Un cadre d'IA responsable réellement utilisable.
L'IA responsable n'est pas une affiche de principes au mur. C'est un petit ensemble de décisions, de contrôles et d'habitudes qui rendent l'adoption de l'IA sûre. Voici un cadre pratique.
Commencez par des principes qui veulent dire quelque chose.
L'équité, la transparence, la responsabilité, la supervision humaine, la protection de la vie privée et la sécurité, ainsi que la fiabilité sont les principes habituels, et ce sont les bons; ils remontent aux Principes de l'IA de l'OCDE sur lesquels s'appuient la plupart des cadres nationaux. Mais un principe ne compte que lorsqu'il est rattaché à une décision. L'équité devient réelle quand quelqu'un doit vérifier qu'un modèle ne produit pas de résultats disparates avant sa mise en service. La transparence devient réelle quand une personne visée par une décision peut apprendre que l'IA était en jeu et en demander la raison. Formulez chaque principe comme une question à laquelle votre équipe doit répondre, pas comme une valeur que vous espérez qu'elle partage.
N'inventez pas le cadre à partir de zéro.
Vous n'avez pas à concevoir un système de gouvernance à partir de principes premiers. Adoptez l'ossature d'une norme reconnue et adaptez-la. Le cadre de gestion des risques liés à l'IA du NIST organise le travail en quatre fonctions simples, gouverner, cartographier, mesurer et gérer, que toute équipe peut suivre. La norme ISO/IEC 42001 définit un système de management de l'IA que l'on peut faire certifier, comme ISO 27001 l'a fait pour la sécurité de l'information. La norme ISO/IEC 23894 porte spécifiquement sur le risque lié à l'IA. Emprunter une structure établie épargne des mois de débats internes et montre aux partenaires et aux autorités que votre démarche est réfléchie plutôt qu'improvisée.
Transformez les principes en structure.
Attribuez à l'IA une propriété claire, de sorte que ce qui est responsable ne soit jamais l'IA, mais une personne. Tenez un inventaire des endroits où l'IA est utilisée, y compris les outils que le personnel adopte de lui-même, car on ne peut pas gouverner ce qu'on ne voit pas. Classez chaque usage selon le risque, en prenant pour axes l'incidence sur les personnes et la réversibilité de la décision, et faites passer les usages à risque élevé par une étape d'approbation avant leur mise en service. C'est là toute la différence entre un cadre et un vœu : chaque décision de risque a un responsable et un point de contrôle.
Placez les contrôles là où se trouve le risque.
Ajustez le contrôle à l'enjeu plutôt que d'appliquer une seule liste de vérification à tout. Gardez une personne responsable des décisions lourdes de conséquences, celles qui touchent les droits, l'argent, la sécurité ou l'accès à un service d'une personne. Vérifiez les biais et la fiabilité avant le déploiement, puis de nouveau à intervalles réguliers, car les modèles dérivent et les données changent sous eux. Surveillez les systèmes en service, consignez ce qu'ils font, et prévoyez une voie d'escalade claire pour qu'un employé de première ligne sache exactement à qui s'adresser lorsque quelque chose cloche. Les usages à faible risque peuvent avancer vite; ceux à risque élevé méritent leur part de friction.
Gouvernez ce que vous achetez, pas seulement ce que vous construisez.
La plupart des organisations adoptent bien plus d'IA qu'elles n'en construisent, intégrée dans les logiciels qu'elles utilisent déjà et chez les fournisseurs qu'elles ajoutent. Votre cadre doit les atteindre aussi. Demandez aux fournisseurs d'où viennent leurs modèles, quelles données les ont entraînés, comment ils traitent vos données, et ce qui se passe lorsque le modèle change sous vous. Un cadre responsable qui ne couvre que les modèles maison passe à côté de la majeure partie du risque réel.
Faites-en un processus vivant, pas un lancement.
Le mode d'échec, c'est une politique soignée que plus personne ne rouvre. Documentez vos décisions pour que le raisonnement survive au roulement du personnel. Maintenez un processus d'incident et d'escalade que vous avez réellement mis à l'essai, et pas seulement rédigé. Révisez l'ensemble du cadre à une cadence fixe, chaque trimestre ou après tout changement important, et retirez les contrôles qui ne rapportent plus. L'IA responsable s'entretient, elle ne se livre pas une seule fois.
Ajustez-le à ce que vous êtes.
Une équipe de dix personnes n'a pas besoin d'une politique de quarante pages, et une banque ne peut pas fonctionner sur une seule page. Ajustez le poids du cadre à votre risque et à votre taille. Le but n'est pas d'avoir le plus de gouvernance possible; c'est d'en avoir assez pour que les décisions lourdes de conséquences soient prises en charge, éprouvées et documentées, avec le moins de cérémonie que cela demande. Un cadre simple que les gens suivent vraiment vaut mieux qu'un cadre élaboré qui dort dans un tiroir.