Pourquoi les modèles de maturité comptent pour la gouvernance de l'IA

Un modèle de maturité de la gouvernance de l'IA est un cadre structuré permettant d'évaluer le degré d'avancement des pratiques de gouvernance de l'IA d'une organisation selon des dimensions clés, depuis un stade ad hoc et réactif (niveau 1) jusqu'à un stade optimisé et en amélioration continue (niveau 5). Les modèles de maturité aident les organisations à comprendre où elles en sont, à identifier des lacunes précises, à hiérarchiser leurs investissements et à se comparer à leurs pairs. Sans évaluation de la maturité, les programmes d'amélioration de la gouvernance de l'IA s'enlisent fréquemment, faute pour les organisations de disposer d'une image claire de ce à quoi ressemble le « bon » niveau à leur stade actuel.

Le modèle de maturité de la gouvernance de l'IA présenté ici s'appuie sur des cadres de maturité des capacités bien établis, adaptés aux exigences spécifiques de la gouvernance de l'IA et alignés sur les attentes réglementaires, en particulier les exigences de l'AI Act européen relatives aux systèmes d'IA à haut risque.

Niveau 1 : Ad Hoc

Au niveau 1, la gouvernance de l'IA n'existe sous aucune forme systématique. Les outils d'IA sont adoptés par des équipes ou des services individuels sans visibilité centralisée, sans approbation ni supervision. Il n'existe aucun inventaire des systèmes d'IA. Les décisions de gouvernance, concernant l'utilisation des données, le périmètre de déploiement, l'acceptation des risques, sont prises de manière informelle et incohérente. Lorsqu'un problème survient avec un système d'IA, la réponse est réactive et non coordonnée.

Caractéristiques du niveau 1 : aucune politique d'IA documentée ; aucun inventaire des systèmes d'IA ; aucune responsabilité nommément désignée pour les décisions relatives à l'IA ; aucun test de biais ; aucune surveillance systématique de la performance de l'IA ; incidents traités au cas par cas, sans apprentissage ni amélioration des processus.

La plupart des petites entreprises et de nombreuses organisations de taille moyenne se situent au niveau 1. Être au niveau 1 ne signifie pas qu'une organisation est irresponsable, cela signifie que la gouvernance de l'IA n'a pas encore été traitée de manière systématique. Le risque au niveau 1 est de ne pas savoir quels systèmes d'IA sont utilisés, ce qui signifie que les problèmes de gouvernance ne peuvent être identifiés qu'une fois devenus des incidents.

Niveau 2 : Défini

Au niveau 2, les politiques et processus de gouvernance de l'IA ont été définis, documentés et approuvés, mais leur mise en œuvre est inégale. Il existe un inventaire des systèmes d'IA, mais celui-ci peut être incomplet et non tenu à jour. Il existe une politique d'IA, mais les employés peuvent ne pas la connaître ou ne pas la suivre de manière cohérente. La responsabilité a été attribuée sur le papier, mais elle n'est pas nécessairement exercée activement.

Caractéristiques du niveau 2 : politique d'IA documentée ; inventaire des systèmes d'IA tenu à jour (bien qu'incomplet) ; responsables désignés ; un processus de test de biais appliqué à certains systèmes d'IA ; une certaine surveillance de la performance de l'IA ; un processus de signalement des incidents qui existe mais n'est pas nécessairement utilisé de manière cohérente.

De nombreuses organisations de taille moyenne ayant réalisé des investissements délibérés dans la gouvernance de l'IA se situent au niveau 2. La caractéristique déterminante du niveau 2 est l'écart entre ce que les documents de gouvernance prescrivent et ce qui se passe réellement. Cet écart constitue la cible principale de la progression du niveau 2 vers le niveau 3.

Niveau 3 : Mis en œuvre

Au niveau 3, les politiques et processus de gouvernance sont mis en œuvre de manière cohérente dans l'ensemble de l'organisation. L'inventaire des systèmes d'IA est complet et à jour. La responsabilité est réellement exercée, les responsables désignés surveillent activement la performance des systèmes et remontent les problèmes lorsque les normes ne sont pas respectées. Les tests de biais sont systématiquement appliqués avant le déploiement. Une surveillance de la performance est en place et donne lieu à des actions. Les incidents sont signalés, examinés et exploités pour améliorer les pratiques de gouvernance.

