Le secteur des TIC occupe une position qu'aucun autre secteur n'a : ici, l'IA n'est pas seulement utilisée, elle est aussi construite, intégrée et revendue. Un développeur qui relie un modèle de langage à une application, un consultant qui intègre une fonction d'IA dans un projet client, une équipe qui affine un modèle open source — ce ne sont pas des exceptions, c'est le travail quotidien. Le rapport entre ce que l'organisation décide elle-même et ce qu'un collaborateur ou une équipe individuelle y ajoute de son propre chef est différent dans ce secteur de ce qu'il est dans une banque ou une entreprise de construction. Là où, dans d'autres secteurs, l'IA constitue un ajout aux processus existants, elle fait souvent, dans le secteur des TIC, partie intégrante du produit lui-même. Cela signifie que la gouvernance ne porte pas uniquement sur les outils internes, mais aussi sur ce qui se trouve dans les logiciels livrés à des tiers.
Dans de nombreux secteurs, c'est le département informatique qui a une vue d'ensemble de ce qui fonctionne. Dans le secteur des TIC, cette hypothèse est plus fragile qu'ailleurs, précisément parce que presque tout le monde dispose des connaissances techniques nécessaires pour demander une clé API, télécharger un modèle ou intégrer une fonction d'IA dans une base de code sans qu'une demande, une licence ou un processus d'approbation ne le précède. Un développeur qui utilise un modèle de langage pour générer du code, un architecte qui teste un agent IA dans un environnement de test, une équipe commerciale qui construit une démonstration avec un modèle externe — ces choix sont faits au niveau du projet, pas au niveau de la direction. Un inventaire qui commence par les licences achetées passe donc à côté d'une part substantielle de ce qui se passe réellement. La question n'est pas de savoir s'il existe une IA fantôme, mais de savoir sur quelle part de l'environnement de production elle repose désormais sans que personne ne l'ait consigné.
Les moyens techniques permettant de détecter l'usage de l'IA existent, mais ils ne voient souvent que ce qui passe par les réseaux d'entreprise et les appareils gérés. Dans un secteur où une grande partie du travail se déroule dans des environnements de développement propres, des comptes personnels et des projets clients disposant de leur propre infrastructure, cette vision est limitée. L'information la plus complète provient des personnes qui effectuent le travail. Cela ne fonctionne que si la question est posée sans sanction à la clé : quelqu'un qui sait qu'une réponse honnête entraîne une sanction ne répondra pas honnêtement. Comment éviter que des collaborateurs utilisent un outil que personne n'a approuvé ne commence donc pas par le contrôle, mais par une invitation à signaler ce qui se passe déjà. C'est un ordre différent de celui à quoi la plupart des organisations sont habituées, et dans le secteur des TIC, cet ordre est d'autant plus important que la méfiance entre les équipes de développement et les départements de conformité y est souvent déjà présente.
Toute utilisation de l'IA dans le secteur des TIC ne requiert pas la même attention. Un modèle qui résume la documentation interne se situe différemment d'un modèle qui participe aux décisions sur les droits d'accès ou qui fonctionne, dans le cadre d'un produit livré, chez un client. La classification par rôle et par niveau de risque n'est donc pas quelque chose qui se fait une seule fois, mais quelque chose qui doit évoluer avec ce qu'une équipe construit. Il s'agit d'une dynamique différente de celle des secteurs aux processus plus stables, comme on peut le lire dans les descriptions de la gouvernance dans les services financiers ou le secteur de l'énergie, où les applications d'IA restent généralement au sein d'une structure opérationnelle fixe. Dans le secteur des TIC, l'application change parfois plus vite que la classification ne peut suivre, ce qui signifie que la structure de gouvernance elle-même doit laisser de la place à une réévaluation, et pas seulement à une approbation ponctuelle.
Un risque qui prend une couleur particulière dans le secteur des TIC est l'utilisation d'outils d'IA gratuits ou publics pour un travail qui est en réalité confidentiel : code source, données clients, architecture interne, conditions contractuelles. Un développeur qui fait rapidement vérifier un morceau de code par un modèle public ne pense pas à ce qui advient de cette saisie. Comment éviter que des données d'entreprise se retrouvent dans une fenêtre de chat gratuite décrit ce mécanisme, et il est plus pertinent dans ce secteur que dans la plupart des autres, car les données qui fuient ne sont souvent pas seulement des données personnelles, mais aussi de la propriété intellectuelle et du code client. Une structure de gouvernance qui n'inscrit rien à ce sujet laisse le risque au collaborateur individuel, alors que l'exposition incombe à l'organisation.
Un dirigeant ou un General Counsel dans le secteur des TIC dispose souvent déjà de cadres de risque pour la sécurité de l'information, la qualité logicielle et la gestion des fournisseurs. La gouvernance de l'IA fonctionne mieux si elle s'appuie sur cette structure existante plutôt que de devenir une démarche distincte que personne ne reconnaît. Cela vaut davantage ici que dans des secteurs comme l'immobilier ou la construction, où la gouvernance de l'IA commence souvent encore sur une feuille blanche. Dans le secteur des TIC, un langage du risque est généralement déjà présent ; le travail consiste à étendre ce langage sans le remplacer.
Le Responsible AI Scan dresse un état des lieux de ce qui fonctionne en matière d'IA au sein de l'organisation, y compris ce qui est apparu en dehors de la liste officielle, et y associe une classification par rôle et par niveau de risque. Le résultat est un ensemble de règles de gouvernance qui s'appuie sur la structure existante, et non un nouveau cadre à côté. L'outil qui soutient cette démarche est encore en construction. Ceux qui souhaitent l'utiliser peuvent s'inscrire sur la liste d'attente ; rien n'est encore livré à ce stade au-delà de cette inscription.
Dès qu'il est visible quelles applications d'IA existent et à quel niveau de risque elles correspondent, la question suivante se pose naturellement : quelle part du travail encore effectué aujourd'hui par des personnes est susceptible d'être confiée à ces applications. C'est une question différente de la gouvernance, et elle trouve sa réponse dans le scan de travail de FTE TO AI, qui calcule, par tâche, quelle part du travail peut être reprise par l'IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.