Votre rendez-vous du jeudi · Série IA
Depuis la fin août, cette série a posé les pièces une à une : l'inventaire des usages, qui en répond, les risques propres aux modèles de langage, l'IA de vos fournisseurs, l'IA utilisée contre vous, ISO 42001 et le NIST AI RMF, et la semaine dernière les agents IA. Il manque la pièce qui fait tenir les autres.
Notre position : une gouvernance de l'IA qui ne se mesure pas reste une intention. Une politique signée, un comité formé et un registre ouvert ne disent pas si le risque baisse. Pour le savoir, il faut quelques indicateurs, suivis dans le temps, et une page que la direction lit chaque trimestre. C'est l'objet de cet épisode : la feuille de route complète, sur une page.
Pourquoi mesurer avant de piloter
Le NIST AI RMF organise la gestion du risque lié à l'IA en quatre fonctions : gouverner, cartographier, mesurer, gérer. La fonction Mesurer emploie des outils et des méthodes « quantitatifs, qualitatifs ou mixtes » pour évaluer le risque et ses impacts, et ses résultats alimentent la fonction Gérer, qui consiste à allouer des ressources aux risques cartographiés et mesurés, sur une base régulière. Autrement dit : sans mesure, l'allocation se fait à l'intuition. Pour l'IA générative, le profil NIST AI 600-1, publié en juillet 2024, décline ces quatre fonctions en actions concrètes.
ISO/IEC 42001 dit la même chose dans la langue des systèmes de management. Sa clause 9, l'évaluation de la performance, demande de surveiller et de mesurer, de mener des audits internes et de tenir une revue de direction. Un auditeur ne vous demandera pas si vous avez une politique d'IA ; il vous demandera comment vous savez qu'elle fonctionne.
Ce que ça change : la question à poser à votre équipe n'est pas « avons-nous une gouvernance de l'IA ? », mais « quels chiffres la direction a-t-elle vus le trimestre dernier, et quelle décision en a-t-elle tirée ? ».
La feuille de route en une page
Sept étapes, dans l'ordre. Chacune a une action, une preuve qu'elle est faite, et un indicateur qui dit si elle tient dans le temps.
1. Inventorier les usages. L'action : un registre de tous les systèmes et outils d'IA, y compris ceux adoptés sans autorisation. La preuve : le registre daté. L'indicateur : la part des usages découverts qui figurent au registre, et la date de sa dernière mise à jour.
2. Nommer qui répond. L'action : un propriétaire par usage, une personne et pas un service, et une instance qui arbitre. La preuve : la colonne « propriétaire » remplie. L'indicateur : la part des usages qui ont un propriétaire nommé.
3. Traiter les risques propres aux modèles. L'action : pour chaque système qui touche des données sensibles ou des clients, les contrôles contre l'injection de requêtes, la fuite de données et les sorties non vérifiées. La preuve : une évaluation par système. L'indicateur : la part des systèmes sensibles évalués dans les douze derniers mois.
4. Évaluer l'IA de vos fournisseurs. L'action : savoir quels fournisseurs utilisent l'IA sur vos données, et avec quelles garanties contractuelles. La preuve : la question posée et la réponse archivée. L'indicateur : la part des fournisseurs critiques dont l'usage de l'IA est connu.
5. Résister à l'IA offensive. L'action : une vérification hors bande pour tout paiement, changement de coordonnées bancaires ou demande urgente d'un dirigeant. La preuve : la procédure écrite et un exercice. L'indicateur : le résultat du dernier exercice, et le nombre de demandes frauduleuses arrêtées par la procédure.
6. Choisir son référentiel. L'action : le NIST AI RMF pour faire le travail, ISO 42001 le jour où quelqu'un exige une preuve. La preuve : une décision écrite, avec sa raison. L'indicateur : la couverture des contrôles retenus, mesurée au même rythme que le reste de la conformité.
7. Tenir les agents. L'action : une identité propre, le moindre privilège, une approbation humaine pour l'irréversible, des journaux et un coupe-circuit pour chaque agent. La preuve : les quatre colonnes de plus au registre. L'indicateur : la part des agents qui respectent les six règles, et le délai réel pour en arrêter un.
Les indicateurs qui comptent, et ceux à laisser de côté
Sept étapes donnent sept indicateurs. C'est déjà beaucoup pour une direction. Gardez-en quatre ou cinq au tableau trimestriel, et suivez les autres dans l'équipe.
