Gestion des Risques de l’IA Unifiée : Combler les Lacunes en Matière de Gouvernance

Quelles approches sont utilisées pour promouvoir une plus grande cohérence et interopérabilité dans la gestion des risques liés à l’IA

À mesure que la gouvernance de l’IA mûrit, de nombreux cadres et normes de gestion des risques émergent. Pour éviter la fragmentation et assurer une mise en œuvre efficace d’une IA digne de confiance, une dynamique visant à renforcer la cohérence et l’interopérabilité est en cours. Cela implique une coopération entre les acteurs étatiques et non étatiques, tant au niveau national qu’international, en se concentrant sur la gestion des risques liés à l’IA, la conception (par exemple, la « fiabilité dès la conception ») et les évaluations d’impact.

Principales approches de l’interopérabilité:

• Cartographie des cadres: La comparaison et la cartographie de différents cadres de gestion des risques liés à l’IA constituent une étape fondamentale. L’objectif est d’identifier les domaines d’équivalence fonctionnelle et de divergence entre ces cadres.
• Étapes communes de gestion des risques: La plupart des cadres s’alignent sur quatre étapes de haut niveau: « DÉFINIR » (portée, contexte et critères), « ÉVALUER » (risques aux niveaux individuel, agrégé et sociétal), « TRAITER » (risques pour atténuer les impacts négatifs) et « GOUVERNER » (processus de gestion des risques). Ces étapes fournissent une structure commune pour l’interopérabilité.
• Aborder les différences de gouvernance: Les cadres varient souvent dans la manière dont ils traitent la fonction « GOUVERNER ». Certains incluent explicitement les activités de gouvernance, tandis que d’autres les répartissent tout au long du processus de gestion des risques ou les omettent complètement. L’harmonisation des approches de gouvernance est cruciale.
• Alignement conceptuel et terminologique: L’analyse des concepts clés et de la terminologie dans les différentes initiatives est essentielle. L’identification des domaines de consensus et des composantes incompatibles peut aider à clarifier les débats autour de concepts tels que la transparence, l’explicabilité et l’interprétabilité.
• Cadres de diligence raisonnable: Tirer parti des cadres de diligence raisonnable existants, tels que le Guide OCDE sur le devoir de diligence pour une conduite responsable des entreprises (DDG OCDE), pour développer de bonnes pratiques pour une IA responsable est une voie prometteuse.
• Alignement des systèmes de certification: La recherche et l’analyse de l’alignement des systèmes de certification de l’IA avec les normes de conduite responsable des entreprises (CRE) de l’OCDE et les normes de l’IA peuvent améliorer la qualité, la comparabilité et l’interopérabilité de ces systèmes.
• Outils interactifs: Le développement d’outils en ligne permettant aux organisations et aux parties prenantes de comparer les cadres et de naviguer parmi les méthodes, outils et bonnes pratiques existants pour la gestion des risques liés à l’IA peut faciliter l’interopérabilité.

Bien que les approches générales soient alignées, des différences de haut niveau existent, principalement autour de la fonction « GOUVERNER ». La portée des cadres individuels entraîne également des incohérences. Par exemple, le DDG OCDE considère les risques associés aux relations commerciales de manière plus large, tandis que les normes ISO 31000, NIST AI RMF, HUDERIA, EU AIA, AIDA et IEEE 7000-21 se concentrent sur des approches plus centrées sur le produit ou axées sur la valeur pour la gestion des risques liés à l’IA. Remédier à ces différences sera essentiel pour promouvoir une gestion des risques liés à l’IA cohérente et interopérable.

Quelles sont les principales différences observées entre les différents cadres de gestion des risques liés à l’IA ?

Les cadres de gestion des risques liés à l’IA convergent vers un ensemble de principes fondamentaux, mais des différences significatives persistent dans leur approche. Ces divergences concernent principalement la fonction « GOUVERNER », qui englobe des éléments tels que le suivi, la communication, la documentation, la consultation et l’intégration des pratiques de gestion des risques.

Alors que la plupart des cadres cherchent à « DÉFINIR », « ÉVALUER » et « TRAITER » les risques liés à l’IA, les méthodes de gouvernance de ces processus divergent considérablement.

Approches de la gouvernance : différents niveaux d’importance

Certains cadres intègrent explicitement ces activités de gouvernance dans une fonction « GOUVERNER » distincte, tandis que d’autres les répartissent sur l’ensemble du cycle de vie de la gestion des risques ou les omettent complètement.

