Conformité activée par l’IA : équilibre entre potentiel et risque
La conformité activée par l’IA est désormais intégrée dans les opérations quotidiennes de nombreuses organisations, allant de la révision automatisée des contrats à la détection avancée des anomalies. Les régulateurs sont conscients que, bien que l’IA puisse dynamiser les fonctions de conformité en améliorant les capacités de détection et en automatisant les tâches nécessitant beaucoup de ressources, elle peut également amplifier les risques. Les organisations adoptant des outils de conformité pilotés par l’IA pour la surveillance continue, la détection de fraude et l’analyse prédictive doivent déployer ces outils de manière responsable et efficace.
Le ministère de la Justice des États-Unis (DOJ) a clarifié que, dans la mesure où une entreprise utilise l’IA pour atteindre ses objectifs commerciaux, elle doit également respecter ses exigences de conformité. Les directives du DOJ soulignent également le double rôle de l’IA en tant qu’améliorateur de la conformité et amplificateur potentiel des risques. Pour les responsables de la conformité, la voie à suivre implique d’équilibrer l’innovation avec la responsabilité, la transparence et un engagement envers un design éthique.
En abordant proactivement les principaux domaines de risque de l’IA – biais, mauvais usages et vulnérabilités en matière de confidentialité et de cybersécurité des données – les programmes de conformité peuvent atténuer les pièges. Des cadres de gouvernance solides, un suivi continu et une formation régulière garantissent que les outils de conformité activés par l’IA ajoutent de la valeur à la fonction de conformité d’une entreprise. À mesure que la technologie évolue, les évaluations des risques des équipes de conformité, les mécanismes de contrôle et les contrôles internes doivent s’adapter pour suivre le rythme.
Risques liés à l’IA
Pour déployer des ressources en IA de manière responsable et efficace, les leaders de la conformité doivent considérer et planifier l’atténuation de trois principaux domaines de risque.
Biais et discrimination
Les outils d’IA s’appuient sur des ensembles de données définis pour l’apprentissage. Si ces ensembles de données sont biaisés – en raison d’inégalités historiques, de données incomplètes, d’erreurs humaines ou d’assomptions erronées – les algorithmes peuvent perpétuer ou exacerber le biais. Un outil de surveillance des risques internes alimenté par l’IA pourrait signaler un employé avec un arrangement de travail flexible pour accommoder un problème de santé familial comme ayant des connexions suspectes. À moins d’être géré correctement, cela pourrait exposer l’entreprise à une réclamation pour discrimination. Les responsables de la conformité doivent régulièrement tester et auditer les résultats de l’IA pour garantir que les processus de conception et de formation tiennent compte de l’équité et de l’éthique, et qu’ils sont en accord avec les valeurs de l’entreprise.
Usages frauduleux et illégaux
Les acteurs malveillants – internes ou externes – peuvent utiliser l’IA pour faciliter des schémas de fraude sophistiqués. Des algorithmes avancés peuvent aider les malfaiteurs à éviter les sanctions, à blanchir de l’argent ou à déchiffrer les contrôles internes d’une entreprise. Des initiés pourraient utiliser l’IA pour permettre ou faciliter des schémas tels que le commerce d’initiés, le détournement de fonds ou la fraude liée à la facturation. Étant donné que les régulateurs qui enquêtent sur ces types de méfaits s’attendront à ce que les programmes de conformité démontrent une supervision robuste des processus activés par l’IA, la surveillance des systèmes d’IA est une priorité centrale pour les équipes de conformité.
Confidentialité et sécurité des données
Les systèmes d’IA prospèrent grâce aux données, et les systèmes d’IA les plus utiles pour les professionnels de la conformité contiendront probablement des informations personnelles, financières, propriétaires ou d’autres informations sensibles sur les entreprises et les tiers. Et là où se trouvent des données sensibles, des risques de confidentialité, de cybersécurité et de réputation suivent.
De plus, des règlements tels que le Règlement général sur la protection des données de l’UE et du Royaume-Uni et la Loi sur la protection de la vie privée des consommateurs de Californie imposent des règles strictes pour le traitement des données et la protection de la vie privée des individus. Les programmes de conformité activés par l’IA doivent tenir compte du traitement des données sensibles – à la fois au repos dans leurs systèmes d’enregistrements et lorsqu’elles sont utilisées par les outils d’IA et l’équipe de conformité.
Stratégies d’intégration et de gouvernance
Intégration de l’IA dans la conformité
Quand elle est bien utilisée, l’IA révolutionne les activités de conformité. La surveillance des transactions en temps réel, l’analyse prédictive pour les transactions à haut risque, et l’analyse avancée pour la diligence raisonnable des tiers sont déjà en pratique aujourd’hui. L’IA excelle à automatiser des tâches fastidieuses – comme le filtrage de vastes ensembles de données de fournisseurs – libérant ainsi les équipes de conformité pour se concentrer sur des tâches plus stratégiques.
Pour cette raison, les décideurs doivent résister à déployer une solution d’IA pour le simple plaisir de l’IA ou pour répondre au souhait des dirigeants commerciaux de suivre la tendance. Au lieu de cela, ils devraient insister sur un plan d’implémentation réfléchi, de bas en haut, qui s’aligne sur des objectifs de conformité spécifiques.
Établissement de cadres de gouvernance
Les outils d’IA ne peuvent réussir sans un cadre de gouvernance robuste. Des groupes interfonctionnels doivent superviser et construire des structures de gouvernance pour guider la stratégie de l’IA, le développement de modèles et les indicateurs de performance. Ces structures de gouvernance devraient définir :
- Auditabilité : Comment suivrez-vous la manière dont les algorithmes d’IA arrivent à certaines conclusions ?
