Comment les contrôles réguliers éclairent les décisions sur l’IA

La gouvernance de l’IA doit fonctionner au-delà de l’étape d’approbation

Les entreprises disposent déjà de politiques et de protocoles en matière d’IA, pourtant les organisations continuent de les contourner, creusant l’écart entre les règles et leur exécution. Des incidents de cybersécurité marquants et bien documentés montrent les risques liés à l’IA, mais la seule sensibilisation n’a pas suffi à combler cet écart. Les DSI ont donc besoin de contrôles que les équipes peuvent utiliser pendant le développement, le déploiement et l’exploitation, avec une autorité claire pour agir lorsque les risques évoluent.

Ces contrôles peuvent aussi aider les équipes à déployer plus vite. « Aller vite et appliquer une gouvernance appropriée ne sont pas incompatibles », a déclaré Jackson. Pour rendre ces deux objectifs possibles, les DSI doivent transformer les exigences de gouvernance en décisions que les équipes peuvent appliquer tout au long de la vie opérationnelle d’un système, tout en évitant les obstacles inutiles aux opérations.

La responsabilité et l’expertise déterminent si les contrôles peuvent fonctionner

Une supervision continue devient particulièrement importante avec l’IA agentique : des systèmes ou des agents capables d’agir de manière autonome. Dans une enquête, environ un répondant sur quatre utilisant cette technologie a indiqué que la responsabilité de sa maintenance ou de sa surveillance après le déploiement n’était pas définie. L’approbation permet à une équipe de lancer un système, mais la responsabilité continue établit qui doit prendre en charge le système en fonctionnement. Sans responsable désigné, personne ne sait qui doit intervenir lorsqu’une attention est nécessaire.

Attribuer un responsable signifie aussi définir ce que cette personne ou cette équipe doit faire. Une activité autonome exige de l’observation, la responsabilité des changements de comportement et des conditions claires pour l’intervention humaine. Ces responsabilités sont liées, mais charger quelqu’un de surveiller un système ne lui donne pas automatiquement la responsabilité ni l’autorité d’y répondre. Les équipes doivent savoir comment une observation conduit à une décision et qui l’exécute.

Mener ce travail exige aussi de l’expertise. Environ deux tiers des répondants à l’enquête ont exprimé des inquiétudes quant à l’insuffisance de l’expertise interne pour concevoir, mettre en œuvre ou faire évoluer les contrôles de gouvernance de l’IA. Ce constat concerne les répondants de manière générale, tandis que le constat sur la responsabilité concerne ceux qui utilisent l’IA agentique. Ensemble, ils soulèvent deux questions distinctes sur le niveau de préparation : si la responsabilité a bien été attribuée, et si les personnes désignées sont capables d’effectuer ce travail.

L’expertise compte à chaque étape de ce travail, car chacune exige un jugement différent. Concevoir un contrôle consiste à décider ce qu’il doit exiger ; le mettre en œuvre signifie rendre cette exigence exploitable ; le faire évoluer signifie adapter le contrôle à mesure que les déploiements évoluent. Le responsable de la surveillance peut encore avoir besoin d’aide pour juger si la surveillance est adéquate. La planification de la gouvernance doit donc traiter à la fois l’attribution des responsabilités et les compétences nécessaires pour les assumer.

Intégrer l’approbation, les exceptions et l’intervention dans le déploiement

Pour rendre ces responsabilités applicables, Jackson recommande d’intégrer la gouvernance au développement et au déploiement de l’IA. Les équipes doivent définir les exigences de test, d’approbation, de surveillance et d’escalade dans le cadre du travail, y compris la manière dont un problème remonte jusqu’à une personne autorisée à agir. Les tests établissent ce qui doit être examiné, et l’approbation identifie qui décide si le déploiement peut se poursuivre. La surveillance et l’escalade prolongent ces exigences dans l’exploitation en reliant les problèmes observés à une réponse.

Les déploiements urgents exigent des décisions et des responsabilités tout aussi claires. Jackson recommande que les DSI précisent qui peut autoriser un déploiement accéléré, quels contrôles supplémentaires s’appliquent et quelles revues doivent suivre une fois le système en fonctionnement. Une exception devient alors une décision autorisée assortie de conditions explicites. Ces conditions préservent la responsabilité du risque accepté et du suivi requis, tout en donnant aux équipes une voie autorisée pour avancer rapidement.

La responsabilité doit se poursuivre après l’approbation d’un déploiement ou d’une exception. Jackson recommande de définir la responsabilité sur l’ensemble du cycle de vie du système, notamment qui surveille les systèmes autonomes, qui assume la responsabilité lorsque le comportement change et à quel moment une intervention humaine devient nécessaire. Les équipes doivent pouvoir relier un changement observé à la personne chargée d’y répondre. Cela fait du passage entre surveillance et intervention une décision opérationnelle explicite.

