Un conseil qui met l'IA à l'ordre du jour reçoit généralement deux types de documents : un dossier épais que personne ne lit avant la réunion, ou un résumé qui en dit si peu qu'aucune décision n'en découle. Un rapport au conseil d'une page n'est pas un résumé du dossier. C'est une autre question : que doit savoir un administrateur pour pouvoir prendre ses responsabilités, et qu'est-ce qui relève du bruit.
Cette distinction n'est pas anodine. La plupart des rapports sur l'IA que nous voyons se contentent de compter des systèmes. Une page qui ne fait que compter combien d'applications d'IA existent ne dit rien au conseil sur l'endroit où se situe le risque. Le comptage est une question informatique. La gouvernance est une autre question : quelles applications touchent des décisions concernant des personnes, lesquelles ont été mises en service sans surveillance, et lesquelles relèvent d'une classe de risque qui exige une signature.
Une page qui fonctionne contient un nombre limité d'éléments, chacun avec une raison d'être inclus :
Le reste — qui a entraîné quel modèle, quel fournisseur applique quelles conditions, quelle mesure d'atténuation technique a été appliquée — relève de la couche inférieure. Cette couche existe, est tenue à jour, et peut être consultée. Mais elle n'a pas sa place sur la page que lit le conseil, car alors le conseil ne la lira pas.
La raison pour laquelle tant de démarches de gouvernance de l'IA s'enlisent n'est pas l'absence de processus. C'est qu'il existe un deuxième processus, à côté de l'existant. Un conseil dispose déjà d'un comité des risques, déjà d'un calendrier d'audit, déjà d'un format de rapport sur le risque opérationnel, sur la conformité, sur la sécurité de l'information. Qui y ajoute un processus distinct pour l'IA — avec sa propre fréquence, son propre modèle, son propre responsable — demande quelque chose qui sera le premier à être sacrifié quand l'agenda est trop chargé. Cela ne se produit pas par mauvaise volonté. Cela se produit parce qu'un deuxième processus reçoit par définition moins d'attention que le premier.
Le rapport qui est effectivement lu est celui qui s'inscrit dans le rythme existant : la même réunion, le même format, la même manière d'escalader qui existe déjà pour d'autres risques. La manière dont cette intégration se concrétise en pratique est décrite sur la page consacrée à l'intégration dans la structure de risque existante, et la façon dont les décisions sont ensuite consignées est traitée dans la page sur une liste de décisions de supervision qui s'inscrit dans le rythme existant.
Un rapport d'une page n'est utilisable que si l'inventaire qui le sous-tend est correct. C'est l'élément le plus souvent négligé : les administrateurs reçoivent une page avec une classification des risques, sans que personne n'ait vérifié si la liste sous-jacente des applications d'IA est complète. L'IA fantôme — l'usage apparu en dehors de la liste informatique — disparaît alors silencieusement du tableau, non pas parce qu'elle est sans importance, mais parce que personne ne l'a demandée. Un collaborateur qui utilise un outil d'IA non approuvé ne le signale pas spontanément s'il craint des conséquences. Il ne le signale que lorsque des questions sont posées sans conséquences.
La page, d'un côté, est donc la partie visible d'un processus qui commence par l'inventaire et qui escalade via des chemins qui existent déjà. La manière dont cette escalade fonctionne sans créer une nouvelle hiérarchie est décrite sur la page consacrée aux chemins d'escalade réellement utilisés. Et ce qui doit être suivi structurellement pour pouvoir remplir la page à chaque fois sans que cela devienne une reconstitution figure sur la page consacrée au suivi qui apporte réellement quelque chose au reporting.
Le Responsible AI Scan fournit l'inventaire, la classification et la structure de gouvernance qui s'intègrent à l'existant — y compris le format d'un rapport que le conseil lit réellement. Le scan lui-même est en cours de développement ; qui souhaite déjà en tirer parti peut s'inscrire sur la liste d'attente.
Un rapport qui indique quelle part du travail relève du risque lié à l'IA soulève naturellement une autre question : quelle part du travail lui-même peut être reprise par l'IA. C'est un autre calcul, effectué par tâche plutôt que par système, et c'est ce calcul que réalise le scan de travail de FTE TO AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.