Vous allez mettre en place un programme minimal et auditable de gouvernance et de gestion des risques liés à l’IA, capable d’évoluer à l’échelle de votre organisation d’ici 2026.
Nous utiliserons un modèle opérationnel unique et une organisation type, NorthBridge Credit Union, afin que chaque leçon ultérieure s’appuie sur la même structure plutôt que de repartir de zéro.
À l’issue de ce cours, vous devriez être en mesure d’identifier un ensemble restreint d’éléments documentaires évolutifs (« artefacts vivants ») et de préciser qui en est responsable, où sont conservées les preuves associées et à quelle fréquence ils sont révisés.
Un responsable des risques chez NorthBridge Credit Union interroge une équipe de support sur la manière dont elle gère l’accumulation de tickets en attente.
Un agent explique qu’ils copient-collent les échanges avec les clients dans un chatbot web gratuit pour rédiger des réponses, et que le service RH utilise un autre outil pour trier plus rapidement les CV.
Personne ne peut dire qui a approuvé ces outils, quelles données ont été partagées, si les résultats générés servent à la prise de décision, ni s’il existe des journaux d’activité retraçant ces opérations.
Commencez par les faitsAvant d’établir des politiques et des cadres de référence, identifiez ce qui se passe, où cela se produit et quelles données sont impliquées.
On entend par usage d’IA non approuvé toute utilisation d’un système d’IA dans un cadre professionnel sans responsable désigné, sans objectif documenté et sans contrôles validés.
Cela constitue un risque car cela crée une exposition que vous ne pouvez ni visualiser ni prouver avoir maîtrisée.
Chez NorthBridge, les scénarios courants incluent la sortie de données hors des systèmes approuvés, des connexions non officielles transférant des données, et l’utilisation par le personnel des résultats de l’IA comme s’il s’agissait de décisions validées.
Visualisons où se situent généralement ces points d’exposition dans les flux de travail quotidiens.
Une gouvernance auditable permet d’établir un lien de traçabilité entre une exigence ou une politique, un processus reproductible, les enregistrements attestant de l’exécution de ce processus, et le responsable désigné qui en assure le suivi dans le temps.
Pour NorthBridge, les livrables justifiables s’inscrivent dans une boucle d’itération serrée plutôt que de constituer une accumulation massive de documents.
Nous examinerons ensuite la mise en œuvre concrète de ces éléments chez NorthBridge.