Une politique IA présentée comme un document séparé, placé à côté de la politique existante, n'est en pratique pas lue. Non pas parce que les collaborateurs sont réticents, mais parce qu'un second processus placé à côté d'un processus existant perd presque toujours. Qui dispose déjà d'un cadre de risque, d'un code de conduite et d'une ligne d'escalade ne va pas consulter un système parallèle pour une technologie spécifique. La politique IA qui fonctionne est celle qui utilise visiblement le même cadre que celui que le reste de l'organisation connaît déjà.
Toute organisation d'une certaine taille dispose déjà de cadres pour le risque, les achats, la sécurité de l'information et le comportement. Une politique IA placée séparément introduit un nouveau langage, de nouveaux rôles et un nouvel endroit où chercher. C'est précisément la raison pour laquelle elle est mise de côté après son lancement. Les collaborateurs suivent le chemin de moindre résistance, et ce chemin passe par la structure qu'ils connaissent déjà. Une politique qui exige une nouvelle façon de travailler à côté de l'ancienne gagne rarement cette concurrence.
La solution n'est pas un document mieux rédigé. C'est un document qui ne revendique pas une nouvelle place, mais utilise la place existante. Un risque lié à l'IA est alors traité comme un risque, avec le même propriétaire, la même ligne d'escalade et la même forme de rapportage que tout autre risque. Qui souhaite étayer ce raisonnement le retrouve sur la page consacrée à l'intégration dans la structure de risque existante au lieu d'un nouveau cadre à côté.
Une politique IA qui fonctionne ne contient pas une énumération de ce qui est permis ou non par système. Cela change trop vite et devient obsolète en moins d'un an. Elle contient à la place un certain nombre d'éléments fixes qui ne dépendent pas du modèle ou du fournisseur utilisé :
Ces quatre éléments ne forment pas ensemble un système de gouvernance IA séparé, mais une spécification du système de risque déjà existant. C'est la différence entre une politique qui est lue et une politique qui reste dans un classeur.
Intégrer une politique n'a guère de sens si l'on ne sait pas précisément ce qui doit être intégré. La liste informatique des systèmes approuvés est insuffisante à cet égard : elle décrit ce qui a été acquis, pas ce qui est utilisé. L'IA fantôme (shadow AI), les outils que les collaborateurs ont eux-mêmes commencé à utiliser sans approbation formelle, échappe à cette liste, alors que le risque n'en est pas moindre.
La seule manière d'y voir clair est de poser la question. Et cela ne fonctionne que si le fait de poser la question n'entraîne pas de sanction. Qui associe d'emblée des sanctions à la réponse lors du premier inventaire n'obtient plus de réponse. Une politique IA qui cherche à s'intégrer dans la structure existante commence donc par un inventaire dissocié de toute évaluation, et ce n'est qu'ensuite que vient la classification selon le rôle et le niveau de risque.
Le conseil d'administration n'a pas intérêt à recevoir un épais document de politique, mais un aperçu compact des zones de risque et des mesures prises à cet égard. Cet aperçu doit avoir la même forme que les autres rapports de risque que le conseil reçoit déjà, afin qu'il ne soit pas lu comme un rapport IA distinct, mais comme faisant partie du tableau de risque habituel. La forme de ce rapport est décrite sur la page consacrée à un rapport au conseil d'administration d'une page qui s'articule avec les rapports de risque existants. Pour qui souhaite d'abord savoir ce qu'un administrateur doit connaître en général sur le risque IA avant que la politique ne soit adoptée, il existe la page consacrée à ce qu'un administrateur doit savoir sur le risque IA avant l'adoption d'une politique.
Une politique qui s'articule avec la structure existante répond à la question de savoir qui décide de quoi et comment le risque est surveillé. Elle ne répond pas à la question de savoir quelle part du travail effectif peut être reprise par l'IA et quelle part ne le peut pas. Cette question se situe au niveau des tâches, et c'est précisément l'objet du scan de travail de FTE TO AI : celui-ci calcule, tâche par tâche, quelle part du travail peut être reprise, afin que la politique et la pratique reposent sur la même image de l'organisation.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.