La gouvernance responsable de l’IA ne doit pas commencer — encore moins se terminer — par la conformité légale
Dans le contexte actuel, les entreprises commencent à se poser une question récurrente : « Si notre système n’est pas considéré comme ‘à haut risque’ selon la loi sur l’intelligence artificielle de l’UE ou la loi sur l’IA du Colorado, pourquoi devrions-nous nous en préoccuper ? » Cette approche, qui considère le risque uniquement à travers le prisme des lois, est étroite, dangereuse pour les consommateurs et préjudiciable aux entreprises.
Il y a quelques années, alors que les modèles prédictifs d’IA de plus en plus complexes commençaient à être intégrés dans les opérations commerciales, les entreprises peinaient à comprendre ces systèmes. Elles avaient du mal à évaluer les risques impliqués et à gérer ces derniers de manière à bénéficier de leur valeur commerciale tout en prévenant les dommages pour les clients, l’embarras public ou la responsabilité légale.
Évolution de la gouvernance de l’IA
Face à cette incertitude, de nombreux avocats, scientifiques des données et professionnels ont cherché à définir ce à quoi pourrait ressembler une « gouvernance responsable de l’IA ». Cela a conduit à l’élaboration de cadres, tels que le Cadre de gestion des risques de l’IA développé par l’Institut national des normes et de la technologie (NIST) aux États-Unis. Bien qu’il ne s’agisse pas d’une norme de conformité, ce cadre est devenu un modèle en matière de gestion de l’IA, en particulier aux États-Unis.
Ce cadre, qui a été élargi pour inclure l’IA générative, ainsi que d’autres systèmes internationaux, offre aux entreprises un moyen structuré d’évaluer le risque associé à l’utilisation des systèmes d’IA. Il est important de noter que, bien que les exigences légales soient un facteur dans cette évaluation, elles ne doivent pas être le seul critère.
Définition et tolérance au risque
Le risque est défini comme la probabilité qu’un préjudice identifié se produise, multipliée par la gravité de ce préjudice s’il se produisait. Les entreprises doivent évaluer le risque de chaque système d’IA de manière indépendante, en tenant compte de leur propre secteur, de leurs valeurs et des obligations commerciales. La tolérance au risque varie pour chaque entreprise, de même que les techniques d’évaluation des risques et les stratégies de gestion préférées.
Même lorsque les systèmes d’IA ne répondent pas à une définition de « haut risque » au sens légal, les entreprises doivent s’assurer que le système respecte leur niveau de tolérance au risque, qu’il fonctionne comme prévu et qu’il ne crée pas de préjudices évitables ou de dommages à la réputation.
Les limites de la conformité légale
Les lois clés, telles que l’EU AI Act et le Colorado AI Act, adoptent également cette approche basée sur le risque, mais elles ne couvrent pas tous les cas de figure. Ces lois se concentrent sur des catégories que les régulateurs priorisent et appliquent, mais elles ne tiennent pas compte des autres sources d’exposition aux affaires, telles que les décisions erronées, les impacts biaisés ou les incidents de sécurité évitables.
Une mentalité de « conformité uniquement » peut sembler séduisante, mais elle peut conduire les entreprises à ignorer des risques évidents pour leurs utilisateurs et partenaires commerciaux.
Cas d’utilisation nécessitant une surveillance
Il existe de nombreux systèmes qui peuvent ne pas être considérés comme à haut risque, mais qui méritent tout de même une surveillance :
- Outils de feedback et de performance des employés : Bien qu’ils ne déclenchent pas nécessairement des lois sur l’emploi, ils influencent les évaluations et les opportunités.
- Outils de sentiment client et d’assurance qualité : Ils peuvent affecter la rémunération des employés et conduire à de mauvaises décisions commerciales.
- Chatbots orientés client : Un chatbot qui délivre des contenus toxiques ou erronés peut créer des frustrations et nuire à la réputation de l’entreprise.
Un modèle de gouvernance éclairé par le risque
Il est essentiel d’adopter une approche de gouvernance qui va au-delà des catégories de risque élevé définies par la loi. Voici les étapes pour établir un processus de gouvernance simple :
- Évaluer le niveau de risque du système en définissant le contexte et les enjeux.
- Considérer l’exposition réglementaire et la possibilité de préjudice matériel, de biais ou de dommages à la réputation.
- Documenter les résultats et les protocoles de test, et établir des seuils de performance acceptables.
En résumé, il est crucial de prouver que le système fonctionne pour son usage prévu, de le surveiller dans le monde réel, et de corriger les problèmes avant qu’ils ne deviennent des préjudices. La gouvernance n’est pas une bureaucratie inutile, mais un moyen d’avancer plus rapidement sans compromettre les éléments essentiels.
