Évaluation des risques liés à l’IA : 4 questions à se poser

4 questions à se poser pour évaluer les risques liés à l’IA

1. Qui pilote notre évaluation des risques liés à l’IA ?

Qui pilote notre évaluation des risques liés à l’IA ?

Cette question est plus importante qu’il n’y paraît. Le choix de la personne qui pilote l’évaluation reflète les priorités de votre entreprise. Ces priorités détermineront les risques éthiques et de conformité auxquels vous devrez ensuite faire face.

Si le directeur des technologies pilote l’évaluation, par exemple, cela peut traduire une priorité donnée à l’innovation et à la croissance plutôt qu’à une gestion prudente des risques de sécurité et de conformité. À l’inverse, confier cette responsabilité à la direction de la conformité peut indiquer une volonté d’avancer plus progressivement, en tenant davantage compte des risques. C’est notamment le cas dans un secteur très réglementé comme la santé.

Il n’existe pas de réponse unique. Plusieurs responsables peuvent légitimement piloter cette évaluation, notamment le responsable de la sécurité des systèmes d’information (RSSI) ou la direction de l’audit interne. Mais pour que les responsabilités soient claires, une personne doit être désignée. Son rôle et ses priorités orienteront largement la suite de la démarche, ainsi que les points auxquels vous devrez prêter attention.

2. Qui d’autre participe à notre évaluation des risques liés à l’IA ?

Les risques liés à l’IA peuvent toucher de nombreux aspects de votre activité. Une évaluation efficace exige donc un travail collectif. Il faut croiser les points de vue pour poser les bonnes questions et apporter des réponses adaptées. Quelle que soit la personne qui pilote la démarche, veillez à y associer toutes les compétences nécessaires.

Même si vous ne dirigez pas l’évaluation en tant que responsable conformité, votre participation reste essentielle. Vous apportez une connaissance indispensable des obligations en matière de protection des données personnelles, de lutte contre les discriminations, de droit de la concurrence et d’autres sujets. Dans la plupart des entreprises, le responsable de la sécurité des systèmes d’information (RSSI), la direction de l’audit interne, les ressources humaines et la direction juridique devront aussi participer, aux côtés d’autres fonctions selon les besoins.

Bien sûr, une évaluation menée à plusieurs peut prendre du temps, surtout si les objectifs, les responsabilités et les échéances ne sont pas clairement définis. Mais pour qu’elle permette de définir les mesures correctives à mettre en œuvre, elle doit réunir des compétences et des points de vue variés. Assurez-vous donc d’associer les bonnes personnes à la démarche.

3. Avons-nous recensé tous nos systèmes et agents IA ?

Avons-nous recensé tous nos systèmes et agents IA ?

Cette question touche directement aux missions des responsables conformité. Plusieurs textes et recommandations prévoient désormais que les entreprises tiennent un inventaire de leurs systèmes d’IA pour permettre à la direction de mettre en place des contrôles et une supervision adaptés.

En France, le Laboratoire d’innovation numérique de la CNIL recommande de recenser de manière exhaustive et précise les systèmes d’IA déployés dans l’organisation. Ce recensement constitue aussi un point de départ pour se conformer au règlement européen sur l’IA (AI Act). Les obligations dépendent notamment de l’usage du système, de son niveau de risque et du rôle de l’entreprise, par exemple fournisseur ou déployeur. L’identification des systèmes concernés et de leurs usages permet donc de déterminer les exigences à respecter.

Une autre question en découle : comment vous assurez-vous que cet inventaire est à jour, complet et exact ? Si vous n’en êtes pas certain, il faut en comprendre les raisons. Devez-vous mieux encadrer l’utilisation et l’acquisition d’outils d’IA ? Préciser, par exemple, qui peut souscrire une solution auprès d’un fournisseur ou quels agents IA vos collaborateurs peuvent créer eux-mêmes à l’aide d’outils de programmation assistée par l’IA ? Avez-vous besoin de meilleurs outils pour surveiller le comportement de ces systèmes ?

Sans inventaire, votre équipe de gestion des risques n’aura pas de vision complète des risques liés à l’IA.

4. Avons-nous clairement défini les responsabilités pour nos systèmes et agents IA ?

Cette question découle directement de la précédente. Une fois recensés les systèmes et agents IA utilisés dans votre entreprise, vous devez vérifier qu’une personne est clairement désignée pour répondre de leur bonne utilisation.

L’ article 26 du règlement européen sur l’IA prévoit ainsi que les entreprises qui déploient des systèmes d’IA à haut risque confient leur contrôle humain à des personnes disposant des compétences, de la formation, de l’autorité et du soutien nécessaires. Cette exigence concerne les systèmes à haut risque, pas l’ensemble des systèmes d’IA. Plus largement, définir qui supervise chaque système et qui intervient en cas de problème constitue une bonne pratique de gouvernance.

Si vous ne savez pas qui est responsable de quoi, votre évaluation des risques restera incomplète. Vous aurez du mal à déterminer qui utilise l’IA, pour quels usages et avec quels contrôles. Certains usages pourraient alors échapper à toute supervision, avec des risques que vous n’aurez pas identifiés.

Conclusion

Votre évaluation des risques liés à l’IA doit bien sûr aborder bien d’autres questions. Les quatre présentées ici portent sur un point essentiel : la répartition des rôles et des responsabilités. Qui pilote l’évaluation et qui doit y participer ? Quels systèmes d’IA votre entreprise utilise-t-elle et qui répond de leur bonne utilisation ?

Sans réponses claires, vous risquez de passer à côté de problèmes importants ou de négliger des mesures correctives nécessaires. Un risque mal maîtrisé pourrait alors se transformer en défaillance majeure. Il faudra ensuite expliquer au conseil d’administration pourquoi il n’a pas été identifié ou traité à temps.