Qui maîtrise les budgets et les risques de l’IA ?

La responsabilité en matière d’IA dépend d’une autorité alignée

Confier au directeur des systèmes d’information (DSI) la responsabilité de l’IA à l’échelle de l’entreprise crée un problème pratique lorsque les unités opérationnelles et les fonctions conservent le contrôle des dépenses et du déploiement. Le DSI peut devoir répondre des résultats tout en ne contrôlant qu’une partie des décisions qui les déterminent. Pour les dirigeants qui définissent les budgets et la gouvernance de l’IA, la première question est de savoir si l’autorité, l’information et la responsabilité sont alignées.

Ces responsabilités peuvent s’aligner soit sous un propriétaire unique, soit dans le cadre d’une prise de décision distribuée. Les unités opérationnelles peuvent choisir les applications tandis que les dirigeants de l’entreprise définissent des conditions communes pour leur utilisation. Pourtant, les recherches de Thoughtworks mettent en évidence une tension entre une propriété distribuée et une responsabilité personnelle concentrée. Thoughtworks a un intérêt commercial dans la demande de conseil et de mise en œuvre en technologie d’entreprise, y compris pour les travaux liés à l’IA visés par ses recommandations.

La visibilité ne tranche pas la question de l’autorité

Thoughtworks a constaté qu’il n’existait « aucun modèle budgétaire unique dominant » pour l’IA, les responsabilités de déploiement et de dépenses étant réparties dans l’ensemble des organisations. Pourtant, les DSI ont déclaré se sentir personnellement responsables de la gestion des résultats de l’IA et assumer l’essentiel des reproches lorsque des erreurs se produisent. Des dépenses distribuées peuvent refléter des différences légitimes dans les besoins métier, mais cela crée un problème de management lorsque le dirigeant censé expliquer un résultat n’a pas autorité sur les décisions qui l’ont produit.

Comprendre ces décisions exige de la visibilité, que la plupart des répondants ont déjà déclaré avoir. Selon Thoughtworks, presque tous les dirigeants technologiques ont indiqué disposer d’une visibilité totale ou élevée sur les outils d’IA utilisés dans les différentes unités opérationnelles. Un inventaire peut montrer où l’IA est utilisée tout en laissant sans réponse la question de savoir qui peut autoriser cet usage, qui en fixe les conditions et qui gère les risques qui en découlent. Les organisations doivent donc examiner qui peut prendre quelles décisions en parallèle de leurs inventaires.

Même avec cette visibilité, la gouvernance peut avoir du mal à suivre le rythme du déploiement. Dans l’étude de Thoughtworks, la plupart des DSI ont décrit leur organisation comme bien préparée à gouverner l’IA, mais 88 % ont déclaré que l’adoption avançait plus vite que la gouvernance. Les réponses portent sur des questions différentes : la confiance dans les dispositifs existants et la rapidité avec laquelle ces dispositifs peuvent intégrer de nouvelles activités. Les dirigeants qui évaluent le niveau de préparation doivent donc examiner comment les responsabilités et les contrôles s’appliquent aux décisions de déploiement actuelles.

Au-delà de ces pressions organisationnelles, une étude distincte de la plateforme d’IA Writer décrit le risque de carrière perçu par les dirigeants. Dans un résultat présenté à l’époque comme datant de « plus tôt cette année », Writer a indiqué que 61 % des dirigeants technologiques craignaient de perdre leur emploi s’ils ne parvenaient pas à faire passer leur organisation par une transition vers l’IA. Writer vend une plateforme d’IA et bénéficie commercialement de l’adoption de l’IA en entreprise, ce qui lui donne un intérêt dans la manière dont les dirigeants perçoivent cette transition. Son constat porte sur la crainte de conserver son emploi ; l’étude de Thoughtworks porte sur la propriété et la responsabilité des résultats.

Un rôle de DSI élargi peut soutenir les décisions locales

Dans ce contexte, Thoughtworks a fait état de projets visant à modifier l’emplacement de la direction technologique dans l’organisation. Plus de la moitié des DSI prévoyaient d’intégrer des responsables technologiques au sein des unités opérationnelles, afin de rapprocher l’expertise des équipes qui prennent des décisions locales. Séparément, un peu moins de la moitié prévoyaient d’élargir le rôle du DSI pour superviser la stratégie d’IA d’entreprise et sa mise en œuvre. Chaque projet soulève une question : qui gagne l’autorité sur quelles décisions.

L’étendue de cette autorité détermine si un rôle de DSI élargi peut fonctionner aux côtés d’une direction locale. La stratégie d’entreprise peut couvrir une architecture et des contrôles communs, tandis que les unités opérationnelles choisissent les applications dans des conditions convenues. Des responsables technologiques intégrés peuvent relier les besoins locaux aux exigences de l’entreprise. Ces projets peuvent donc coexister, même si les résultats décrivent des réponses distinctes plutôt qu’un programme organisationnel combiné.

Pour l’un ou l’autre changement, les dirigeants doivent tester ce qu’il permet concrètement aux personnes de faire. Chaque décideur en matière d’IA peut-il exercer l’autorité nécessaire, obtenir les informations pertinentes et identifier les personnes responsables des contrôles applicables ? Une nouvelle ligne hiérarchique ou une description de poste élargie a une valeur pratique lorsqu’elle améliore ces conditions. Mais si un périmètre élargi ajoute de la responsabilité tout en laissant les droits de décision flous, le décalage initial demeure.

