Responsible AI Governance
Le scan produit un dossier : un registre des applications d'IA, une classification du rôle et du niveau de risque, un rapport d'écarts et d'obligations, et un ensemble de modèles de gouvernance avec rapport au conseil d'administration. Ce qui se passe ensuite ne relève pas de l'outil. Cela vous incombe, et il y a trois façons de le faire.
L'ordre ci-dessous est délibéré. Le faire soi-même vient en premier, non pas parce que c'est toujours le meilleur choix, mais parce que c'est la situation de départ. Tout ce que vous confiez à un partenaire, vous le confiez à un partenaire après que le dossier soit établi, pas à la place du dossier.
Ce que vous obtenez : le dossier complet issu du scan, ainsi que les modèles à compléter vous-même. Le registre, la classification et la chronologie de ce qui doit être fait maintenant et de ce qui peut attendre y figurent. Les modèles de gouvernance s'alignent sur la structure de risque existante, afin qu'aucun second processus ne se crée en parallèle du premier. Pour les connaissances sous-jacentes sur l'AI Act, le registre et la sensibilisation, il y a aiacta.eu, où cette base existe déjà.
Quand cela convient : lorsqu'il existe déjà une fonction risque ou conformité capable de traduire classifications, obligations et chronologies en politique et en attribution de responsabilités. Lorsque l'organisation est suffisamment petite ou maîtrisable pour porter elle-même le nombre d'applications et les accords qui en découlent.
Ce que vous devez pouvoir faire vous-même : compléter les modèles sans que quelqu'un doive les interpréter pour vous. Attribuer réellement l'accountability à un nom, pas à une équipe. Mettre en place et suivre le contrôle humain (human oversight), même en l'absence de pression directe d'un organe de contrôle. Qui ne dispose pas de ces capacités en interne risque de voir le dossier rester sur une étagère alors que le scan venait justement de lancer le mouvement.
Où cela ne convient pas : lorsqu'il n'existe aucune capacité pour traduire le rapport d'écarts en accords internes, ou lorsque le nombre d'applications et de services concernés est trop important pour en garder soi-même une vue d'ensemble.
Ce que vous obtenez : le même dossier, complété par un partenaire qui élabore avec vous la conception du contrôle (oversight) et l'intègre dans la structure de risque existante. Le partenaire intervient après le rapport, en dehors de l'outil. Le scan reste le dossier sur lequel se fonde cet accompagnement ; aucun processus séparé et parallèle ne vient s'y ajouter.
Quand cela convient : lorsque la classification et les obligations sont claires, mais que la conception de qui est responsable de quoi, et de la manière dont le suivi s'organise, demande plus de réflexion que ce qui est disponible en interne. Convient également lorsqu'une structure de risque existe, mais qu'il n'est pas clair comment le contrôle spécifique à l'IA s'y intègre sans double travail.
Ce que vous devez pouvoir faire vous-même : fournir et expliquer au partenaire les résultats du rapport d'écarts, et décider vous-même du contenu de la politique. Le partenaire participe à la conception, mais l'organisation reste propriétaire des choix concernant le rôle, le risque et la responsabilité.
Où cela ne convient pas : lorsqu'il y a un besoin pour quelqu'un qui reprend l'ensemble du processus de bout en bout, y compris l'exécution et le suivi. C'est la voie 3, pas celle-ci.
Ce que vous obtenez : l'ensemble du processus de gouvernance confié à un partenaire, avec le scan comme dossier établi. Le partenaire exécute ce qu'indique le rapport d'écarts, met en place le contrôle (oversight) et suit le veilleur d'horizon pour les changements. L'outil reste le point de départ et la documentation ; l'exécution se situe ailleurs.
Quand cela convient : lorsqu'il n'y a pas de capacité interne pour traduire classification, contrôle et suivi en politique courante, ou lorsque l'ampleur et la rapidité de l'utilisation de l'IA dans l'organisation dépassent ce qui peut être suivi en interne.
Ce que vous devez pouvoir faire vous-même : préciser clairement le périmètre et la mission confiée au partenaire sur la base du dossier, et continuer à suivre l'avancement. Externaliser l'exécution n'est pas externaliser la responsabilité : l'organisation reste responsable de ce qui se passe avec les applications d'IA, même lorsqu'un partenaire pilote le processus.
Où cela ne convient pas : lorsque l'idée est qu'un partenaire reprenne également la décision d'acceptation du risque. Cette décision revient à l'organisation elle-même, quelle que soit la manière dont le processus est organisé.
Dans aucune des trois voies, un acteur de ce scan lui-même n'intervient dans l'exécution. L'outil fournit le dossier ; ce qui se passe ensuite est un choix qui se fait après le rapport, et non intégré dans celui-ci. La manière exacte dont cette collecte de données, cette classification et cette structure de modèles se construisent est décrite sur comment cela fonctionne, et qui cherche davantage de contexte sur le rôle, le risque et les obligations le trouvera dans la base de connaissances.
Quelle que soit la voie qui convient, aucune des trois ne dit combien de temps cela prend ni quels rôles cela concerne. Cela ne devient concret que lorsque la gouvernance est traduite en tâches, en heures et en systèmes, et pour cela, le scan de charge de travail de FTE TO AI (ftetoai.com) constitue l'étape suivante. C'est un autre instrument pour une autre question, après celle-ci.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.