- Sécurités éthiques : Comment allez-vous tester et analyser si les résultats sont cohérents et exempts de biais ?
- Responsabilité : Comment l’organisation réagira-t-elle si quelque chose ne va pas ? Qui est responsable du fonctionnement des outils de conformité alimentés par l’IA ? L’équipe de conformité peut-elle désactiver les outils d’IA qui soulèvent des préoccupations ?
En cas d’évaluation potentielle d’un programme de conformité d’entreprise, un fort cadre de gouvernance répondra aux questions que les récentes directives du DOJ américain demandent aux procureurs de poser, y compris chacune des suivantes :
- La gestion des risques liés à l’utilisation de l’IA et d’autres nouvelles technologies est-elle intégrée dans des stratégies de gestion des risques d’entreprise (ERM) plus larges ?
- Quelle est l’approche de l’entreprise en matière de gouvernance concernant l’utilisation de nouvelles technologies, telles que l’IA, dans ses activités commerciales et son programme de conformité ?
- Comment l’entreprise limite-t-elle les conséquences négatives ou non intentionnelles résultant de l’utilisation des technologies – tant dans son activité commerciale que dans son programme de conformité ?
- Comment l’entreprise atténue-t-elle le potentiel d’utilisation délibérée ou imprudente des technologies, y compris par des initiés de l’entreprise ?
- Dans la mesure où l’entreprise utilise l’IA et des technologies similaires dans ses activités ou dans le cadre de son programme de conformité, des contrôles sont-ils en place pour surveiller et garantir sa fiabilité, sa confiance et son utilisation conforme aux lois applicables et au code de conduite de l’entreprise ?
- Quel est le niveau de décision humaine utilisé pour évaluer l’IA ?
- Comment la responsabilité de l’utilisation de l’IA est-elle surveillée et appliquée ?
- Comment l’entreprise forme-t-elle ses employés à l’utilisation de technologies émergentes telles que l’IA ?
Transparence et explicabilité
Les régulateurs et les parties prenantes – dont beaucoup ne sont pas des experts en IA – demanderont des explications sur les décisions prises par l’IA. Les modèles « boîte noire » – où les scientifiques des données et les experts en IA ont du mal à expliquer comment un modèle a atteint une conclusion – ne résisteront pas à l’examen lors d’une enquête externe.
Équilibrer le pouvoir des capacités sophistiquées de l’IA et le besoin de transparence exige l’attention des leaders de la conformité. Des modèles plus simples et plus interprétables amélioreront souvent la conformité sans sacrifier la responsabilité.
Gestion des risques et adaptation
Évaluations dynamiques des risques
Par définition, l’IA évolue rapidement. Le modèle bien réglé d’aujourd’hui pourrait devenir le vecteur de risque supplémentaire de demain si les ensembles de données ou les processus commerciaux sous-jacents changent. Les équipes de conformité doivent inclure des évaluations des risques liés à l’IA dans leurs processus ERM existants. Ces évaluations identifieront et atténueront rapidement les nouvelles vulnérabilités – comme des changements dans les sources de données ou des résultats biaisés.
Formation et sensibilisation
Les responsables de la conformité, les avocats internes, les membres de l’équipe financière et les équipes de sécurité de l’information ont besoin d’une compréhension fondamentale des capacités et des limites de l’IA. Un aperçu de haut niveau ne suffit pas.
Les membres de l’équipe – y compris les dirigeants – doivent savoir quels systèmes reposent sur l’IA. Ils doivent avoir suffisamment de fluency technique pour repérer les drapeaux rouges et savoir comment faire remonter leurs préoccupations de manière appropriée au sein de l’organisation. Les membres du conseil d’administration et les dirigeants de la C-suite doivent apprécier la valeur et les risques de l’IA et équilibrer les ressources allouées à la gestion des risques avec celles allouées à la réalisation de la valeur commerciale.
Suivre les réglementations
À mesure que l’IA mûrit, les réglementations changent en conséquence. Bien que les réglementations peinent à suivre le rythme de l’IA, les régulateurs mondiaux mettent déjà en œuvre une législation spécifique à l’IA. De nouvelles règles façonneront la manière dont les systèmes d’IA doivent être conçus, surveillés ou divulgués.
Les entreprises multinationales doivent suivre les changements dans l’écosystème mondial d’application et mettre à jour leurs programmes de conformité en conséquence. L’accent actuel des régulateurs sur la confidentialité, la transparence et l’auditabilité ne changera probablement pas. Par conséquent, les organisations visionnaires peuvent construire ou acheter des outils d’IA qui peuvent soutenir les changements réglementaires futurs nécessitant des divulgations ou des protections supplémentaires ou différentes.
Adopter l’IA de manière responsable
L’IA prendra davantage de place dans les programmes de conformité au cours des cinq prochaines années. Elle offrira des aperçus plus profonds et favorisera des temps de réponse plus rapides. Agir maintenant pour aligner l’IA avec les normes légales et réglementaires positionnera les organisations pour tirer parti du potentiel de cette technologie tout en les protégeant des risques émergents.
Le battage médiatique qui entoure souvent les nouvelles technologies peut obscurcir le jugement. Plutôt que de se précipiter pour ne pas être laissé pour compte, les professionnels doivent gérer ces étapes d’adoption de manière sensée. En restant vigilants, flexibles et informés, les leaders de la conformité peuvent intégrer des outils d’IA tout en favorisant une culture d’intégrité et de confiance – aujourd’hui et à l’avenir.
