Lorsque l’IA est imposée à la conformité : le guide de l’ECCP 2024
Un email arrive sans avertissement. L’entreprise a sélectionné une plateforme d’IA. Le service informatique est déjà en train de l’intégrer et un pilote est en cours. Le conseil d’administration est enthousiaste. Le directeur de la conformité a été invité à « fournir une gouvernance » dans un délai d’une semaine.
Où commencer ?
La réponse est simple. Vous pouvez commencer par l’évaluation des programmes de conformité des entreprises (ECCP) du département de la justice des États-Unis de 2024.
L’ECCP précise que les procureurs évalueront comment les entreprises identifient, gèrent et contrôlent les risques liés aux nouvelles technologies, y compris l’intelligence artificielle, tant dans les opérations commerciales que dans les programmes de conformité eux-mêmes. Mais même dans ce mandat, il y a des informations pour vous donner un point de départ pour cette demande de gestion.
Reformuler l’IA comme une question d’évaluation des risques
La première étape consiste à cesser de traiter l’IA comme un déploiement technique et à commencer à la considérer comme une obligation d’évaluation des risques. L’ECCP est claire : les évaluations des risques doivent évoluer à mesure que les risques internes et externes changent, et elle souligne spécifiquement que l’IA nécessite une analyse affirmative. Les procureurs demanderont si l’entreprise a évalué comment l’IA pourrait impacter la conformité avec les lois pénales, si les risques liés à l’IA étaient intégrés dans la gestion des risques de l’entreprise, et si des contrôles existent pour garantir que l’IA est utilisée uniquement à des fins prévues.
Pour le directeur de la conformité, cela signifie intégrer formellement les cas d’utilisation de l’IA dans l’évaluation des risques de conformité. Si l’IA touche les enquêtes, la surveillance, la formation, la diligence raisonnable auprès des tiers ou le reporting, alors elle est clairement sous le regard du département de la justice.
Inventaire avant de rédiger une politique
L’ECCP ne récompense pas les politiques aspirantes non soutenues par des faits. Les procureurs veulent comprendre pourquoi une entreprise a structuré son programme de conformité de la manière dont elle l’a fait. Avant de rédiger des cadres de gouvernance de l’IA, la conformité doit exiger un inventaire complet de l’utilisation de l’IA :
- Quels outils sont déployés ou testés ;
- Quelles fonctions commerciales les utilisent ;
- Quelles données elles ingèrent ;
- Si les résultats sont consultatifs ou influencent les décisions.
Cet inventaire doit explicitement inclure l’utilisation par les employés des outils d’IA générative. L’ECCP souligne l’importance de la gestion de l’utilisation abusive en interne et des conséquences involontaires de la technologie. L’utilisation non gérée de l’IA est désormais un échec de conformité, et non une simple gêne informatique.
Se concentrer sur l’intégrité des décisions, pas sur la conception du modèle
Une des idées les plus négligées de l’ECCP est que le département de la justice évalue les résultats et la responsabilité, et non l’élégance technique. Lorsque l’IA est utilisée, les procureurs demanderont :
- Quelles décisions l’IA a-t-elle influencées ;
- Quelle base de jugement humain existait ;
- Comment la responsabilité a-t-elle été assignée et appliquée.
Les directeurs de conformité devraient donc centrer la gouvernance autour des décisions, et non des algorithmes. Si personne ne peut expliquer comment un résultat d’IA a été évalué, contourné ou escaladé, l’entreprise ne peut pas démontrer que son programme de conformité fonctionne en pratique. L’ECCP demande explicitement quelle « base de prise de décision humaine » est utilisée pour évaluer les résultats de l’IA et comment la responsabilité de l’utilisation de l’IA est surveillée et appliquée.
Exiger l’explicabilité pour les conseils et les régulateurs
Le département de la justice ne s’attend pas à ce que les conseils comprennent les architectures d’apprentissage automatique. Ils s’attendent à ce que les conseils exercent une supervision éclairée. L’ECCP demande à plusieurs reprises si la conformité peut expliquer les risques, les contrôles et les échecs à la direction et au conseil. Si un directeur de la conformité ne peut pas expliquer, en termes simples, comment l’IA affecte les décisions de conformité, le programme n’est pas défendable. Chaque cas d’utilisation matériel de l’IA doit avoir un récit prêt pour le conseil :
- Pourquoi l’IA est utilisée ;
- Quels risques elle crée ;
- Où le jugement humain intervient ;
- Comment les erreurs sont détectées et corrigées.
Cela n’est pas facultatif. Les procureurs évalueront quelles informations les conseils ont examinées et comment ils ont exercé leur supervision.
Intégrer la gouvernance de l’IA dans les contrôles existants
L’ECCP met en garde contre les « programmes papier ». Cela signifie que la gouvernance de l’IA ne peut pas se trouver dans une politique séparée. Les contrôles liés à l’IA doivent s’intégrer aux structures de conformité existantes telles que les protocoles d’enquête, les mécanismes de reporting, la formation, l’audit interne et la gouvernance des données. Si l’IA identifie un comportement répréhensible, comment cela est-il escaladé ? Si l’IA soutient les enquêtes, comment les résultats sont-ils préservés et documentés ? Si l’IA soutient la formation, comment son efficacité est-elle mesurée ? Le département de la justice cherchera la cohérence dans l’approche, la documentation et le suivi, et non la nouveauté.
Insister sur les ressources et l’autorité
L’ECCP accorde une attention particulière à savoir si les fonctions de conformité sont adéquatement dotées de ressources, habilitées et autonomes. Cela s’applique généralement aux directeurs de conformité et aux professionnels de la conformité. Il serait logique que si la responsabilité de la gouvernance de l’IA est assignée à la conformité, alors cette dernière doit avoir accès aux données, aux explications techniques et à l’autorité d’escalade. Assigner une responsabilité sans ressources est, selon le département de la justice, une preuve d’un programme qui n’est pas appliqué de bonne foi. Un mandat imposé sans financement ni autorité constitue en soi un risque de conformité.
Documenter l’évolution
Enfin, les directeurs de conformité doivent documenter non seulement les contrôles, mais aussi l’évolution. L’ECCP souligne à plusieurs reprises l’amélioration continue, les tests et les révisions. La gouvernance de l’IA ne sera pas parfaite. Le département de la justice ne s’attend pas à la perfection. Il s’attend à ce que l’entreprise identifie les risques, teste les contrôles, apprenne des échecs et s’ajuste. Les procès-verbaux des réunions, les examens des pilotes, les évaluations des risques et les étapes de remédiation sont tous importants. Cela ressemble à quoi ? Documenter, documenter, documenter.
Conclusion
Lorsque l’IA est imposée à la conformité, la résistance peut être compréhensible, mais au bout du compte, elle est inefficace. Le département de la justice a déjà dépassé la question de savoir si l’IA doit être gouvernée. La seule question restante est de savoir si la gouvernance est crédible. Pour le directeur de la conformité d’aujourd’hui, la gouvernance de l’IA n’est plus optionnelle, technique ou théorique. C’est un test en direct de savoir si le programme de conformité est bien conçu, habilité et fonctionne en pratique.
Enfin, si vous, en tant que professionnel de la conformité, n’entendez parler de l’utilisation de l’IA dans votre organisation que lorsque cette tâche vous est transmise, vous devez vraiment avoir une place à la table.
