Responsible AI Governance
Reconnaissez-vous ceci : quelqu'un au service financier utilise un outil d'IA pour rédiger des rapports, personne à l'IT ne sait qu'il existe, et si quelque chose va mal, on ne sait pas clairement qui en sera tenu responsable. Ou bien : l'outil qui figure sur la liste de l'IT a depuis longtemps été remplacé par quelque chose que les collaborateurs ont trouvé eux-mêmes, qui fonctionne plus vite, et qui est alimenté avec des données de l'entreprise sans que personne ne l'ait examiné. Ce n'est pas un problème d'enregistrement. C'est un problème de responsabilité qui ne devient visible qu'au moment où il est trop tard pour le régler calmement.
Cette page décrit ce qui se trouve sur la table dès que ce tableau est complet : non pas comme une promesse, mais comme une énumération d'éléments.
Le scan ne produit pas un document unique, mais une série d'éléments qui s'articulent entre eux.
Toute d'abord, un aperçu des applications, construit via un outil d'enquête qui s'adresse aux services et aux collaborateurs et qui est complété par une recherche documentaire guidée. Cet aperçu ne contient pas seulement ce que l'IT connaît, mais aussi ce qui s'est développé en dehors : les applications que personne n'a formellement approuvées, avec qui elles sont utilisées et pour quoi.
Vient ensuite, par application, une classification : quel rôle l'organisation y joue (fournisseur ou utilisateur) et quel niveau de risque s'applique. Cette classification provient des jeux de données aiacta, pas d'une estimation faite sur le moment. Sur cette base se dessine une chronologie : ce qui constitue actuellement une obligation, et ce qui peut être planifié plus tard. On voit ainsi clairement où l'urgence est de mise, et où elle ne l'est pas.
Vient ensuite un cadre de gouvernance, élaboré sous forme d'un ensemble de modèles. Ces modèles sont conçus pour s'intégrer à la structure de risque existante de l'organisation, afin qu'un second processus ne doive pas naître à côté du premier. S'y ajoute un rapport destiné au conseil d'administration, résumé sur une seule page, destiné à partager l'essentiel de la situation sans que chacun doive éplucher les documents sous-jacents.
Enfin, il y a un abonnement à un outil de veille prospective, pour suivre ce qui évolue dans le temps : nouvelles applications, nouvelle réglementation, changements de risque. Ce qui est exact au moment du scan peut être dépassé quelques mois plus tard ; l'abonnement est la réponse à cela, pas un rapport ponctuel.
La manière exacte dont ces éléments sont élaborés, de l'enquête au modèle, est détaillée sur comment cela fonctionne ; celui qui veut voir à quoi ressemblent concrètement les résultats finaux le trouvera sur résultats.
Les données proviennent de deux sources. L'aperçu des applications provient de ce que l'organisation saisit elle-même via l'outil d'enquête, complété par une recherche documentaire qui rend visible sur quoi repose cet aperçu. La classification du rôle, du risque et de l'obligation provient des jeux de données aiacta : des informations structurées sur l'AI Act, et non d'une évaluation isolée. Cela signifie que chaque résultat peut être retracé jusqu'à son origine, et que rien dans le rapport ne repose sur une estimation motivée qui ne se retrouverait pas également dans la source. Celui qui souhaite savoir comment ces jeux de données sont constitués et mis à jour peut le consulter dans la base de connaissances.
Trois choses se situent en dehors de ce que ce scan fait, et ce délibérément.
Ce n'est pas un outil de conformité à l'AI Act. Pour le registre, la classification et la maîtrise de l'IA selon l'AI Act, aiacta.eu est la référence ; cette limite ne bouge pas. Ce scan utilise les jeux de données de cette référence, mais ne la remplace pas.
Ce n'est pas une preuve d'une démarche exécutée. Le scan structure ce qui existe au moment de l'exécution ; il ne présente pas un historique de services et ne revendique aucune expérience de démarches antérieures menées à terme. Ce que le scan fournit est une photographie de la situation actuelle, pas un historique de résultats.
Ce n'est pas un second processus à côté de la structure existante. Les modèles sont conçus pour s'insérer dans ce qui existe déjà en matière de gestion des risques ou de conformité, et non pour mener une existence propre à côté de celle-ci. Que cette intégration se déroule sans accroc en pratique dépend de la manière dont cette structure existante est construite — le scan lui-même ne peut pas le garantir.
Avec l'aperçu, la classification, la chronologie et les modèles sur la table, un moment de décision se présente quant à l'étape suivante. Certaines organisations prennent elles-mêmes en charge le registre, les modèles et la chronologie, et organisent la maîtrise de l'IA via les sessions aiacta. D'autres recherchent un partenaire pour concevoir le processus de surveillance et l'intégrer dans la structure de risque existante. D'autres encore externalisent l'ensemble de la démarche de gouvernance à un partenaire, avec le scan comme dossier de départ de cette démarche. Le choix de la voie appropriée dépend de la taille de l'organisation, de la complexité des applications identifiées et de la capacité disponible en interne — c'est un arbitrage que l'organisation fait elle-même, et non quelque chose que le scan impose.
Le bouton pour démarrer le scan se trouve actuellement sur une liste d'attente ; celui qui s'inscrit sera prévenu dès que l'outil sera disponible.
La gouvernance de l'IA ne prend tout son sens que lorsqu'il est clair quelles tâches, heures et systèmes sont concrètement concernés. Cette traduction, de l'application à la charge de travail, est rendue visible par le werkscan de FTE TO AI (ftetoai.com).
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.