Pourquoi l’IA évolue-t-elle plus vite que vos règles ne peuvent le faire ?

Les cadres de gouvernance traditionnels ne sont pas adaptés à l’adoption rapide et décentralisée de l’IA générative.

L’IA évolue plus rapidement que les systèmes censés la contrôler. La plupart des entreprises utilisent encore des modèles de gouvernance conçus pour une prise de décision lente et centralisée. Ces cadres supposent que les approbations se font au sommet de la hiérarchie. L’IA n’attend pas d’approbations descendantes. Elle est déjà en mouvement, intégrée dans les outils, les copilotes, les plateformes SaaS et les produits tiers, et influe sur la façon dont vos équipes prennent des décisions, s’engagent auprès des clients, analysent les données et créent des logiciels.

Il ne s’agit pas seulement d’un problème de processus. Il s’agit d’une défaillance structurelle. La gouvernance n’intervient pas là où le travail se fait réellement. Lorsque le contrôle est bloqué dans la paperasserie et que les politiques sont examinées après coup, les équipes le contournent. Ce n’est pas par méchanceté, mais par nécessité. Les outils sont là. La pression est réelle. Elles se déplacent donc. Cela facilite l’exposition des données sensibles, l’utilisation abusive des modèles et rend la responsabilité floue.

Ericka Watson, PDG de Data Strategy Advisors et ancienne responsable de la protection de la vie privée chez Regeneron, a résumé la situation : « Les entreprises conçoivent encore la gouvernance comme si les décisions étaient prises lentement et de manière centralisée. Mais ce n’est pas ainsi que l’IA est adoptée ». Elle a raison. Nous fonctionnons avec des règles qui supposent des frictions, dans un espace qui se nourrit de vélocité.

Si vous voulez que la gouvernance fonctionne, arrêtez de la considérer comme un contrôle final. Elle doit faire partie du flux de travail. Intégrez-la dans les systèmes et les outils que vos équipes utilisent déjà. Donnez-leur des contrôles immédiats, et non des politiques dont ils sont censés se souvenir après avoir appuyé sur le bouton « Envoyer ». Cela signifie également qu’il ne faut pas se contenter d’examiner les modèles. Concentrez-vous sur les flux de données, sur les personnes qui utilisent les résultats et sur les fonctions d’IA qui touchent vos processus critiques.

Ce n’est pas abstrait. Il s’agit d’hygiène opérationnelle. Soit vous intégrez la gouvernance dès le début, soit vous nettoyez un problème qui s’est déjà produit.

Les modèles de gouvernance des données existants ne parviennent pas à relever les défis posés par la nature dynamique et axée sur les résultats de l’IA générative.

L’ancienne méthode de gouvernance des données n’est pas adaptée à l’IA générative. Ces outils ne se contentent pas de consommer des informations, ils créent de nouvelles données, en temps réel, sur la base d’entrées imprévisibles. Cela brise les règles sur lesquelles la plupart des entreprises s’appuient : des règles construites pour des données structurées, des rapports statiques et des pipelines bien définis.

Fawad Butt, PDG de Penguin Ai et ancien directeur des données chez UnitedHealth Group et Kaiser Permanente, l’a clairement exprimé : « La gouvernance classique a été conçue pour les systèmes d’enregistrement et les pipelines d’analyse connus. Ce monde n’existe plus. Il n’exagère pas. Dans ce nouvel environnement, même les systèmes sécurisés peuvent causer des dommages. Les modèles d’IA peuvent halluciner, cracher des résultats inexacts, ou pire, biaisés et non conformes. Aucune intrusion n’est nécessaire. Il suffit d’une mauvaise invite et de garde-fous insuffisants.

Le vrai problème ? La plupart des systèmes de gouvernance sont axés sur les résultats. Or, le plus grand risque se situe en amont. Les invites, les techniques d’extraction, les entrées contextuelles et les outils externes auxquels les systèmes d’IA ont accès constituent les nouvelles surfaces d’attaque. Vous ne trouverez pas cela dans une piste d’audit traditionnelle. Et lorsque vous constaterez que quelque chose ne va pas dans les résultats, l’origine de l’erreur pourrait avoir disparu depuis longtemps.

Voici donc ce qu’il faut faire : Arrêtez de rédiger des documents de politique générale avant de comprendre le comportement de vos systèmes d’intelligence artificielle. Commencez par définir ce qui est interdit. Limitez l’origine des données à haut risque. Limitez ce à quoi les agents d’IA peuvent accéder de manière dynamique. Observez ce qui se passe lorsque des utilisateurs réels interagissent avec ces outils. Utilisez ce que vous voyez pour concevoir des contrôles qui reflètent réellement votre risque.

