En tant que dirigeant, vous ne vérifiez pas vous-même quel modèle d'IA produit quelle sortie. Vous posez une autre question : si cela tourne mal, puis-je montrer que nous le savions, que nous nous en sommes occupés, et que nous avons fait quelque chose. Cette question est de nature managériale, pas technique. Et la réponse que vous n'acceptez pas est une liste d'applications approuvées par l'IT. Non pas parce que cette liste serait inexacte, mais parce qu'elle est incomplète. Elle décrit ce qui a été demandé, pas ce qui est utilisé.
Le risque pour un dirigeant n'est pas qu'un collaborateur utilise une IA linguistique pour rédiger un texte. Le risque est que vous ne puissiez rien en dire au moment où cela compte : lors d'un incident, d'une question de contrôle, d'une question de responsabilité. La capacité de démonstration est alors le seul élément qui compte. Pas de savoir si vous aviez pu le savoir à l'époque, mais si vous pouvez montrer qu'il existait une structure pour le savoir. Un dirigeant qui dit « nous n'avions aucune visibilité là-dessus » se trouve dans une position différente de celui qui dit « cela relevait d'une catégorie que nous avons délibérément traitée de cette manière ». La différence entre ces deux phrases, c'est ce que ce scan permet d'obtenir.
L'objectif n'est pas d'interdire ou de ralentir chaque usage de l'IA. La majeure partie de ce que les collaborateurs ont commencé à utiliser d'eux-mêmes est fonctionnelle et apporte quelque chose. Le gain pour un dirigeant ne réside pas dans le fait de freiner cela, mais dans la capacité à faire la distinction : ceci présente un risque faible et peut continuer, ceci touche des données personnelles ou des décisions concernant des personnes et doit être traité différemment, ceci n'est pas clair et doit être examiné. Sans cette distinction, vous traitez tout de la même manière — et c'est généralement trop strict pour la majorité et trop souple pour l'exception qui compte réellement.
L'IA fantôme ne naît pas de la mauvaise volonté. Elle naît du fait qu'un collaborateur avait un problème et a trouvé un outil qui le résolvait, sans qu'il existe une procédure de demande plus rapide que l'outil lui-même. Ces outils n'apparaissent pas dans une liste d'achats. Ils n'apparaissent que lorsque quelqu'un s'en enquiert — et seulement si le fait de le signaler n'entraîne pas immédiatement une sanction. Une organisation qui souhaite voir l'IA fantôme doit d'abord faire comprendre clairement que la signaler ne présente aucun risque. C'est un choix managérial, pas technique.
Le Responsible AI Scan commence par un inventaire de ce qui est réellement utilisé, indépendamment de ce qui a un jour été approuvé. Chaque usage est ensuite classé selon le rôle — qui l'utilise, pour quoi — et selon le niveau de risque. Cette classification aboutit à un ensemble de gouvernance : une manière de traiter chaque catégorie qui s'articule avec la structure de risque déjà existante dans votre organisation, plutôt qu'un nouveau cadre qui s'y ajoute. Le contenu des règles elles-mêmes — quelles obligations s'appliquent précisément, dans quels délais — est traité ailleurs ; ce n'est pas l'objet de ce scan. Ce scan se concentre sur le mécanisme : savoir ce qui tourne, pouvoir le classer, et pouvoir démontrer que vous l'avez fait.
Avec une classification par rôle et par niveau de risque, vous pouvez présenter à un régulateur, un auditeur ou un conseil de surveillance une structure plutôt qu'une promesse. Vous pouvez indiquer quelles catégories nécessitent de l'attention et lesquelles n'en nécessitent pas. Vous pouvez en rendre compte sans devoir chaque fois expliquer à nouveau pourquoi vous ne saviez pas quelque chose. C'est une position différente de celle consistant à expliquer, de façon réactive, pourquoi un outil s'est introduit sans être remarqué.
La question du risque lié à l'IA se présente différemment selon la fonction. Ce que un CIO doit savoir sur le risque lié à l'IA porte sur les systèmes et l'infrastructure ; ce que un General Counsel doit savoir sur le risque lié à l'IA porte sur la responsabilité et la charge de la preuve ; ce que un risk manager doit savoir sur le risque lié à l'IA porte sur la manière dont le risque IA s'inscrit dans la taxonomie des risques existante. En tant que dirigeant, vous êtes concerné par ces trois aspects, mais vous n'êtes pas celui qui effectue la classification — vous êtes celui qui doit pouvoir constater qu'elle a été faite.
Le Responsible AI Scan est en cours de développement. Il n'existe actuellement aucun outil que vous puissiez lancer et qui produirait immédiatement un rapport. Toute personne intéressée peut s'inscrire sur la liste d'attente ; rien n'est proposé qui n'existe pas encore, et rien n'est promis quant à la date ou au résultat.
Avant de pouvoir établir si un usage de l'IA présente un risque, il est souvent plus utile de savoir ce que l'IA signifie pour le travail lui-même : quelle part d'une tâche peut être reprise et quelle part ne le peut pas. Cette question est proche de la question du risque, mais ne lui est pas identique — une tâche largement reprenable par l'IA n'est pas automatiquement risquée, et une tâche qui ne l'est pas n'est pas automatiquement sûre. Le scan de travail de FTE TO AI calcule, tâche par tâche, quelle part du travail peut être reprise par l'IA, offrant ainsi une base permettant de poser la question du risque avec plus de précision qu'à partir d'une simple liste d'applications approuvées.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.