Pour que ce passage fonctionne, les personnes responsables doivent savoir ce qu’un agent est en train de faire. Jackson appelle à des garde-fous humains, à des garde-fous technologiques, à une visibilité sur l’activité des agents et à la capacité de détecter un fonctionnement en dehors des paramètres prévus. La visibilité fournit l’information, tandis que des limites définies aident les personnes à juger si une action est nécessaire. Les règles d’intervention relient ensuite ce jugement à quelqu’un qui peut agir.

Utiliser les revues d’assurance pour modifier les décisions opérationnelles

Une fois ces contrôles en place, Jackson recommande des revues d’assurance régulières : des vérifications récurrentes pour savoir si les dispositifs fonctionnent en pratique. Les revues doivent examiner les contrôles en fonctionnement et éclairer les décisions visant à modifier un système, à le mettre en pause ou à l’arrêter. Leurs conclusions doivent aussi guider les changements de gouvernance à mesure que l’usage de l’IA évolue, afin que les exigences restent pertinentes pour les systèmes que les équipes exploitent.

Agir sur la base de ces conclusions exige à la fois autorité et capacité. « La gouvernance est ce qui donne aux organisations la confiance nécessaire pour avancer rapidement sans perdre le contrôle », a déclaré Jackson. Pour qu’une revue soutienne cette confiance, ses conclusions doivent parvenir à un décideur responsable ainsi qu’à des personnes capables de modifier, suspendre ou arrêter le système en fonctionnement.

Les DSI doivent relier les responsabilités entre les équipes

Le passage à l’action traverse souvent les frontières organisationnelles, les dirigeants doivent donc coordonner les équipes concernées. « Le rôle d’un DSI et de la direction est de mettre en place des équipes transverses, réunissant les équipes juridiques, IT, sécurité et conformité, et de s’assurer que la gouvernance au sein de chaque équipe suit le rythme du déploiement de l’IA », a déclaré Jackson. À mesure que les déploiements évoluent, ces équipes doivent se coordonner afin qu’une décision prise dans une fonction entraîne l’action nécessaire dans une autre.

Dans ce travail partagé, Jackson accorde un poids particulier au jugement technique du DSI. « La vision et l’expertise du DSI n’ont jamais été aussi essentielles pour aider à éclairer et à rendre possible la gouvernance dans toute l’organisation », a déclaré Jackson. Le DSI peut aider à relier l’approbation, les exceptions, la surveillance et l’intervention à la technologie déployée et aux personnes qui la supervisent. Ce travail dépasse la seule fonction du DSI, car les décisions juridiques, de sécurité et de conformité influent aussi sur le fonctionnement d’un système.

Pourtant, réunir ces fonctions ne supprime pas la nécessité d’aligner les responsabilités sur les capacités. La question de l’expertise est importante lorsque les équipes attribuent les travaux de test, de surveillance et de revue, car chaque attribution dépend de personnes capables de porter les jugements requis. Une organisation qui contourne déjà les protocoles peut aussi ne pas exécuter les responsabilités nouvellement documentées. La direction doit donc vérifier si les équipes désignées peuvent effectuer ce travail et si leurs conclusions parviennent à quelqu’un ayant l’autorité d’agir.

Points clés à retenir pour les décideurs

Étendre la gouvernance aux opérations : les DSI ont besoin de contrôles que les équipes peuvent utiliser pendant le développement, le déploiement et l’exploitation quotidienne, avec une autorité claire pour agir lorsque les risques évoluent.
Faire correspondre responsabilité et expertise : environ un répondant sur quatre utilisant l’IA agentique a signalé une responsabilité post-déploiement non définie. Désignez des responsables pour la surveillance et l’intervention, et vérifiez qu’ils disposent des compétences et de l’autorité nécessaires pour assumer ces responsabilités.
Définir les règles de déploiement et d’exception : les DSI ont besoin d’exigences explicites en matière de test, d’approbation, de surveillance et d’escalade. Pour les déploiements accélérés, précisez qui autorise l’exception, quels contrôles supplémentaires s’appliquent et quand les revues de suivi ont lieu.
Relier l’assurance à l’action : des revues régulières doivent éclairer les décisions visant à modifier, mettre en pause ou arrêter les systèmes en fonctionnement. Orientez les conclusions vers des décideurs ayant l’autorité nécessaire et vers des personnes capables de mettre en œuvre la réponse.
Coordonner les responsabilités entre les fonctions : les DSI ont besoin que les équipes juridiques, IT, sécurité et conformité relient leurs décisions à mesure que les déploiements de l’IA évoluent. Vérifiez que chaque transmission aboutit à une personne équipée et autorisée à agir.