Par exemple :

• La loi européenne sur l’IA (EU AIA) et la loi canadienne sur l’IA et les données (AIDA) obligent les fournisseurs de systèmes d’IA à haut risque à identifier, analyser et atténuer les risques. Toutefois, la consultation et l’intégration de la gestion des risques dans la culture organisationnelle sont absentes.
• Le projet d’évaluation des risques et des impacts sur les droits de l’homme, la démocratie et l’État de droit (HUDERIA) du Conseil de l’Europe est partiellement aligné, mais les éléments relatifs à la fonction GOUVERNER sont absents.
• Le guide ISO/CEI 51 vise à orienter l’élaboration de normes de sécurité des produits et ne comprend pas l’intégration de politiques de gestion des risques ni la consultation des parties prenantes.

Portée et objectif : une question de perspective

Les cadres diffèrent également par leur portée, leur public cible et leur paysage des risques, ce qui conduit à des approches variables de la gouvernance.

• OCDE DDG : Une portée plus large inclut les risques associés aux relations d’affaires. Il recommande d’atténuer les risques liés à la vente et à la distribution de biens.
• ISO 31000 : Une portée plus étroite examine les risques et les impacts sur l’organisation.
• NIST AI RMF : Se concentre sur les préjudices causés aux personnes, aux organisations et aux écosystèmes.
• HUDERIA : Aborde les risques pour les droits de l’homme, la démocratie et l’État de droit.
• EU AIA & AIDA : Adopte une approche axée sur la sécurité des produits.
• IEEE 7000-21 :Intègre des considérations fondées sur les valeurs et les points de vue des parties prenantes dans la conception des produits ou des services.
• Public cible : Les normes OECD DDG et ISO visent des changements organisationnels au niveau du conseil d’administration. Les autres offrent des recommandations au niveau du conseil d’administration, mais la mise en œuvre se fait principalement au niveau technique.

Les lois EU AIA et AIDA intègrent également une caractéristique réglementaire unique selon laquelle les régulateurs définissent ce qui constitue un système « à haut risque », ce qui a pour effet de donner la priorité aux efforts de gestion des risques pour les entreprises.

Quelles sont les actions futures prévues pour améliorer les pratiques de gestion des risques liés à l’IA ?

Plusieurs initiatives stratégiques sont en préparation pour renforcer la gestion des risques liés à l’IA, en mettant l’accent sur la promotion de l’interopérabilité et de la mise en œuvre pratique. Voici un aperçu des principaux domaines :

Harmonisation de la terminologie et des concepts de l’IA

La prochaine étape immédiate consiste en un examen approfondi des points communs et des différences dans le langage et les concepts utilisés dans les différents cadres d’évaluation de l’impact de l’IA et de gestion des risques. Cela comprendra :

• L’identification des définitions et des concepts qui font l’objet d’un large consensus.
• Le repérage des zones potentiellement incompatibles ou imprécises qui pourraient entraver la mise en œuvre pratique. Par exemple, les débats sur les significations de la transparence, de l’explicabilité et de l’interprétabilité.
• L’élaboration d’une compréhension commune de la chaîne de valeur de l’IA, y compris les différents acteurs impliqués et les divers risques présents à chaque étape.

Élaboration de bonnes pratiques pour une conduite responsable des affaires dans le domaine de l’IA

Une approche prometteuse pour la mise en œuvre de la gestion des risques liés à l’IA consiste à tirer parti des cadres existants pour une conduite responsable des affaires. Cela impliquerait d’aligner la terminologie et les cadres spécifiques à l’IA sur les principes des Principes directeurs de l’OCDE à l’intention des entreprises multinationales (EMN) et du Guide sur le devoir de diligence (DDG). Les résultats pourraient inclure des ateliers et des lignes directrices exploitables, clarifiant la manière dont les principes du Guide sur le devoir de diligence pour une conduite responsable des affaires pourraient être spécifiquement appliqués à l’IA.

Alignement des systèmes de certification sur la CRB et les normes de l’IA

Afin d’améliorer la qualité, la comparabilité et l’interopérabilité des normes et initiatives de certification, l’OCDE élabore un processus d’évaluation de l’alignement afin d’évaluer l’alignement des initiatives sur les recommandations du DDG de l’OCDE. Cette initiative ouvre la voie à la formulation de recommandations concrètes pour traduire et aligner les pratiques d’IA sur les pratiques de conduite responsable des affaires (CRB), et vice versa :

Développement d’un outil interactif en ligne

Un outil interactif en ligne serait créé pour aider les organisations et les parties prenantes à effectuer des comparaisons entre les cadres. Cet outil comprendra à la fois des cadres de comparaison dérivés des étapes mentionnées précédemment, et il aidera les utilisateurs à naviguer parmi les méthodes, outils et bonnes pratiques existants pour identifier, évaluer, traiter et gérer les risques liés à l’IA. Il serait lié au Catalogue d’outils et de mesures pour une IA digne de confiance.