Glossaire
Mis à jour
Qu’est-ce que la gestion des risques liés à l’IA ?
La gestion des risques liés à l’IA est le cycle par lequel une organisation décide, pour chaque risque lié à l’IA, de l’accepter, de le réduire, de le partager ou de l’éviter. Elle s’applique à chaque système d’IA utilisé, qu’il ait été développé en interne, acheté auprès d’un éditeur ou ajouté sous forme de nouvelle fonctionnalité dans un outil existant. Elle accompagne le système tout au long de sa vie, et pas seulement avant le lancement, car l’IA évolue en cours d’utilisation : les modèles sont mis à jour, les données dérivent et les utilisateurs trouvent de nouvelles façons de se servir d’un outil.
Quelles sont les étapes ?
La plupart des programmes suivent la même séquence. Premièrement, savoir ce dont vous disposez : un inventaire IA où chaque système a un responsable. Deuxièmement, classer chaque système selon son usage et son impact, afin de concentrer les efforts là où un préjudice est le plus probable. Troisièmement, identifier les risques propres à cet usage, comme des résultats erronés, un traitement inéquitable, une fuite de données, des attaques ou la défaillance d’un prestataire.
Quatrièmement, coter chaque risque en probabilité et en impact avant tout contrôle, ce qui donne son niveau de risque inhérent. Cinquièmement, choisir un traitement : contrôles, revue humaine, limites d’utilisation ou abandon du projet. Sixièmement, le coter de nouveau pour obtenir le risque résiduel, et le faire accepter par une personne habilitée. Enfin, surveiller le système et renouveler l’évaluation en cas de changement significatif.
Quels référentiels encadrent la gestion des risques liés à l’IA ?
Le NIST AI Risk Management Framework, publié en janvier 2023, organise le travail en quatre fonctions : GOVERN, MAP, MEASURE et MANAGE. Son profil IA générative (NIST AI 600-1, juillet 2024) décrit 12 risques que l’IA générative crée ou aggrave. La norme ISO/IEC 23894 fournit des lignes directrices sur la gestion des risques liés à l’IA, fondées sur l’ISO 31000, et la norme ISO/IEC 42001 exige une évaluation des risques liés à l’IA, leur traitement et une évaluation de l’impact des systèmes d’IA dans le cadre d’un système de management certifiable.
L’article 9 de l’EU AI Act impose aux fournisseurs de systèmes d’IA à haut risque de mettre en place un système de gestion des risques couvrant tout le cycle de vie du système. Pour les usages listés à l’annexe III, cette obligation s’applique à partir du 2 décembre 2027.
En quoi diffère-t-elle de la gestion du risque de modèle ?
La gestion du risque de modèle est née dans le secteur bancaire et vérifie qu’un modèle est fiable et adapté à sa finalité. La gestion des risques liés à l’IA couvre ce périmètre et va au-delà : l’IA des éditeurs et l’IA intégrée aux logiciels, les outils que les collaborateurs utilisent sans approbation, les agents qui exécutent des actions, et les obligations découlant de plusieurs lois à la fois. Aux États-Unis, la SR 26-2, qui a remplacé la SR 11-7 le 17 avril 2026, exclut de son champ l’IA générative et agentique, si bien que les banques doivent gouverner ces systèmes autrement.
Quelles sont les clés de la réussite ?
Trois éléments y contribuent. Chaque risque a un responsable habilité à l’accepter. Les risques figurent dans un registre unique, pour que la sécurité, la protection des données et le juridique ne cotent pas le même problème de trois façons différentes. Et chaque traitement s’accompagne de preuves, pour que la cotation résiste à l’audit.
Dans Enzai, chaque mesure d’atténuation est suivie depuis le statut « non démarrée » jusqu’à « terminée », preuves à l’appui, à côté de la cotation du risque avant et après traitement. Voir Risques et conformité de l’IA.
Exemple
Une banque régionale prévoit d’utiliser un grand modèle de langage pour rédiger les réponses aux réclamations de ses clients. Elle enregistre le système dans son inventaire et le classe comme système en contact avec la clientèle et traitant des données personnelles. L’évaluation relève trois risques principaux : des affirmations erronées sur le compte d’un client, des données personnelles transmises au fournisseur du modèle et des réponses contraires aux règles de bonne conduite. Avant contrôles, tous trois sont cotés à un niveau élevé. La banque ajoute une revue humaine avant l’envoi de toute réponse, une clause contractuelle interdisant au fournisseur d’utiliser ses données pour l’entraînement, et un contrôle mensuel sur un échantillon de réponses envoyées. Les niveaux résiduels tombent à moyen et faible, le responsable du service réclamations les accepte, et le système est réévalué à chaque changement de version du modèle.