Toute application d'IA au sein d'une organisation n'exige pas la même rapidité d'action. Certaines questions demandent une attention immédiate, d'autres peuvent être intégrées dans un cycle de planification normal. Le problème est que cette classification est rarement rendue explicite. Sans classification, tout reçoit le même degré d'urgence, ou — plus souvent — aucune urgence du tout.
La question de savoir si quelque chose doit être fait maintenant ou peut attendre n'est pas une question de préférence. Elle dépend d'un ensemble de facteurs qui déterminent ensemble le poids d'une application.
Le niveau de risque de l'application constitue le premier facteur. Un système qui prend des décisions concernant des personnes — recrutement, octroi de crédit, accès à des services — pèse différemment d'un outil qui résume des textes à usage interne. Ce que signifie précisément un niveau de risque élevé pour les obligations d'une organisation, et pourquoi cela n'est pas identique pour chaque application, est décrit sur ce que signifie un niveau de risque élevé pour votre organisation.
Le rôle de l'organisation constitue le deuxième facteur. Une organisation qui développe ou adapte elle-même un système d'IA porte des responsabilités différentes de celles d'une organisation qui acquiert et utilise un système prêt à l'emploi. Ce rôle peut d'ailleurs changer sans qu'un choix conscient en soit à l'origine : quiconque affine (finetune), adapte ou utilise un modèle autrement que prévu peut ainsi passer d'utilisateur à fournisseur. La limite exacte de ce basculement est expliquée sur ce qui change si vous adaptez vous-même un modèle et sur êtes-vous fournisseur ou utilisateur, de quoi cela dépend.
Le troisième facteur est de savoir si l'application relève du champ d'application. Tout système appelé IA ne relève pas des mêmes obligations ; certaines applications sont exclues ou relèvent d'un régime plus léger. Quelles applications se situent hors du champ d'application, et pourquoi, est décrit sur quelles applications se situent hors du champ d'application.
Ces trois facteurs — niveau de risque, rôle, champ d'application — déterminent ensemble où se situe une application dans le calendrier. Une application à haut risque pour laquelle l'organisation agit en tant que fournisseur exige une rapidité différente d'une application à faible risque qui pourrait bientôt se situer hors du champ d'application.
La classification n'est pas permanente. Une application considérée aujourd'hui comme maîtrisable peut ne plus l'être demain — non pas parce que les règles changent, mais parce que l'application elle-même change. Un modèle qui est adapté, un système qui reçoit une nouvelle tâche, un outil qui passe d'un projet pilote interne à la production : chacune de ces étapes peut faire basculer le rôle ou le niveau de risque.
Les changements organisationnels jouent également un rôle. Une fusion, un nouveau fournisseur, une extension de l'usage à un autre département — tous ces événements peuvent faire passer une application auparavant classée comme « peut être planifiée » vers « doit être faite maintenant ». Le moment où un rôle change, et où se situe précisément ce basculement, est détaillé sur quand votre rôle change-t-il, de quoi cela dépend.
Cela signifie qu'une classification ponctuelle ne suffit pas. Ce qui figure aujourd'hui comme point planifié à l'agenda peut, en raison d'un changement ailleurs dans l'organisation, prendre un tout autre poids. Une réévaluation périodique fixe fait donc partie de toute classification censée rester valable — non pas comme une étape supplémentaire, mais comme condition pour maintenir la classification à jour.
Une classification claire évite deux erreurs opposées. La première consiste à traiter tout comme urgent, ce qui dilue les priorités et disperse l'attention sur des applications qui présentent peu de risque. La seconde consiste à ne rien considérer comme urgent, ce qui fait que des applications présentant un risque réel restent des années sous le radar — souvent parce que personne ne les a jamais classifiées.
La classification elle-même n'est pas un document ponctuel mais une structure qui évolue avec l'organisation. Elle fournit une vue d'ensemble de ce qui requiert une attention à court terme, de ce qui peut être intégré dans un processus habituel et — c'est essentiel — de ce qui doit être réévalué dès que la situation change. Cette distinction précise, et la question de ce dont elle dépend, est développée sur ce qui doit être fait maintenant et ce qui peut être planifié, de quoi cela dépend.
Cette classification suppose que l'on sache quelles applications existent. Dans la pratique, ce n'est pas toujours le cas. Outre les systèmes approuvés via l'informatique ou les achats, presque toutes les organisations utilisent des outils que personne n'a demandés et que personne n'a enregistrés — un assistant de feuille de calcul ici, un générateur de texte là, déployés par des personnes qui voulaient résoudre un problème sans vouloir suivre une procédure. Cette IA de l'ombre n'apparaît pas sur la liste informatique, et celui qui s'en informe sans qu'il n'y ait d'enjeu pour l'utilisateur obtient plus facilement une réponse honnête que celui qui menace immédiatement d'une sanction. Sans cet inventaire, toute classification par urgence ne porte que sur une partie de la réalité, pas sur son ensemble.
Cette page traite de la classification : ce qui pèse lourd, ce qui pèse peu, ce qui requiert une attention immédiate et ce qui peut attendre. Une autre question, complémentaire, est de savoir ce qu'une application d'IA apporte réellement au sein d'une tâche. Le scan de travail de FTE TO AI calcule, par tâche, quelle part du travail peut être reprise par l'IA, offrant ainsi une image concrète en complément de la classification de gouvernance : non seulement si une application comporte un risque, mais aussi ce qu'elle apporte au travail lui-même.
Le Responsible AI Scan est en cours de développement. Quiconque souhaite utiliser l'inventaire, la classification et l'ensemble de gouvernance dès qu'ils seront disponibles peut s'inscrire sur la liste d'attente.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.