biais pour les données et les modèles |
| Fairlearn | Open source | Évaluation et atténuation de l'équité pour les data scientists |
| Giskard | Apache 2.0 | Tests d'agents LLM : injection de prompts, jailbreaks, hallucinations, qualité RAG, red teaming |
| MLflow Model Registry | Open source | Versions de modèles, traçabilité jusqu'à l'entraînement et alias : un inventaire technique, pas un registre de conformité |
Les bibliothèques de test produisent des preuves ; VerifyWise est ce qui se rapproche le plus d'un registre. En y ajoutant le NIST AI RMF et le texte de l'AI Act, tous deux gratuits, ainsi que l'essai de 14 jours d'IBM, une petite équipe peut constituer un premier inventaire avant de payer une licence.
Comment les outils de gouvernance de l'IA s'articulent-ils avec l'AI Act et ISO 42001 ?
Les outils de gouvernance de l'IA traduisent les obligations de l'AI Act en enregistrements suivis, et font fonctionner le système de management qu'exige ISO/IEC 42001. En termes de cadre, l'AI Act est une loi, ISO/IEC 42001 une norme volontaire et certifiable, et le NIST AI RMF un cadre de gestion des risques volontaire ; une bonne plateforme rattache un même inventaire aux trois.
Côté loi, les échéances ont bougé en 2026. La page AI Act de la Commission européenne indique qu'après l'entrée en vigueur des modifications de l'Omnibus IA le 27 juillet 2026, les règles visant les domaines à haut risque de l'annexe III s'appliquent à partir du 2 décembre 2027, et celles visant l'IA intégrée à des produits réglementés à partir du 2 août 2028. Les interdictions 1 à 8 et l'obligation de maîtrise de l'IA s'appliquent depuis le 2 février 2025, une neuvième interdiction (IA générant des contenus intimes non consentis ou des contenus pédopornographiques) entre en application en décembre 2026, et la Commission indique que les règles de transparence entrent en application en août 2026. Pour toutes les obligations par rôle, consultez notre guide de l'AI Act.
Côté norme, ISO/IEC 42001:2023 a été publiée le 18 décembre 2023 et définit les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de l'IA. Le NIST AI RMF, publié le 26 janvier 2023, est volontaire et s'articule autour de quatre fonctions : Govern, Map, Measure et Manage.
| Obligation | Source | Ce qu'une plateforme de gouvernance doit vous apporter |
|---|---|---|
| Système de gestion de la qualité pour les fournisseurs d'IA à haut risque | AI Act, article 17 | Processus documentés, gestion des risques, surveillance après commercialisation et registre des incidents |
| Contrôle humain et conservation des journaux pour les déployeurs (au moins six mois) | AI Act, article 26 | Responsables nommés par système, workflows de supervision, preuve de conservation des journaux |
| Système de management de l'IA et contrôles | ISO/IEC 42001:2023 | Registre des politiques, traitement des risques, piste d'audit interne |
| Fonctions de gestion des risques | NIST AI RMF 1.0 | Rattachement des cas d'usage à Govern, Map, Measure, Manage |
Pour la démarche de certification, voir notre guide sur la certification ISO 42001 ; pour le recoupement entre données personnelles et obligations liées à l'IA, notre guide de conformité RGPD et AI Act.
« Le report à décembre 2027 n'est pas une raison d'attendre. C'est à peu près un an pour construire l'inventaire, car une plateforme de gouvernance ne peut gouverner que les systèmes d'IA que vous avez déjà trouvés. » — Alfons Marques, fondateur de Technova Partners
Combien coûte un logiciel de gouvernance de l'IA ?
Parmi les huit plateformes étudiées, seul IBM publie ses tarifs ; la plupart des budgets partent donc d'un devis. Vérifié en novembre 2026 sur les pages officielles :
| Plateforme | Tarifs publiés |
|---|---|
| IBM watsonx.governance | Essai gratuit de 14 jours ; Model Management en paiement à l'usage (unité de facturation non publiée par IBM) ; Risk & Compliance Basic (IBM Cloud) dès 3 500 $/mois, jusqu'à 25 utilisateurs simultanés avec options ; Advanced (logiciel d'entreprise) dès 6 450 $/mois, jusqu'à 200 utilisateurs simultanés ; AWS Marketplace dès 42 000 $ (5 cas d'usage, 12 000 évaluations, 25 utilisateurs simultanés ; durée non précisée) |
| OneTrust AI Governance | Sur devis ; tarification selon les utilisateurs administrateurs et l'inventaire d'IA |
| Credo AI, ModelOp, Saidot, Holistic AI, ServiceNow, Truyo | Sur devis ; aucun prix sur le site officiel |
Trois facteurs de coût s'appliquent quel que soit l'éditeur :
- L'unité de facturation. Utilisateurs simultanés (IBM), utilisateurs administrateurs plus taille de l'inventaire (OneTrust) ou cas d'usage n'évoluent pas de la même façon. Modélisez les deux prochaines années, pas le pilote.
