Beaucoup d'initiatives de gouvernance démarrent avec un nouveau processus : un formulaire, une étape d'approbation, un comité chargé d'évaluer l'usage de l'IA avant qu'il ne débute. L'hypothèse est que les collaborateurs suivront ce processus parce qu'il existe. Dans la pratique, cela se produit rarement. Celui qui peut accomplir une tâche plus rapidement grâce à un outil qu'il a trouvé lui-même ne va pas demander l'autorisation à un comité dont il ne connaît pas l'ordre du jour et dont il ne peut estimer le délai de traitement. Il utilise l'outil et n'en parle pas.
Ce n'est pas de la mauvaise volonté. C'est une réaction rationnelle face à un processus qui se situe à côté du travail plutôt qu'à l'intérieur de celui-ci. Un second processus demande du temps, génère de l'incertitude quant au résultat, et n'offre aucun avantage visible à celui qui le suit. La probabilité qu'il soit ignoré est alors plus grande que la probabilité qu'il soit respecté.
La conséquence n'est pas qu'il n'y a pas d'usage de l'IA. La conséquence est qu'il y a un usage de l'IA hors du champ de vision du responsable. La liste informatique des outils approuvés reste alors une description de ce qui a été demandé un jour, pas de ce qui est réellement utilisé. Entre ces deux listes peut exister un écart considérable, et personne qui ne regarde que la liste approuvée ne peut voir cet écart.
Cela touche directement à la question de savoir qui est responsable en cas d'erreur d'une application d'IA. Un dirigeant qui veut pouvoir situer la responsabilité doit savoir quel système a influencé une décision. Si ce système n'a jamais été enregistré parce que la procédure d'enregistrement a été contournée, cette base fait défaut au moment où elle est nécessaire.
La méthode que nous appliquons ne débute pas par un processus d'approbation, mais par un inventaire qui interroge plutôt que de contrôler. La différence est minime dans la forme et considérable dans l'effet. Un collaborateur à qui l'on demande ce qu'il utilise et à quelles fins, sans que cela n'ait de conséquences pour lui-même, n'a aucune raison de dissimuler la réponse. Un collaborateur qui sait qu'une réponse honnête peut entraîner une interdiction ou une correction a toutes les raisons d'adapter sa réponse.
C'est un point sensible de la méthode, et nous préférons le mentionner plutôt que de le passer sous silence. Un inventaire sans sanction donne une image plus honnête qu'un audit avec conséquences, mais il n'offre aucune garantie que chaque usage sera signalé. Celui qui utilise un outil qu'il soupçonne d'être problématique peut encore choisir de se taire, même en l'absence de menace directe. L'inventaire abaisse le seuil pour signaler ; il ne le supprime pas entièrement. Ce que la méthode offre en revanche, c'est une probabilité plus élevée d'obtenir une image complète qu'un processus qui suggère déjà une sanction au départ.
Un second processus est ignoré. Un complément à un processus existant a plus de chances de perdurer. C'est pourquoi nous classons l'usage de l'IA par rôle et par niveau de risque au sein de la structure de risque qu'une organisation applique déjà, plutôt que d'en instaurer une nouvelle à côté. Ce qui est classé à haut risque se retrouve alors au même endroit que les autres risques élevés dans le registre des risques existant. Cela signifie également que la question de savoir à quelle fréquence il faut reclasser ne requiert pas un nouveau calendrier, mais s'inscrit dans le cycle existant d'évaluation des risques.
Cette articulation ne résout pas tout. Un registre d'IA établi une seule fois devient obsolète dès qu'une personne met en service un nouvel outil sans le signaler. C'est pourquoi la question de savoir comment un registre d'IA reste à jour est tout aussi importante que l'inventaire initial. Un registre qui n'est pas entretenu redevient, avec le temps, une simple description du passé.
La supervision de l'usage de l'IA est souvent présentée comme une question technique : un système qui surveille, un tableau de bord qui signale. Mais une supervision qui fonctionne commence par des personnes qui comprennent pourquoi signaler a du sens et qui savent ce qu'il advient de leur réponse. C'est une question de comportement, pas seulement de technique, et elle est liée à ce que signifie le contrôle humain dans la pratique sur le terrain, ainsi qu'à ce que représente concrètement la littératie en IA pour les collaborateurs. Sans cette compréhension, chaque processus, quelle que soit la qualité de sa conception, reste un formulaire que l'on remplit parce qu'il le faut, et non parce qu'il apporte quelque chose.
Cette approche n'offre aucune certitude absolue que toutes les applications d'IA seront identifiées. Elle abaisse le seuil pour signaler et s'articule avec les structures existantes, mais une organisation qui réalise un inventaire pour la première fois doit tenir compte du fait qu'une partie de l'usage restera invisible, même si cette part est en général plus réduite après un inventaire mené avec soin qu'avant.
Un inventaire de l'usage de l'IA montre ce qui fonctionne et qui l'utilise, mais il ne dit encore rien sur la part du travail sous-jacent qui peut réellement être reprise par l'IA. Cette question va un pas plus loin et trouve sa réponse dans le scan de travail de FTE TO AI, qui calcule, tâche par tâche, quelle part du travail peut être reprise. Celui qui sait déjà quels outils sont utilisés dans l'organisation peut, grâce à ce scan, examiner ce que cet usage implique pour l'organisation du travail lui-même.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.