Pourquoi un cadre de gouvernance de l'IA de plus ?
Le paysage des cadres de gouvernance de l'IA est saturé. Le NIST AI RMF, la norme ISO/IEC 42001, les exigences du règlement européen sur l'IA (EU AI Act), les principes de l'OCDE, les orientations sectorielles des régulateurs financiers : chaque cadre apporte des repères précieux, et chacun couvre un terrain différent. Le problème, pour les praticiens de la gouvernance de l'IA en entreprise, est celui de l'intégration : comment bâtir un programme de gouvernance qui satisfait plusieurs cadres à la fois, fonctionne comme un tout cohérent plutôt que comme un ensemble d'exercices de conformité menés en parallèle, et s'adapte à mesure que le paysage réglementaire évolue ?
L'AIRA (AI Integrated Risk Architecture) a été conçue pour répondre à cette question. Elle ne remplace pas les cadres existants, elle constitue une méthodologie pour les intégrer. Une organisation qui met en place la gouvernance de l'IA au moyen de l'AIRA produit des artefacts et des mesures qui, simultanément, satisfont aux exigences de gestion des risques de la norme ISO 31000, s'alignent sur les fonctions fondamentales du NIST AI RMF et répondent aux obligations des déployeurs prévues par le règlement européen sur l'IA (EU AI Act). L'intégration est délibérée : chaque livrable de l'AIRA correspond explicitement aux exigences de chaque cadre auquel il satisfait.
Phase 1 : Évaluer
La phase Évaluer a un livrable unique et non négociable : un inventaire complet, à jour et exact des systèmes d'IA. C'est le socle sur lequel repose toute la gouvernance ultérieure, et c'est là qu'échouent la plupart des programmes de gouvernance de l'IA en entreprise. Les organisations commencent à mettre en place des mesures de gouvernance, des politiques, des questionnaires fournisseurs, des programmes de formation, avant même de comprendre ce qu'elles gouvernent. Il en résulte une gouvernance qui porte sur les systèmes d'IA dont la direction a connaissance, et non sur les systèmes d'IA que l'organisation utilise réellement.
Un inventaire complet exige une découverte active, et non une collecte passive. Des unités opérationnelles ont acquis des outils d'IA au moyen de processus d'achat de logiciels qui contournent la revue technologique centrale. Des équipes de science des données ont conçu et déployé des modèles qui ne sont enregistrés nulle part. Des systèmes tiers comportent des composants d'IA qui n'ont pas été divulgués lors de l'achat. La phase Évaluer recourt à une méthodologie de découverte structurée, associant l'analyse technologique, les entretiens avec les unités opérationnelles, la revue des contrats fournisseurs et l'analyse des systèmes financiers, afin de faire apparaître l'empreinte complète de l'IA avant que la gouvernance ne soit conçue.
Phase 2 : Mettre en œuvre
La phase Mettre en œuvre élabore des mesures de gouvernance proportionnées au profil de risque défini lors de la phase Évaluer. Le principe de proportionnalité au risque de l'AIRA est ce qui la distingue le plus des approches guidées par la seule conformité. Tous les systèmes d'IA ne nécessitent pas les mêmes mesures de gouvernance : un outil d'IA générative utilisé pour la rédaction de documents internes appelle une gouvernance différente de celle d'un modèle de notation de crédit utilisé pour l'octroi de prêts. La phase Mettre en œuvre conçoit des mesures au juste niveau de rigueur pour le risque réel de chaque système, plutôt que d'appliquer une gouvernance maximale à tout (ce qui crée une charge de conformité insoutenable) ou une gouvernance minimale à tout (ce qui crée un risque inacceptable).
Phase 3 : Examiner
La phase Examiner introduit l'exigence d'indépendance qui distingue l'AIRA des modèles de gouvernance fondés sur l'autocertification. Les mesures de gouvernance doivent être examinées par des parties qui ne les ont pas conçues, qu'il s'agisse de l'audit interne, des fonctions de gestion des risques ou de conseillers externes, au regard de critères d'efficacité définis. Ces critères sont précis : une mesure est efficace si elle fonctionne comme prévu, si elle produit la réduction de risque attendue et si elle est appliquée de manière cohérente aux systèmes d'IA qu'elle a été conçue pour gouverner. Une politique qui existe mais n'est pas appliquée n'est pas une mesure efficace, et la phase Examiner est spécifiquement conçue pour repérer cet écart.
Pour aller plus loin : ISO 42001
À lire également
- AIRA, ISO 42001 et NIST AI RMF : quel cadre de gouvernance de l'IA convient à votre organisation ?
- Mise en œuvre de la gouvernance de l'IA : une feuille de route pratique de 90 jours pour les organisations d'entreprise
- Modèle de cadre de gouvernance de l'IA : le guide de mise en œuvre complet
- Qu'est-ce que le NIST AI Risk Management Framework ? Le guide complet pour l'entreprise
Pour aller plus loin : ISO 42001