Les bons indicateurs ont trois propriétés : ils se rattachent à une étape de la feuille de route, ils peuvent se dégrader, et quelqu'un sait quoi faire quand ils se dégradent. « 82 % des usages ont un propriétaire » remplit les trois conditions. « 14 formations données ce trimestre » n'en remplit aucune : c'est une mesure d'activité, pas de risque.
Méfiez-vous aussi du score unique. Une note globale « maturité IA : 3,2 sur 5 » rassure, mais elle ne dit pas quoi corriger. Une direction a besoin de savoir où le risque se trouve, pas seulement à quel point il est grand. Les pourcentages ci-dessus sont des exemples ; vos cibles dépendent de votre point de départ.
Ce qu'on présente au conseil
Une page, quatre blocs, chaque trimestre.
- L'exposition. Combien d'usages de l'IA, combien d'agents, combien de fournisseurs qui utilisent l'IA sur vos données, et l'évolution depuis le trimestre précédent.
- Les trois principaux scénarios de risque liés à l'IA, tirés du registre de risques, écrits comme le propose notre série risques : une source, un événement, un processus touché, une conséquence d'affaires. Pour chacun, son propriétaire et son niveau résiduel.
- Les indicateurs, quatre ou cinq, avec leur tendance. Un indicateur qui se dégrade vient avec son explication.
- Les décisions demandées. Un budget, un usage à arrêter, un risque à accepter formellement, une certification à lancer ou à reporter. Si la page ne demande aucune décision, elle informe, mais elle ne gouverne pas.
Ce que ça change : le conseil ne lit pas des détails techniques. Il arbitre. La page doit lui donner de quoi arbitrer, et lui laisser une trace de ce qu'il a décidé.
Les trois pièges
Mesurer l'activité au lieu du risque. Le nombre de politiques publiées, de sessions de sensibilisation ou d'outils achetés monte toujours. Il ne dit rien de l'exposition.
Laisser la mesure à la TI seule. L'équipe technique sait compter les systèmes. Elle ne sait pas, seule, dire lequel compte le plus pour l'entreprise. Les propriétaires de l'étape 2 doivent signer leurs propres chiffres.
Mesurer une fois. Un état des lieux annuel est une photo. L'IA change de trimestre en trimestre : nouveaux outils, nouveaux agents, nouvelles fonctions activées par vos fournisseurs. La mesure doit suivre le même rythme.
Le test de la semaine
Répondez par écrit à trois questions :
- Quels chiffres sur l'IA la direction a-t-elle vus au cours des trois derniers mois ?
- Quelle décision en a-t-elle tirée ?
- Lequel de ces chiffres pourrait se dégrader le trimestre prochain, et qui serait alerté ?
Si la réponse à la première question est « aucun », votre gouvernance de l'IA est une intention. Ce n'est pas un échec : la feuille de route ci-dessus vous dit par où commencer.
Ce que vous devriez avoir dans un trimestre
La feuille de route imprimée, avec une case cochée ou datée pour chacune des sept étapes. Un tableau de quatre ou cinq indicateurs, avec leur valeur de départ. Trois scénarios de risque liés à l'IA dans le registre, chacun avec son propriétaire. Et une première page présentée à la direction, avec au moins une décision prise. C'est votre référence ; le trimestre suivant dira si le risque baisse.
Où FortaRisks intervient
Forta Cockpit est la vue des décideurs : vos scénarios liés à l'IA y entrent dans le même registre que les autres risques, avec leur propriétaire, leur niveau inhérent et leur niveau résiduel, pour que la page du conseil se prépare à partir de données à jour plutôt que d'un tableur. Forta Conformité évalue ISO 42001 et le NIST AI RMF parmi les 40+ référentiels rattachés au même socle de contrôles : la couverture de l'étape 6 se mesure en continu, pas une fois par an. Pour voir comment votre propre feuille de route se traduirait dans la plateforme, demandez une démonstration.
Le guide à imprimer. Cette feuille de route existe aussi en PDF de huit pages : les sept étapes avec leur preuve et leur indicateur, la page trimestrielle du conseil à remplir et une liste de contrôle d'une page. Obtenir le guide « Sécurité de l'IA : la feuille de route ».
Jeudi prochain : vos employés et les assistants IA grand public. Ce qui sort de l'entreprise quand un document est collé dans un robot conversationnel, et les règles simples qui l'empêchent sans interdire l'outil.
Sources : NIST, AI Risk Management Framework · NIST AIRC, les quatre fonctions du cœur de l'AI RMF · NIST, AI 600-1, profil de l'IA générative (26 juillet 2024) · ISO, ISO/IEC 42001 expliquée · IEC, ISO/IEC 42001:2023