- La mise en œuvre. Constituer l'inventaire et adapter les packs de politiques à votre organisation demande du temps interne qu'aucun abonnement ne couvre.
- Les recoupements. Si vous disposez déjà d'une suite GRC, de protection des données, de catalogue de données ou ITSM proposant un module IA, comparez ce module avant d'acheter un outil autonome.
Comment choisir un outil de gouvernance de l'IA pour votre organisation
Partez du système que vous utilisez déjà, puis filtrez selon le référentiel que vous devez démontrer et selon que votre risque porte sur les usages ou sur les modèles eux-mêmes.
| Votre situation | À tester en premier | Pourquoi |
|---|---|---|
| Le risque principal est l'usage de ChatGPT ou Copilot avec des données de l'entreprise | Microsoft Purview ou une couche d'exécution comme Airia | La gouvernance des usages passe avant un registre des modèles |
| Vous utilisez déjà OneTrust pour la protection des données | OneTrust AI Governance | Réutilise inventaire, workflows et processus du DPO |
| Votre CMDB et vos workflows IT sont dans ServiceNow | ServiceNow AI Control Tower | L'inventaire et les responsables y existent déjà |
| Vous visez la certification ISO/IEC 42001 | IBM, Credo AI, ModelOp, Saidot, Holistic AI ou OneTrust | Contenus ISO 42001 documentés dès aujourd'hui |
| Vous développez et exploitez de nombreux modèles ou agents | ModelOp, Credo AI ou Holistic AI | Contrôles les plus poussés sur le cycle de vie, le risque des agents et les tests |
| Vous voulez un éditeur dont le siège est dans l'UE | Saidot | Basé à Helsinki (Holistic AI est au Royaume-Uni, hors UE) ; demandez à chaque éditeur où sont stockées les preuves |
| Il vous faut un chiffre avant de parler aux commerciaux | IBM watsonx.governance | La seule grille tarifaire publique |
Pour la localisation des données, demandez par écrit à chaque éditeur où sont stockés l'inventaire et les preuves. Nos services de protection des données et RGPD couvrent cette évaluation.
Que tester lors d'une preuve de concept de 30 jours
Une séquence qui fonctionne pour la plupart des ETI : constituer un premier inventaire sous tableur, classer les risques selon l'AI Act, puis tester deux plateformes en parallèle pendant 30 jours sur vos cas d'usage réels. Cinq tests départagent vite les plateformes :
- Importez votre inventaire et vérifiez combien de systèmes sont découverts automatiquement et combien doivent être saisis à la main.
- Classez un cas d'usage à haut risque de bout en bout et exportez le dossier de preuves obtenu.
- Enregistrez un agent avec ses outils ou serveurs MCP et vérifiez si les risques hérités du modèle apparaissent.
- Ouvrez la vue d'audit interne qu'un auditeur ISO 42001 demanderait, pas seulement le pack de politiques.
- Chiffrez la deuxième année avec votre nombre réel d'utilisateurs, de cas d'usage et d'évaluations.
Demandez aussi à chaque éditeur ses propres certificats, pas seulement ses modèles. Le trust center de OneTrust liste ISO/IEC 27001, 27701 et 27017 ainsi que SOC 2 Type II, et Saidot déclare ISO/IEC 27001:2022 ; aucune des pages consultées ne mentionne un certificat ISO/IEC 42001 de l'éditeur lui-même. Un éditeur qui vend la préparation à ISO 42001 sans avoir certifié son propre système de management de l'IA devrait pouvoir expliquer pourquoi.
Notre équipe données et IA mène ce processus de bout en bout, et si vos cas d'usage incluent des agents autonomes, notre comparatif des agents IA pour l'entreprise aide à dimensionner l'inventaire.
Conclusion
- IBM watsonx.governance arrive en tête de notre notation grâce à des contenus réglementaires documentés étendus, un hébergement UE documenté et la seule grille tarifaire publique.
- Credo AI est la plateforme spécialisée la plus solide, avec des packs de politiques pour l'AI Act, ISO 42001 et le NIST AI RMF, et serait premier si les prix et l'hébergement UE ne comptaient pas.
- Saidot est l'option européenne ; OneTrust et ServiceNow l'emportent quand vous utilisez déjà leurs plateformes.
- Si votre exposition tient à l'usage d'outils d'IA publics par les collaborateurs, commencez par la gouvernance des usages, comme Microsoft Purview, avant une plateforme de gouvernance des modèles.
- Les échéances haut risque de l'AI Act ont été repoussées à décembre 2027 et août 2028 : c'est du temps pour construire l'inventaire, pas pour s'en dispenser. L'obligation de maîtrise de l'IA s'applique déjà, quelle que soit la plateforme choisie.