Les chefs d’entreprise doivent changer d’état d’esprit. Au lieu d’espérer que les règles suivent le rythme du changement, créez des garde-fous flexibles qui évoluent en fonction de l’adoption de ces systèmes. Vous serez ainsi mieux à même de gérer les risques réels, et non de vous contenter de cocher des cases de conformité.

Les vulnérabilités en matière de gouvernance sont exacerbées par la dépendance à l’égard des solutions d’IA intégrées par les fournisseurs.

L’IA n’est pas seulement développée en interne, elle arrive par l’intermédiaire de vos fournisseurs, intégrée dans les plateformes quotidiennes que vos équipes utilisent déjà. C’est là que la gouvernance s’effondre généralement. Lorsque l’IA apparaît dans un produit SaaS ou un outil d’entreprise, la plupart des entreprises ont recours à de vagues documents, listes de contrôle ou assurances génériques de la part des fournisseurs.

Richa Kaul, PDG de Complyance, travaille directement avec des entreprises internationales confrontées à des risques. Elle voit régulièrement les signes avant-coureurs : « Ce que nous constatons, c’est que l’utilisation précède la gouvernance. Cela signifie que les produits sont utilisés sur le lieu de travail avant qu’un contrôle sérieux ne soit effectué. Pire encore, les examens sont souvent effectués par de grands comités sans référence commune, 10 ou 20 personnes posant des questions différentes et ouvertes en espérant obtenir des réponses solides. Au lieu de cela, ils obtiennent ce que M. Kaul appelle des « oreilles satisfaites », c’est-à-dire des déclarations réconfortantes qui ne sont pas étayées par des preuves réelles.

Le risque varie selon la méthode de déploiement. Un fournisseur qui utilise Azure OpenAI via une interface d’entreprise sécurisée n’est pas le même que celui qui appelle ChatGPT directement en utilisant une API publique. Mais de nombreuses équipes d’évaluation les considèrent comme identiques. Ce n’est pas le cas.

Il existe une solution simple que la plupart des entreprises ignorent : inspecter la liste des sous-traitants de votre fournisseur. C’est là que se trouvent les détails. La plupart des entreprises se concentrent sur le fournisseur de cloud et passent à côté des couches spécifiques à l’IA qui se trouvent en dessous, comme le LLM utilisé, la manière dont on y accède et si les données des clients sont réutilisées dans la formation. Ces détails ont une incidence sur votre exposition aux risques liés à la confidentialité, à la propriété intellectuelle et à la conformité.

Les dirigeants doivent cesser de considérer l’IA des fournisseurs comme une préoccupation de second ordre. Ce n’est pas le cas. Il s’agit d’un domaine de risque de premier ordre. En l’absence de rôles, de responsabilités et de critères d’examen clairs pour les fonctions d’IA fournies par les fournisseurs, les mauvaises décisions ne font pas que se propager, elles passent inaperçues jusqu’à ce qu’il soit trop tard.

Les incidents récurrents liés à l’IA sous pression sont dus à des déficiences comportementales plutôt qu’à des inconvénients technologiques.

Le moteur de la plupart des mauvaises utilisations de l’IA n’est pas la technologie, c’est le comportement. Les employés connaissent les outils. Ils en voient les avantages. Ils sont contraints d’agir rapidement, d’atteindre des objectifs et d’obtenir des résultats. Ils s’appuient donc sur l’IA chaque fois qu’ils le peuvent. Même dans les flux de travail sensibles. Même lorsqu’ils ne le devraient pas.

Asha Palmer, vice-présidente principale des solutions de conformité chez Skillsoft et ancienne procureure fédérale des États-Unis, en a fait l’expérience : « Nous savions que cela pouvait arriver », a-t-elle déclaré. « La vraie question est : pourquoi n’avons-nous pas équipé les gens pour y faire face avant que cela ne se produise ? Le motif est rarement malveillant. Il s’agit plutôt d’une question de performance. Les employés improvisent, généralement en dehors de la gouvernance formelle, parce que la plupart des conseils sont trop abstraits ou n’arrivent pas à temps.

Les interdictions générales ne fonctionnent pas. Si vous supprimez l’accès à l’utilisation responsable de l’IA mais que vous maintenez la pression sur les performances, les gens l’utiliseront en coulisses. Cela rend la surveillance impossible. Aucune politique ne peut empêcher ce qui est invisible.

