En quelques années, l’IA est passée des expérimentations de data science aux outils métier du quotidien. Les collaborateurs utilisent des assistants IA, les développeurs livrent des fonctionnalités d’IA et les éditeurs intègrent l’IA aux logiciels que vous achetez déjà. La gouvernance peine à suivre, et les parties prenantes l’ont remarqué.
Les conseils d’administration veulent savoir où l’IA est utilisée et ce qui pourrait mal tourner. Les grands comptes ajoutent des questions sur l’IA à leurs questionnaires de sécurité. Et la réglementation arrive : l’AI Act européen, entré en vigueur en août 2024, introduit progressivement des obligations pour les fournisseurs et les déployeurs de systèmes d’IA, et sa portée dépasse les frontières de l’UE.
Deux référentiels offrent une base pratique : l’ISO/IEC 42001, la norme internationale relative aux systèmes de management de l’IA, et le NIST AI Risk Management Framework (AI RMF).
Deux référentiels complémentaires
L’ISO/IEC 42001, publiée en décembre 2023, spécifie les exigences applicables à un système de management de l’IA. Elle suit la même structure de haut niveau que l’ISO/IEC 27001 (contexte, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances et amélioration) et elle est certifiable.
Le NIST AI RMF, publié en janvier 2023, est d’application volontaire et s’organise autour de quatre fonctions : Govern, Map, Measure et Manage. Il est particulièrement utile pour structurer l’identification et l’évaluation des risques propres à chaque système d’IA. Un profil complémentaire consacré à l’IA générative (NIST AI 600-1) traite des risques spécifiques aux modèles génératifs.
En pratique, l’ISO/IEC 42001 fournit le système de management, et le NIST AI RMF un guide détaillé pour les activités de gestion des risques qui s’y inscrivent.
Cinq étapes vers un programme opérationnel
1. Constituer un inventaire de l’IA
On ne peut pas gouverner ce que l’on ne voit pas. Recensez les systèmes d’IA que vous développez, les fonctionnalités d’IA des logiciels que vous achetez et les outils d’IA qu’utilisent vos collaborateurs. Pour chacun, consignez le responsable, la finalité, les données concernées et les personnes affectées par ses résultats.
2. Classer par niveau de risque
Tous les cas d’usage ne nécessitent pas le même niveau d’examen. Définissez des niveaux de risque en fonction de l’impact sur les personnes, de la sensibilité des données, du degré d’autonomie et de la classification réglementaire, notamment la possibilité qu’un système soit qualifié de système à haut risque au sens de l’AI Act européen.
3. Définir les rôles et les politiques
Attribuez les responsabilités : qui approuve les nouveaux cas d’usage de l’IA, qui porte le risque de modèle, qui surveille les systèmes en production. Publiez une charte d’utilisation des outils d’IA et des standards de développement des systèmes d’IA, incluant des exigences de sécurité.
4. Évaluer et traiter les risques
Pour les systèmes les plus à risque, menez des évaluations structurées couvrant la sécurité, la protection des données, l’équité, la transparence et la fiabilité. La sécurité mérite une attention particulière : des menaces comme l’injection de prompt, l’empoisonnement de données et le vol de modèles exigent des tests techniques, et pas seulement des questionnaires.
5. Surveiller et améliorer
Les systèmes d’IA dérivent, les modèles sont mis à jour et de nouveaux cas d’usage apparaissent. Définissez des indicateurs, analysez les incidents, réévaluez les systèmes après tout changement significatif et rendez compte régulièrement à la direction.
Commencer petit, mais commencer
Un programme de gouvernance de l’IA efficace n’a pas besoin d’être bureaucratique. De nombreuses organisations commencent par un inventaire, une charte d’utilisation et une évaluation des risques allégée pour les nouveaux cas d’usage, puis progressent vers un alignement sur l’ISO/IEC 42001, voire une certification.
Si vous disposez déjà d’un système de management de la sécurité de l’information ISO/IEC 27001, vous avez une longueur d’avance : une grande partie de la structure peut être étendue plutôt que reconstruite. Notre service de gouvernance de l’IA vous aide à y parvenir de manière pragmatique.