Le plus grand risque de l’IA n’est pas le modèle, mais l’adoption non contrôlée

L’utilisation et l’adoption de l’IA peuvent ressembler à la loi de la jungle si elles ne sont pas réglementées au sein d’une organisation.

Le problème est devenu une préoccupation croissante à mesure que l’adoption continue d’accélérer plus vite que la plupart des cycles de gouvernance. Le défi pour les équipes IT et de conformité est que de nouveaux outils peuvent être déployés en quelques jours, tandis que les politiques et les contrôles prennent souvent des mois à développer et à communiquer. De nombreuses entreprises pensent avoir résolu le risque lié à l’IA en approuvant une liste restreinte d’outils sanctionnés, mais il y a beaucoup plus à faire pour s’assurer que l’IA peut être utilisée, surveillée et mesurée avec des protections de confidentialité et de sécurité. Des exemples de ce scénario d’IT fantôme incluent des unités commerciales qui adoptent des plateformes supplémentaires sans examen, des développeurs qui exécutent des modèles localement et des employés qui collent des données sensibles dans des systèmes ouverts ou des systèmes avec des droits de données peu clairs. Le résultat n’est pas théorique ; il s’agit d’une fuite de données, d’une exposition de la propriété intellectuelle et, dans les pires cas, d’un transfert accidentel de droits via les conditions du fournisseur.

L’un des moyens les plus efficaces de prévenir la fragmentation de la gouvernance de l’IA est d’établir un groupe de travail officiel de surveillance de l’IA ou un comité. Cette équipe transversale, composée généralement de représentants de l’IT, de la sécurité, de la conformité, du juridique, de la confidentialité, de la gestion des risques et d’unités commerciales clés, crée une propriété claire pour la gouvernance de l’IA et sert de corps de décision central de l’organisation pour l’adoption et la surveillance de l’IA.

Le plus grand risque est l’invisibilité. Une politique d’IA ou une liste d’outils approuvés ne montre pas où l’IA est réellement utilisée, quelles données sont partagées ou quelles conditions sont partagées. L’adoption évoluera toujours plus vite que la surveillance, l’objectif est donc une gouvernance qui s’adapte : rendre l’utilisation visible, relier l’utilisation acceptable à la classification des données et mettre en place des garde-fous qui n’ralentissent pas les équipes. Lorsqu’elle est bien faite, la gouvernance devient un facteur d’enablement, créant des paramètres par défaut plus sûrs pour que les équipes puissent avancer rapidement sans avoir à négocier les risques à partir de zéro chaque fois qu’un nouvel outil apparaît.

Un groupe de travail de surveillance de l’IA aide à combler ce fossé de visibilité en agissant en tant que « gardien » de la gouvernance de l’organisation. Plutôt que de laisser les outils et les cas d’utilisation de l’IA se multiplier sans examen, le comité établit des processus d’introduction, d’examen et d’approbation pour les nouvelles technologies d’IA, évalue les risques et détermine les contrôles appropriés en fonction des besoins commerciaux et de la sensibilité des données.

Comment les listes d’outils approuvés échouent dans la pratique

Les listes d’outils approuvés sont rompues lorsque la friction pousse les gens à utiliser des outils alternatifs, puisque le véritable risque réside dans les données utilisées et le flux de travail. Si le chemin sanctionné nécessite des tickets, des VPN, des performances plus lentes ou des fonctionnalités limitées, les équipes contourneront ce chemin. Pendant ce temps, les services d’IA peuvent être adoptés avec une adresse e-mail et un clic, souvent sans approbation, examen de sécurité ou visibilité claire pour l’IT. Plus important encore, copier du code source, des données client ou du langage de contrat dans n’importe quel système non vérifié peut créer une faille de sécurité et de vulnérabilité, quelle que soit la popularité ou la préparation de l’entreprise de l’outil.

Si la gouvernance commence et se termine par une liste, vous avez créé un artefact de conformité qui semble bon sur le papier mais échoue sous la pression opérationnelle. L’approche plus sécurisée et plus évolutivité consiste à supposer que la dispersion des outils se produira et à concevoir des programmes de formation et des contrôles de processus autour des risques liés aux données, à l’identité et au flux de travail.

Relier l’utilisation acceptable de l’IA à la classification des données, et non à la préférence de l’outil

Le moyen le plus rapide de rendre la politique d’IA applicable est de l’ancrer dans la classification des données. Au lieu d’essayer de gouverner chaque outil, proposez des options sûres et viables et gouvernez ce qui peut être introduit dans n’importe quel outil, en particulier les systèmes externes ou grand public.

• Données publiques : entrées à faible risque autorisées dans les outils externes approuvés, tels que les copies de marketing, les documents publics et les exemples désensibilisés.
• Données internes : autorisées uniquement dans les systèmes approuvés par l’entreprise avec des protections contractuelles et un enregistrement approprié.
• Données confidentielles, réglementées ou sensibles : interdites par défaut des outils externes, autorisées uniquement sous exceptions définies avec des contrôles compensatoires et une approbation documentée.

