Dernière mise à jour :
La directive présidentielle OMB M-25-21, intitulée « Accélérer l'utilisation de l'IA par le gouvernement fédéral grâce à l'innovation, la gouvernance et la confiance publique », enjoint aux agences fédérales américaines de nommer un directeur de l'IA, de publier un inventaire de leurs cas d'usage de l'IA et d'appliquer des pratiques minimales de gestion des risques pour l'« IA à fort impact ». Publiée en avril 2025, elle remplace la directive M-24-10 et s'accompagne de la directive M-25-22 relative à l'acquisition de technologies d'IA.
Qu'est-ce qui est considéré comme de l'« IA à fort impact » ?
La note M-25-21, publiée le 3 avril 2025, remplace les anciennes catégories « impact sur les droits » et « impact sur la sécurité » de la note M-24-10 par une catégorie unique : l'IA à fort impact. Un cas d'usage de l'IA est considéré comme à fort impact lorsque ses résultats servent de base principale à des décisions ou à des actions qui affectent de manière significative les droits, la sécurité, l'accès aux services publics ou les opérations majeures d'une agence. Cette consolidation a un effet pratique : les agences effectuent désormais une seule évaluation et appliquent un ensemble unique de pratiques minimales, au lieu de gérer deux processus de classification parallèles.
Quelles sont les obligations des agences ?
Nommer un directeur de l'IA (Chief AI Officer - CAIO). Cette nomination est requise d'ici le 30 juin 2025. Au sein des agences soumises à la loi CFO Act, ce poste doit être confié à un cadre supérieur de l'administration (Senior Executive Service), à un scientifique ou professionnel de niveau équivalent, doté d'un pouvoir réel de décision et d'un budget propre.
Publier une stratégie d'IA et tenir à jour un inventaire public des cas d'usage de l'IA.
Appliquer des pratiques minimales de gestion des risques pour l'IA à fort impact. Celles-ci couvrent les tests préalables au déploiement, la surveillance continue, la transparence et la supervision humaine, aussi bien avant le déploiement qu'en continu par la suite.
Cesser les cas d'usage non conformes. Tout cas d'usage à fort impact qui ne peut pas respecter les pratiques minimales doit être interrompu.
Des dérogations sont possibles, mais uniquement par décision écrite du CAIO, lorsque la conformité augmenterait en elle-même le risque pour la sécurité ou les droits, ou créerait un obstacle inacceptable aux opérations.
Qui est concerné ?
La note M-25-21 lie les agences exécutives fédérales. Les systèmes de sécurité nationale en sont exclus. Sa portée s'étend toutefois au-delà du secteur public, car les fournisseurs vendant des solutions d'IA aux agences fédérales héritent de la charge de la preuve. Une agence ne peut pas classifier et surveiller un système à fort impact sans avoir de visibilité sur celui-ci ; les exigences de documentation sont donc répercutées sur les fournisseurs.
Quel est le lien entre la note M-25-21 et la note M-25-22 ?
La note M-25-22 est le mémorandum complémentaire qui encadre l'acquisition d'IA. La note M-25-21 régit la manière dont les agences utilisent l'IA, tandis que la note M-25-22 régit la façon dont elles l'achètent. Les fournisseurs sont généralement confrontés à la note M-25-22 en premier, lors des phases d'achat, puis à la note M-25-21, via les justifications continues que leur client public doit produire. Ces deux directives convergent vers la même exigence fondamentale : tenir un registre à jour décrivant le fonctionnement de chaque système d'IA, son propriétaire et les tests qui le valident. Il s'agit tout autant d'une problématique de gestion des risques liés aux tiers en matière d'IA que d'une problématique interne.
Exemple concret :
Une agence fédérale de santé prévoit de déployer un outil d'IA qui priorise la planification des rendez-vous des patients. Étant donné que le résultat affecte matériellement l'accès à un service public, le CAIO (Directeur de l'IA) le désigne comme ayant un impact élevé. Avant le déploiement, l'agence teste les disparités démographiques, définit l'étape de révision humaine pour tout cas refusé ou dépriorisé, et publie le cas d'usage dans son inventaire public. Le fournisseur ne pouvant pas fournir de données de performance ventilées par groupe de patients, l'agence n'a aucun moyen de prouver le respect des pratiques minimales, et le déploiement est suspendu jusqu'à la réception de ces données.
