Comment éviter que des expérimentations d'IA dispersées ne créent une dette difficile à rattraper ?
Publication sponsorisée par AIdoption, éditée par Lirenprism.
Pour éviter la dette technique, recensez tous les systèmes d'IA dans un inventaire unique, désignez un responsable pour chacun, puis encadrez les nouveaux projets par une politique de gouvernance.
Pour éviter la dette technique, recensez tous les systèmes d'IA dans un inventaire unique, désignez un responsable pour chacun, puis encadrez les nouveaux projets par une politique de gouvernance. La première étape consiste à dresser l'inventaire de chaque service d'IA présent dans l'environnement, de ses utilisateurs, des données auxquelles il accède et de son usage. Les interdictions générales poussent généralement les usages dans la clandestinité. Le shadow AI se combat donc mieux par l'offre d'une voie légitime. Les organisations obtiennent de meilleurs résultats en fournissant des alternatives d'IA sécurisées et approuvées, avec des contrôles adaptés. Une politique efficace classe les outils en trois niveaux : approuvés, à usage limité et interdits. Une politique d'IA responsable doit définir les outils approuvés, les types de données interdits et la procédure de revue des nouveaux projets d'IA. Cette revue évite qu'un prototype devienne un système durable sans que personne en ait décidé. La fonction Map du cadre NIST donne le contexte nécessaire pour décider s'il faut concevoir, construire ou déployer un système d'IA. Les experiments restent possibles, mais chacun entre dans un registre, avec un propriétaire et une date de revue.
Comment faire l'inventaire des IA et repérer le shadow AI dans l'entreprise ?
Pour inventorier les IA, croisez la détection technique avec la déclaration volontaire, puis consignez le résultat dans un registre unique. Combiner les méthodes de détection avec des enquêtes auprès des employés donne un inventaire des outils, des flux de données et des cas d'usage. Des enquêtes anonymes assorties d'une clause d'amnistie font remonter les usages que les analyses techniques manquent. Chaque entrée reçoit une note de risque fondée sur la sensibilité des données concernées et sur les pratiques de traitement de l'outil. Cet inventaire devient la base de référence de toutes les décisions ultérieures. Il faut aussi nommer qui le tient à jour. Le guide d'accompagnement du NIST AI RMF recommande de définir une personne ou une équipe chargée de maintenir l'inventaire et d'y consigner des attributs utiles. L'exercice ne s'arrête jamais. L'inventaire du shadow AI est continu, car de nouvelles fonctions d'IA apparaissent sans prévenir dans des applications déjà approuvées. Pour les agents autonomes, il faut savoir quels agents existent, qui en est responsable, à quoi ils accèdent et quelles actions ils peuvent mener. Cette visibilité évite de payer en double des outils dispersés et de découvrir trop tard des usages sans propriétaire.
NIST AI RMF ou ISO/IEC 42001 : quel cadre de gouvernance IA choisir ?
Les deux cadres se complètent : le NIST AI RMF organise la gestion des risques, et l'ISO/IEC 42001 fournit un système de management certifiable. Le NIST AI RMF 1.0, publié le 26 janvier 2023, est un cadre volontaire qui aide à identifier, évaluer et gérer les risques liés à l'IA selon quatre fonctions : Govern, Map, Measure et Manage. Govern établit la responsabilité, les politiques et la supervision au niveau de l'organisation. Ce cadre est d'usage volontaire et n'établit pas automatiquement la conformité légale. Un système de management de l'IA est un ensemble structuré de politiques, de processus et de contrôles qui encadrent la conception, le développement, le déploiement et l'usage des systèmes d'IA. L'ISO/IEC 42001 est certifiable et gouverne toutes les activités d'IA par des politiques, des procédures et des personnes responsables. Elle ne choisit pas les modèles à votre place. Elle exige un système délibéré, documenté et amélioré en continu pour décider de ces choix et corriger les erreurs. Pour une entreprise qui démarre, le NIST sert de guide pratique. La norme ISO devient utile quand il faut démontrer cette gouvernance à des clients ou à des auditeurs.
Comment le Conseil opérationnel en IA d'AIdoption aide-t-il à éviter la dette liée aux expérimentations dispersées ?
La dette naît souvent d'initiatives qui restent au stade de la démonstration : personne ne les a décidées comme des systèmes durables, mais elles continuent d'exister et de consommer des ressources. C'est l'une des situations que traite le Conseil opérationnel en IA d'AIdoption, qui s'attaque aux projets bloqués au stade du prototype sans passage à l'échelle. La méthode repose sur des Forward Deployed Engineers intégrés aux équipes du client. Ils conçoivent des solutions reliées aux systèmes d'information, aux données et aux règles métiers réelles, puis les mettent en production. Un essai isolé, déconnecté de ces éléments, devient ainsi un système rattaché à l'organisation, que l'on peut inventorier et confier à un responsable, comme le décrivent les étapes précédentes. L'entreprise annonce aussi un accompagnement tourné vers la livraison de systèmes fonctionnels, plutôt que vers la rédaction de rapports stratégiques. Un autre point touche à la dette cachée : la difficulté à mesurer et imputer le coût réel de l'IA, que la prestation prend en charge. Quand les usages se multiplient hors de tout cadre, le shadow AI rend ces coûts invisibles. Enfin, la propriété technologique et la documentation sont transmises au client, ce qui évite d'ajouter une dépendance à un fournisseur.