Vous devez former les gens aux conditions réelles, aux délais, aux flux de travail, lorsque l’urgence l’emporte sur la prudence. Palmer parle de « mémoire musculaire morale », c’est-à-dire la capacité à faire une pause, à évaluer les risques et à prendre une meilleure décision sous la pression. Il ne s’agit pas d’une connaissance générique de l’IA. La formation basée sur des scénarios cible les risques réels auxquels les équipes sont confrontées au quotidien.

Pour les régulateurs et les auditeurs, c’est important. Ils cherchent des preuves que les personnes les plus proches des risques reçoivent la bonne formation. Un matériel de sensibilisation unique ne suffit pas. La formation n’a pas besoin d’être parfaite, mais elle doit être pratique et constante.

Les dirigeants doivent s’attacher à développer des réflexes comportementaux au sein du personnel, et non se contenter d’émettre des rappels. Si votre personnel ne comprend l’utilisation responsable de l’IA qu’en théorie, cela ne se manifestera pas lorsque cela est important. Et lorsque la prochaine manchette fera état d’une erreur de l’IA, ce ne sera pas le modèle qui sera blâmé, mais plutôt la gouvernance qui a formé le personnel à l’utilisation de l’IA. Ce sera la gouvernance qui a formé (ou n’a pas formé) les personnes qui l’utilisent.

Les mesures de gouvernance superficielles ne suffisent pas à satisfaire les auditeurs et les régulateurs

Un document n’est pas une gouvernance. Une politique n’est pas une preuve. De nombreuses entreprises pensent que, parce qu’elles ont défini des principes d’IA responsable, elles sont prêtes pour les audits ou les questions réglementaires. Ce n’est pas le cas. Ce qui compte, c’est que ces principes influencent les décisions. Au point d’utilisation. Dans des scénarios commerciaux réels.

Danny Manimbo, responsable de la pratique ISO et IA chez Schellman, évalue les systèmes de gouvernance de l’IA. Ce qu’il constate systématiquement, c’est un excès de confiance fondé sur la paperasserie. Comme il le dit, « les organisations confondent le fait d’avoir des politiques avec celui d’avoir une gouvernance ». Lorsque les auditeurs demandent des preuves, comme un fournisseur rejeté en raison du risque lié à l’IA, un déploiement retardé ou une décision modifiée en raison de la gouvernance, la plupart des entreprises ne peuvent rien montrer. C’est un signal d’alarme.

La gouvernance qui compte laisse des traces. Elle a un impact sur les délais. Elle limite l’accès. Elle indique quels outils sont autorisés et quelle équipe obtient des ressources. Si vous pouvez déployer des plateformes et des fonctions d’IA sans réaction, sans évaluation des risques et sans modification, alors la gouvernance ne fonctionne pas, elle est contournée.

Le conseil de Manimbo est clair : la gouvernance doit fonctionner comme un système, et non comme une tâche autonome de mise en conformité. Les cadres politiques opérationnels doivent relier la gestion des risques, le contrôle des changements, le suivi et l’audit interne, de manière continue et non occasionnelle. C’est ce qui fait la différence entre vérifier des cases et renforcer la résilience.

Pour les dirigeants, cela signifie que la gouvernance doit être évaluée par l’action, et non par la présence. Les équipes doivent être en mesure de montrer que leurs décisions ont été façonnées par la logique des risques de l’IA, et pas seulement qu’il existe quelque part un document décrivant les intentions. Toute approche de gouvernance qui ne ralentit pas quelque chose, ne bloque pas quelque chose de nouveau ou ne signale pas de limites ne contrôle pas votre paysage d’IA. Vous êtes exposé, et vous ne verrez probablement pas les retombées avant qu’il ne soit trop tard.

Le principal défi du déploiement responsable de l’IA est une question de calendrier

La plupart des échecs en matière de gouvernance ne sont pas dus à un manque d’intelligence ou d’intention. Ils se produisent parce que l’action est trop tardive. Les contrôles sont appliqués une fois que les outils d’IA sont déjà intégrés, utilisés et fonctionnent. À ce stade, il est difficile de retracer l’historique des données, de déterminer les responsabilités ou d’annuler les décisions risquées.

Plusieurs experts interrogés ont dit la même chose de différentes manières : l’IA responsable n’est pas un programme d’avenir. Ce n’est pas quelque chose que l’on met en place plus tard, lorsque la technologie se stabilise. Elle doit commencer dès maintenant et doit être opérationnelle, continue et directement liée à l’endroit où le travail réel de l’entreprise est effectué.

