Le Trésor américain publie un guide sur les risques liés à l’IA pour les institutions financières
Le Trésor américain a publié plusieurs documents destinés au secteur des services financiers qui suggèrent une approche structurée pour gérer les risques liés à l’IA dans les opérations et les politiques. Le cadre de gestion des risques de l’IA pour les services financiers (FS AI RMF) est accompagné d’un guide qui détaille le cadre développé grâce à une collaboration entre plus de 100 institutions financières et organisations industrielles, avec l’apport de régulateurs et d’organismes techniques.
L’objectif du FS AI RMF est d’aider les institutions financières à identifier, évaluer, gérer et gouverner les risques associés aux systèmes d’IA, tout en leur permettant d’adopter des technologies d’IA de manière responsable.
Risques associés aux systèmes d’IA
Les systèmes d’IA introduisent des risques que les cadres de gouvernance technologique existants ne couvrent pas. Ces risques incluent le biais algorithmique, la transparence limitée dans les processus décisionnels, les vulnérabilités cybernétiques, et des dépendances complexes entre les systèmes et les données. Les modèles de langage (LLMs) suscitent des inquiétudes car leur comportement peut être difficile à interpréter ou à prédire. Contrairement aux logiciels traditionnels, qui sont déterministes, la sortie d’une IA varie en fonction du contexte.
Les institutions financières opèrent déjà sous une réglementation extensive et il existe plusieurs lignes directrices générales telles que le cadre de gestion des risques de l’IA du NIST. Cependant, l’application de cadres généraux aux opérations des institutions financières manque de détails qui reflètent les pratiques sectorielles et les attentes réglementaires. Le FS AI RMF est positionné comme une extension du cadre NIST, avec des contrôles spécifiques au secteur et des lignes directrices pratiques pour sa mise en œuvre.
Composantes du cadre
Le guide explique comment les entreprises peuvent évaluer leur maturité actuelle en matière d’IA et mettre en œuvre des contrôles pour limiter leurs risques. Son but est de promouvoir des pratiques d’IA cohérentes et responsables et de soutenir l’innovation dans le secteur.
Le FS AI RMF relie la gouvernance de l’IA aux processus de gouvernance, de risque et de conformité déjà en vigueur dans les institutions financières. Le cadre contient quatre composants principaux :
- Un questionnaire sur le stade d’adoption de l’IA qui permet aux organisations de déterminer la maturité de leur utilisation de l’IA.
- Une matrice de risques et de contrôles, qui contient un ensemble de déclarations de risque et d’objectifs de contrôle en accord avec les stages d’adoption.
- Une explication de l’application du cadre, accompagnée d’un guide de référence sur les objectifs de contrôle qui fournit des exemples de contrôles et de preuves à l’appui.
- Un total de 230 objectifs de contrôle organisés selon quatre fonctions adaptées du cadre de gestion des risques de l’IA du NIST : gouverner, cartographier, mesurer et gérer.
Le questionnaire sur le stade d’adoption détermine l’étendue d’utilisation de l’IA par une organisation. Certaines entreprises s’appuient sur des modèles prédictifs traditionnels dans des applications limitées, tandis que d’autres déploient l’IA dans des processus clés. Ce questionnaire aide les organisations à évaluer leur position actuelle dans le spectre de l’utilisation de l’IA.
Contrôles et objectifs de gouvernance
Les objectifs de contrôle pour chaque stade d’adoption de l’IA abordent des sujets de gouvernance et d’opérations, notamment la gestion de la qualité des données, le suivi de l’équité et des biais, les contrôles de cybersécurité, la transparence des processus décisionnels de l’IA, et la résilience opérationnelle.
Le guide fournit des exemples de contrôles possibles et de types de preuves que les institutions peuvent utiliser pour démontrer leur conformité. Chaque entreprise doit déterminer les contrôles qui lui conviennent le mieux.
Le cadre recommande de maintenir des procédures de réponse aux incidents spécifiques aux systèmes d’IA et de créer un référentiel central pour le suivi des incidents d’IA, des processus qui aideront les organisations à détecter les défaillances et à améliorer la gouvernance au fil du temps.
Principes pour une IA fiable
Le cadre intègre des principes pour une IA fiable, tels que la validité et la fiabilité, la sécurité, la résilience, la responsabilité, la transparence, l’explicabilité, la protection de la vie privée, et l’équité. Ces principes fournissent une base pour évaluer les systèmes d’IA tout au long de leur cycle de vie.
Conclusion
Pour les dirigeants des institutions financières, le FS AI RMF offre un guide pour intégrer l’IA dans les cadres de gestion des risques existants. Adopter l’IA sans renforcer les structures de gouvernance peut exposer les institutions à des défaillances opérationnelles, à un examen réglementaire ou à des dommages réputationnels. En revanche, les entreprises qui établissent des processus de gouvernance clairs seront plus confiantes dans le déploiement de systèmes d’IA.
Le message pour les décideurs du secteur financier est que l’adoption de l’IA doit progresser en parallèle avec la gouvernance des risques. Un cadre structuré tel que le FS AI RMF fournit un langage commun et une méthode pour gérer cette évolution.