Besoin d'aide pour choisir ou déployer une plateforme de gouvernance de l'IA ? Parlez à notre équipe données et IA ou découvrez nos services de protection des données.
À propos de l'auteur. Alfons Marques est le fondateur de Technova Partners, un cabinet qui aide les entreprises européennes à adopter les données et l'IA, y compris la préparation à l'AI Act et les programmes ISO/IEC 42001. Les notes de ce guide proviennent uniquement de la documentation publique des éditeurs, selon le cadre publié plus haut.
Foire aux questions sur les outils de gouvernance de l'IA
Quel outil de gouvernance de l'IA une entreprise européenne doit-elle choisir ?
Cela dépend davantage de votre stack que du classement. IBM watsonx.governance convient si vous avez besoin d'un chiffre budgétaire et d'un hébergement dans l'UE ; Saidot si vous voulez un éditeur dont le siège est dans l'UE ; OneTrust ou ServiceNow si vous les utilisez déjà ; Credo AI ou ModelOp pour de grands portefeuilles de modèles et d'agents.
Qu'est-ce qu'un cadre de gouvernance de l'IA ?
Un cadre de gouvernance de l'IA est l'ensemble des politiques, rôles, critères de risque et contrôles qu'une organisation utilise pour approuver et surveiller l'IA. La plupart des entreprises le bâtissent sur trois références : l'AI Act (loi), ISO/IEC 42001 (système de management certifiable) et le NIST AI RMF (Govern, Map, Measure, Manage). Une plateforme applique le cadre ; elle ne le remplace pas.
Comment mettre en place la gouvernance de l'IA dans une entreprise ?
Commencez par un inventaire de tous les systèmes et outils d'IA utilisés, puis classez chacun selon le risque AI Act, nommez un responsable et rédigez les règles de validation et de surveillance. Formez les collaborateurs à la maîtrise de l'IA, que l'AI Act exige déjà. Ensuite seulement, menez une preuve de concept de 30 jours avec deux plateformes sur vos cas d'usage réels.
Quelle est la différence entre gouvernance de l'IA et gouvernance des données ?
La gouvernance des données encadre la qualité, la propriété et l'accès aux données ; la gouvernance de l'IA encadre les systèmes d'IA qui utilisent ces données, y compris leur classe de risque, leurs validations, leurs tests et leur surveillance. Elles se recoupent sur les données d'entraînement et la confidentialité, d'où les modules de gouvernance de l'IA proposés par des éditeurs comme Collibra et OneTrust.
Quelles fonctionnalités doit offrir un outil de gouvernance de l'IA ?
Au minimum : découverte et inventaire automatisés des modèles, agents et fournisseurs d'IA ; classification des risques selon l'AI Act ; workflows d'évaluation et de validation ; contenus prêts pour ISO/IEC 42001 et le NIST AI RMF ; surveillance après mise en production ; et preuves exportables, prêtes pour l'audit. En 2026, ajoutez la gouvernance des agents et des connecteurs vers vos plateformes cloud et ML.
Qui a besoin d'une plateforme de gouvernance de l'IA ?
Toute organisation qui déploie une IA à haut risque au sens de l'AI Act, vise la certification ISO/IEC 42001 ou exploite plus de systèmes d'IA qu'un tableur ne peut en suivre de façon fiable. Les entreprises qui n'ont que quelques cas d'usage à faible risque peuvent commencer avec des documents et ajouter une plateforme quand l'inventaire ou la charge d'audit augmente.
Existe-t-il des outils de gouvernance de l'IA gratuits ou open source ?
Oui, mais aucun n'égale les plateformes commerciales en découverte et en connecteurs. VerifyWise est une plateforme de gouvernance à code source disponible avec des modèles AI Act et ISO 42001 (gratuite pour un usage non commercial) ; IBM AI Fairness 360, Fairlearn et Giskard couvrent les tests, et MLflow le registre de modèles. IBM propose aussi un essai gratuit de 14 jours.
Une plateforme de gouvernance de l'IA suffit-elle à se conformer à l'AI Act ?
Non. Elle organise et prouve la conformité : inventaire, classification des risques, contrôles et preuves. Vous devez toujours déterminer si vous êtes fournisseur ou déployeur et quelles obligations s'appliquent. Avec l'Omnibus IA, les règles haut risque de l'annexe III s'appliquent à partir du 2 décembre 2027, selon la Commission européenne.
Combien coûte une plateforme de gouvernance de l'IA ?
Seul IBM publie ses tarifs : Risk & Compliance Basic démarre à 3 500 $ par mois et Advanced à 6 450 $ par mois, vérifié en novembre 2026. Les autres plateformes étudiées, dont Credo AI, OneTrust et Holistic AI, sont vendues sur devis.
