Le service de gestion des sinistres de Northbridge Mutual souhaite déployer un copilote d’IA générative pour résumer les notes des experts en sinistres. Avant de l’approuver, l’équipe de gouvernance doit déterminer le responsable du cas d’usage, les données traitées, les risques à gérer et les éléments justifiant la décision. Nous concevrons le modèle opérationnel d’un programme capable de transformer les demandes d’adoption de l’IA en décisions traçables, en contrôles et en rapports destinés au conseil d’administration.
Un inventaire de l’IA recense chaque système d’IA et cas d’usage, ainsi que le responsable, l’objectif, les données, le fournisseur et le niveau de risque associés. Un registre des risques liés à l’IA consigne chaque risque identifié, son responsable, sa cotation, les mesures de traitement et la date de révision. Ces éléments assurent la visibilité du programme et offrent aux évaluateurs une base de travail fiable. Le modèle opérationnel de Northbridge Mutual articule les étapes de réception des demandes, de classification, de contrôle, de suivi et de reporting :
Un programme justifiable indique clairement qui avait le pouvoir d’approuver, de contester ou d’arrêter une décision, et conserve les preuves étayant cette décision. Les droits de décision répartissent ces pouvoirs entre les responsables métiers, les équipes chargées des risques et de la conformité, de la sécurité, du juridique, des achats et la haute direction. Ils évitent qu’une approbation ne se réduise à un simple échange informel d’e-mails sans responsable clairement identifié.
Le programme nécessite également une mise en application effective. Le responsable de la gouvernance de l’IA vérifie l’exhaustivité de l’inventaire et identifie les examens en retard, selon la périodicité choisie par l’organisation. Les responsables des contrôles fournissent les preuves nécessaires. Toute violation déclenche une enquête, une action corrective et, si la situation le justifie, la suspension du cas d’usage concerné. Une exception consigne le motif métier, l’autorité ayant accepté le risque, la date d’expiration et les conditions de poursuite de l’utilisation.
L’importance des preuves Une politique ne relève véritablement de la gouvernance que lorsque les responsables désignés en vérifient l’application, consignent les résultats et interviennent en cas de violation.
Le contrôle des changements permet de maintenir le registre à jour en cas de modification de la finalité du système, des sources de données, du fournisseur, du modèle ou de la population concernée. Cette approche s’aligne sur le cadre de gestion des risques liés à l’IA du NIST (NIST AI RMF) : la fonction « Gouverner » (Govern) couvre la responsabilité et les politiques organisationnelles, tandis que les fonctions « Cartographier » (Map), « Mesurer » (Measure) et « Gérer » (Manage) relient ces décisions aux risques identifiés et aux mesures de traitement associées.
Un programme fonctionne comme un cycle opérationnel récurrent, et non comme une simple étape d’approbation ponctuelle. La première ligne — l’équipe métier exploitant le cas d’usage — est responsable de la sécurité d’utilisation et de la documentation des preuves. La deuxième ligne définit les politiques, remet en question les décisions relatives aux risques et surveille la conformité. La troisième ligne fournit une assurance indépendante via l’audit interne. Une procédure d’escalade vers la haute direction est déclenchée lorsque le risque résiduel, une non-conformité répétée ou un changement significatif dépasse les limites des pouvoirs délégués.
Northbridge Mutual peut adopter un cycle mensuel pour tenir ses registres à jour et détecter les lacunes avant qu’elles ne soient relevées lors d’un audit. Nous pouvons ainsi retracer la manière dont chaque activité étaye la décision suivante :