Caractéristiques du niveau 3 : inventaire des systèmes d'IA complet et à jour ; processus de gouvernance appliqués de manière cohérente ; responsabilité activement exercée ; tests de biais systématiques avant déploiement ; surveillance opérationnelle de la performance avec des seuils de réaction définis ; processus fonctionnels de signalement des incidents et d'apprentissage.

Le niveau 3 s'aligne globalement sur les exigences minimales de l'AI Act européen pour les déployeurs d'IA à haut risque. Les organisations disposant de systèmes d'IA relevant de catégories à haut risque qui ne sont pas au niveau 3 sont probablement en non-conformité avec leurs obligations réglementaires.

Niveau 4 : Mesuré

Au niveau 4, la gouvernance de l'IA est mesurée, des indicateurs quantitatifs sont définis, collectés et utilisés pour évaluer l'efficacité de la gouvernance et favoriser une amélioration continue. Le reporting au conseil d'administration sur la gouvernance de l'IA est substantiel et non de pure forme : le conseil reçoit des données pertinentes, pose des questions exigeantes et oriente activement les priorités de gouvernance. Les parties prenantes externes, régulateurs, investisseurs, clients grands comptes, sont engagées de manière proactive sur les questions de gouvernance de l'IA.

Caractéristiques du niveau 4 : indicateurs de gouvernance définis avec un reporting régulier ; implication du conseil d'administration réellement substantielle ; engagement proactif auprès des régulateurs ; audit externe ou assurance des pratiques de gouvernance de l'IA ; intégration de la gouvernance de l'IA dans la gestion des risques de l'entreprise et la planification stratégique.

C'est au niveau 4 que la gouvernance de l'IA commence à fonctionner comme un atout concurrentiel plutôt que comme une contrainte de conformité. Les organisations de niveau 4 peuvent démontrer l'efficacité de leur gouvernance aux équipes d'achats des grandes entreprises, aux autorités de supervision réglementaire et aux investisseurs institutionnels d'une manière que les organisations de niveau 2 et de niveau 3 ne peuvent pas.

Niveau 5 : Optimisé

Au niveau 5, la gouvernance de l'IA est en amélioration continue, tirant systématiquement les enseignements des incidents, des quasi-incidents, des évolutions réglementaires et des pratiques du secteur, puis intégrant ces enseignements dans les processus de gouvernance. La gouvernance de l'IA est profondément intégrée au développement produit, à la gestion des fournisseurs et à la planification stratégique. L'organisation contribue aux normes de gouvernance sectorielles et à l'élaboration de la réglementation.

Caractéristiques du niveau 5 : processus systématiques d'amélioration de la gouvernance ; gouvernance de l'IA intégrée au cycle de vie du développement produit ; participation active aux normes sectorielles et à l'élaboration de la réglementation ; pratiques de gouvernance reconnues comme des références par les régulateurs, les clients et les pairs.

Très peu d'organisations se situent réellement au niveau 5. Pour la plupart, le niveau 4 constitue l'objectif réaliste, et l'atteindre représente une réussite de gouvernance significative et importante.

Comment progresser dans les niveaux de maturité

Le passage du niveau 1 au niveau 2 est avant tout un exercice de documentation : construire l'inventaire des systèmes d'IA, rédiger et approuver la politique d'IA, attribuer les responsabilités. Cela est réalisable en un à trois mois avec un effort concentré.

Le passage du niveau 2 au niveau 3 est un exercice de mise en œuvre : s'assurer que ce qui est documenté est réellement appliqué. Cela exige généralement un effort plus soutenu, l'ancrage des processus, la formation, la surveillance, et le changement culturel nécessaire pour faire de la gouvernance une pratique opérationnelle réelle plutôt qu'un exercice sur papier.

Le passage du niveau 3 au niveau 4 nécessite une infrastructure de mesure et l'implication du conseil d'administration. Il s'agit autant d'un changement organisationnel que d'un changement de gouvernance, ce qui exige l'engagement de la direction générale et des investissements dans les capacités de reporting et d'assurance.

Le conseil pratique le plus important pour toute progression de maturité : évaluez honnêtement votre état actuel réel avant de planifier une amélioration. La plupart des organisations surestiment leur niveau de maturité. Une organisation qui dispose d'un document de politique et pense se situer au niveau 2 peut en réalité se situer au niveau 1, parce que la politique est méconnue de la plupart des employés et appliquée de manière incohérente. Partir d'une base de référence exacte a plus de valeur que partir d'une base optimiste.

Pour aller plus loin : ISO/IEC 42001

Lectures complémentaires

Pour aller plus loin : ISO 42001