Les décisions locales ont besoin de propriétaires clairement identifiés et de visibilité financière

Pour clarifier ces droits de décision, Thomas Squeo, chief technology officer (CTO) de Thoughtworks Americas, a déclaré à CIO Dive dans des commentaires envoyés par e-mail que les organisations devraient examiner si les décideurs en matière d’IA disposent de l’autorité et des informations dont ils ont besoin. Il a également rejeté l’idée d’un modèle universel idéal pour la propriété de l’IA. Sa recommandation se concentre sur le fonctionnement propre à chaque organisation : les personnes censées agir peuvent-elles prendre les décisions pertinentes et en comprendre les conséquences ? En tant que dirigeant de Thoughtworks, il a un intérêt commercial dans la demande d’aide pour concevoir et mettre en œuvre ces dispositifs.

L’autorité et l’information doivent être évaluées ensemble, car l’une comme l’autre peuvent limiter l’efficacité d’un décideur. Une personne peut avoir l’autorisation d’approuver l’usage de l’IA tout en manquant des informations nécessaires pour en juger les implications. Une autre peut comprendre ces implications mais avoir peu d’influence sur la décision. Examiner la propriété signifie donc analyser ces deux conditions partout où se prennent les décisions.

Une fois l’autorité décisionnelle clarifiée, la responsabilité des contrôles doit elle aussi avoir un rattachement explicite. Thoughtworks recommande d’attribuer la sécurité, la confidentialité et la conformité aux propriétaires de contrôle concernés dans l’ensemble de l’entreprise. Ces propriétaires géreraient leurs obligations respectives dans le cadre d’une activité d’IA distribuée, aux côtés des responsabilités du DSI à l’échelle de l’entreprise. Des relations claires aident les décideurs à identifier quelles exigences s’appliquent à un usage proposé.

Les décisions sur le travail exigent une participation au-delà des personnes responsables de la technologie et des contrôles. « Les changements de rôles et de workflows impliquent ensemble les responsables des personnes, du métier et de la technologie », a déclaré Squeo. L’adoption de l’IA peut modifier la manière dont les tâches sont exécutées et les personnes qui en sont responsables ; ces dirigeants doivent donc participer aux décisions qui affectent leurs équipes. Leur implication relie les choix de systèmes aux rôles et aux opérations métier que ces systèmes vont transformer.

La responsabilité financière ajoute une autre exigence. Squeo a déclaré : « La finance obtient de la visibilité sur la consommation et la valeur, et les unités opérationnelles prennent des décisions locales dans des garde-fous convenus. » La finance pourrait examiner ce que l’activité d’IA consomme et la valeur qu’elle produit, tandis que les unités opérationnelles conserveraient une marge de manœuvre pour choisir les applications. Les garde-fous, c’est-à-dire les conditions convenues dans lesquelles ces unités peuvent agir, définissent les limites de cette autorité.

Une architecture partagée peut soutenir une adoption plus large

Ces frontières organisationnelles ont besoin d’une base technique que les unités opérationnelles puissent réutiliser. Squeo recommande un environnement technologique partagé avec une architecture et des contrôles rationalisés. L’architecture est la structure technique commune dans laquelle les applications fonctionnent ; les contrôles fixent les exigences de leur utilisation fiable. Mettre en place cette base donne au DSI une contribution définie à l’adoption locale dans l’ensemble de l’entreprise.

Une fois ces conditions communes en place, les équipes locales peuvent sélectionner des applications sans demander une nouvelle approbation du DSI pour chaque cas d’usage. Le DSI serait responsable du maintien de la fiabilité de cet environnement dans les différentes unités opérationnelles, tandis que les dirigeants locaux évalueraient quelles applications correspondent à leurs besoins. Cela donne à la supervision d’entreprise un périmètre précis : maintenir les conditions techniques qui permettent à l’adoption de se diffuser.

Squeo a décrit ce lien directement : « Je vois le DSI comme la personne qui relie l’adoption locale à l’échelle de l’entreprise », a-t-il déclaré. Son exemple est celui d’une application d’IA qui fonctionne dans une partie de l’entreprise et pourrait être étendue plus largement. Il a décrit cette responsabilité ainsi : « Veiller à ce que ce qui fonctionne dans une partie de l’entreprise puisse se développer sans perdre l’architecture et les contrôles qui en ont assuré la fiabilité. » Ainsi, étendre l’application à d’autres parties de l’entreprise exige de préserver la structure technique et les contrôles qui ont soutenu son usage initial.

Points clés à retenir pour les dirigeants

Aligner la responsabilité de l’IA sur l’autorité : Les DSI tenus responsables des résultats de l’IA ont besoin de droits de décision correspondant à leur périmètre. Examinez qui contrôle les dépenses, le déploiement et les risques avant d’élargir les responsabilités du DSI.
Tester la gouvernance face à la vitesse de déploiement : Dans l’étude de Thoughtworks, 88 % des DSI ont déclaré que l’adoption de l’IA avançait plus vite que la gouvernance. Utilisez les inventaires d’IA pour vérifier qui autorise chaque usage, en fixe les conditions et en gère les risques.
Définir les responsabilités de l’entreprise et du local : Un rôle de DSI élargi peut coexister avec des responsables technologiques intégrés dans les unités opérationnelles. Précisez quelles décisions relèvent de la direction d’entreprise et lesquelles les équipes locales peuvent prendre dans des conditions communes.
Attribuer la propriété des contrôles et la visibilité financière : Les responsables de la sécurité, de la confidentialité et de la conformité ont besoin d’une responsabilité explicite dans l’ensemble de l’activité d’IA distribuée. Donnez à la finance de la visibilité sur la consommation et la valeur, et impliquez les responsables métier et des personnes dans les changements de workflow.
Construire une base partagée pour une adoption plus large : Les DSI peuvent soutenir les choix d’applications locales grâce à une architecture et des contrôles communs. Préservez ces fondations lors de l’extension d’une application d’IA réussie à plusieurs unités opérationnelles.