Cela déplace la conversation de « Est-ce que cet outil est sur la liste ? » à « Quelles données mettez-vous dans celui-ci, et quels sont les droits, la conservation et les implications de formation en aval ? » Même un modèle simplifié suffit pour conduire un comportement cohérent s’il est associé à des exemples clairs et renforcés quotidiennement.

Rendre l’IA fantôme visible avec des mécanismes d’audit qui fonctionnent

Vous ne pouvez pas gouverner ce que vous ne pouvez pas voir. La visibilité nécessite quelques signaux cohérents : des contrôles de sécurité d’accès au cloud (CASB) ou des contrôles de sécurité de bordure de service (SSE) pour les points de terminaison d’IA courants, une prévention de la perte de données (DLP) réglée sur les modèles de collage et de téléchargement d’IA, et des contrôles basés sur l’identité qui nécessitent une authentification unique (SSO) lorsque cela est possible et signalent les identités d’entreprise qui utilisent des services non approuvés. Dans les environnements de développement, ajoutez une télémétrie de point de terminaison, car l’utilisation locale de modèles peut contourner les contrôles Web. Complétez les contrôles avec des évaluations légères trimestrielles sur les outils utilisés, les flux de travail et les types de données qu’ils touchent.

L’objectif n’est pas une couverture parfaite ou de punir l’expérimentation. Il s’agit de mettre en surface les flux de travail à risque tôt, de les prioriser et de créer des alternatives plus sûres avant que les modèles dangereux ne deviennent des opérations normales.

Le groupe de travail de surveillance de l’IA devrait également servir d’éducateur et de ressource de sensibilisation pour l’organisation. La gouvernance est la plus efficace lorsque les employés comprennent non seulement les règles, mais également les raisons qui les sous-tendent. Le comité peut fournir des conseils continus, publier des cas d’utilisation approuvés, dispenser une formation de sensibilisation, répondre aux questions des unités commerciales et communiquer les attentes évoluant à mesure que les technologies d’IA mûrissent.

Des garde-fous qui permettent la rapidité sans donner la marchandise

La gouvernance échoue lorsqu’il n’y a qu’une seule réponse : « non ». Une gouvernance mature crée des chemins rapides et des paramètres par défaut sûrs : une formation basée sur des scénarios avec des exemples réels, des chemins d’escalade clairs avec des accords de niveau de service (SLA) de réponse, et une courte bibliothèque de cas d’utilisation approuvés avec des exemples d’entrée « faire » et « ne pas faire ». Ces éléments réduisent l’ambiguïté pour les employés et réduisent la prise de décision ad hoc pour les équipes de gouvernance.

Du côté de l’approvisionnement et du juridique, définissez des déclencheurs d’examen et une liste de contrôle couvrant la conservation des données, les droits de formation de modèle, la propriété intellectuelle, la confidentialité, la notification de violation et les sous-traitants. Enfin, définissez un standard d’évidence minimum afin que, lors d’une audit ou d’un incident, vous puissiez produire une politique, une completion de formation, une approbation d’outil, une couverture d’enregistrement et des actions d’application. C’est ainsi que vous évitez le piège d’avoir une politique qui existe mais qui ne peut pas être démontrée lorsqu’il s’agit de compter.

Une approche défendable commence avec des bases répétables

L’IA continuera à évoluer, votre modèle de gouvernance doit donc durer plus longtemps qu’un seul outil ou fournisseur. Commencez par les fondamentaux que vous pouvez exécuter de manière cohérente : classifiez les données, définissez ce qui peut aller où, instrumentez la visibilité et donnez aux équipes des garde-fous et des chemins d’escalade praticables.

Aussi important, attribuez une propriété pour surveiller en continu le paysage de l’IA. De nouvelles réglementations, des capacités de modèle, des offres de fournisseurs et des vecteurs de menace émergent rapidement. Un groupe de travail de surveillance de l’IA devrait fonctionner en tant qu’organe de surveillance et de conseil de l’organisation, évaluant régulièrement les développements technologiques, évaluant les changements réglementaires, examinant les risques émergents et recommandant des mises à jour des politiques et des contrôles. Cette surveillance continue aide à garantir que la gouvernance reste pertinente plutôt que de devenir un exercice statique annuel.

Examinez et améliorez le programme trimestriellement, afin que les garde-fous restent à la hauteur des nouveaux outils, flux de travail et attentes réglementaires. En traitant la gouvernance de l’IA comme une discipline opérationnelle avec des propriétaires définis et des contrôles mesurables, vous protégez les données sensibles et la propriété intellectuelle tout en donnant aux équipes des chemins clairs et rapides pour utiliser l’IA de manière responsable.

La sécurité et la conformité obtiennent une visibilité et une preuve défendable, et l’entreprise obtient la confiance pour développer l’IA sans transformer chaque nouveau cas d’utilisation en un exercice d’urgence.