Ericka Watson, PDG de Data Strategy Advisors, a été directe : « Vous ne pouvez pas gouverner ce que vous ne pouvez pas voir ». Selon elle, les entreprises ne savent même pas où l’IA est utilisée sur les plateformes SaaS ou au sein des équipes. Sans cette visibilité, il n’y a pas de gouvernance, seulement des suppositions.

Fawad Butt, PDG de Penguin Ai, a approfondi la question du point de vue des données. Selon lui, les inventaires doivent reconnaître le système dans son contexte. La même fonction d’IA déployée dans les RH ou dans le marketing comporte des risques différents. Les traiter de la même manière est un échec en matière de gouvernance. La fonction et les données avec lesquelles elle interagit doivent guider votre niveau de contrôle.

Richa Kaul, PDG de Complyance, a souligné que les entreprises passent souvent à côté des couches de sous-processeurs supplémentaires qui accompagnent l’IA du fournisseur et l’IA intégrée. La seule façon de comprendre le risque est d’obliger les équipes à retracer le chemin complet des données, même si les fournisseurs affirment que tout va bien. Les assurances de surface sont souvent trompeuses.

Asha Palmer, de Skillsoft, a rappelé à tous que les environnements à haute pression ne disparaissent pas. Attendre que les gens fassent une pause et se comportent idéalement n’est pas une stratégie. La formation doit être insérée tôt et calibrée en fonction des cas d’utilisation du monde réel. Sinon, les comportements non conformes deviennent la norme.

Danny Manimbo a fourni le test final : si votre gouvernance de l’IA n’a pas retardé, rejeté ou limité un produit, c’est qu’elle n’existe pas dans la pratique. Une gouvernance efficace modifie les comportements. Elle modifie le calendrier. Elle arrête les choses lorsque c’est nécessaire, non seulement en théorie, mais aussi sur le plan opérationnel.

Les dirigeants doivent agir rapidement pour intégrer la gouvernance dans les premières étapes de l’adoption. Une surveillance tardive est trop faible et trop lente. Le risque n’est pas à venir, il est déjà intégré dans vos outils et vos flux de travail. Si la gouvernance n’influence pas les décisions dès maintenant, elle deviendra une opération de nettoyage une fois que les dégâts auront été causés.

Principaux enseignements pour les dirigeants

• La gouvernance n’est pas alignée sur la vitesse de déploiement de l’IA : Les dirigeants devraient intégrer la gouvernance directement dans les flux de travail au lieu de s’appuyer sur des processus lents et centralisés. Les mécanismes d’approbation statiques ne peuvent pas s’adapter au rythme ou à l’échelle de l’adoption décentralisée de l’IA basée sur le SaaS.
• La gouvernance des données héritées s’effondre sous l’effet de la genAI : les cadres traditionnels ne tiennent pas compte des principaux risques, qui résident désormais dans les intrants de l’IA, et non dans ses extrants. Les dirigeants doivent se concentrer sur la surveillance des invites, l’approvisionnement en données et l’accès dynamique au système en temps réel.
• L’IA des fournisseurs expose à des risques invisibles : Considérez les fonctions d’IA dans les outils des fournisseurs comme des composants à haut risque nécessitant un examen structuré et cohérent. Les dirigeants de la suite devraient exiger une visibilité sur les sous-processeurs et renforcer les normes relatives aux déploiements d’IA par des tiers.
• Le comportement des employés conduit à une mauvaise utilisation de l’IA sous la pression : Les échecs en matière de conformité sont dus à la pression exercée sur les performances, et non à l’ignorance. Si les politiques ne fonctionnent pas, les dirigeants doivent investir dans des formations basées sur des scénarios qui renforcent l’action responsable dans des conditions de stress réelles.
• La politique seule ne satisfait pas les auditeurs ou les régulateurs : La gouvernance doit influencer les décisions commerciales réelles, en retardant les déploiements, en rejetant les outils ou en redéfinissant les flux de travail, sinon elle ne compte pas. Les dirigeants doivent mettre en œuvre des systèmes qui laissent des preuves d’impact prêtes à être auditées.
• Une gouvernance retardée est une gouvernance ratée : La plupart des risques liés à l’IA découlent d’une surveillance trop tardive. Les décideurs devraient déplacer la gouvernance en amont, en assurant une visibilité précoce de l’utilisation de l’IA, une cartographie contextuelle des risques et un contrôle proactif au moment du déploiement.