De nombreuses organisations utilisent des outils d’IA dans leur sécurité, mais peu ont défini qui est responsable lorsque les choses tournent mal.
L’IA n’entre généralement pas dans l’entreprise par une décision de la direction. Un collaborateur colle un texte dans ChatGPT, les RH font résumer des CV par un outil et un développeur confie l’écriture de code à un assistant. Le livre blanc d’Abnormal AI, partagé par JARVISS, parle de « shadow AI ». C’est là que commence la gouvernance de l’IA : l’ensemble des politiques, processus et responsabilités qui garantit que les systèmes d’IA sont développés et utilisés de manière responsable.
L’étude citée par le livre blanc est claire. Seuls 32 % des organisations utilisent l’IA de manière étendue dans leurs programmes de sécurité, et près de deux tiers n’ont aucune politique de gouvernance de l’IA. C’est préoccupant, car l’IA prend de plus en plus souvent des décisions en matière de détection des menaces, de contrôle d’accès et de réponse aux incidents.
Qui fait quoi ?
Le livre blanc pose la question de savoir si le CISO doit être le propriétaire de la gouvernance de l’IA, ou si cette responsabilité revient à un Chief AI Officer. La réponse dépend du contexte. Une chose est toutefois claire : la gouvernance de l’IA touche au domaine du responsable de la sécurité, quelles que soient les lignes hiérarchiques formelles. Au niveau exécutif, le CISO porte la responsabilité principale des risques de sécurité liés à l’IA. Les security engineers et les équipes SOC en assurent le suivi quotidien : ils surveillent les performances des modèles, valident les résultats et signalent les écarts pouvant indiquer un vieillissement du modèle ou une attaque.
Pour bien répartir ces tâches, le livre blanc recommande une matrice RACI. Elle permet de définir qui est responsable, qui rend des comptes, qui est consulté et qui est informé. La réglementation diffère en outre selon les régions, et l’EU AI Act est déjà en vigueur. Les organisations qui attendent que les règles soient totalement fixées devront intégrer des contrôles a posteriori dans des systèmes déjà en production. C’est pourquoi le livre blanc plaide pour un cadre modulaire, capable de s’adapter aux exigences régionales.
Vous voulez savoir quelles douze fonctions un cadre de gouvernance de l’IA complet doit couvrir et comment remplir concrètement la matrice RACI ? Téléchargez le livre blanc « Defining AI Governance Responsibilities » sur jarviss.be et déterminez dès cette semaine qui, dans votre organisation, est l’interlocuteur pour l’IA.