Le 23 septembre 2024, le ministère de la Justice des États-Unis (DOJ) a mis à jour ses directives destinées aux procureurs sur la manière d'évaluer les programmes de conformité des entreprises. Nicole M. Argentieri, une haute responsable du DOJ, a dévoilé ces directives actualisées lors d'une allocution au 23e congrès annuel de conformité et d'éthique de la Society of Corporate Compliance and Ethics au Texas. Les directives intègrent désormais des considérations sur la façon dont les entreprises utilisent l'IA et gèrent les risques qui y sont associés.

Quel est l'objectif de ces directives ?

Le DOJ publie des directives sur l'évaluation des programmes de conformité des entreprises (ECCP - Evaluation of Corporate Compliance Programs) afin d'aider les procureurs du DOJ à déterminer si le programme de conformité d'une entreprise est a) bien conçu, b) appliqué de manière rigoureuse et c) opérationnel dans la pratique.

Bien que l'ECCP soit rédigé à l'intention des procureurs du DOJ et que les considérations contenues dans le document ne soient pas juridiquement contraignantes, l'ECCP est rendu public depuis plusieurs années, période durant laquelle il a servi de guide précieux pour les dirigeants et les équipes de conformité des entreprises.

Bien que l'ECCP révisé aborde de nombreux sujets inédits, les révisions les plus significatives concernent les domaines de l'IA, des technologies émergentes, du rôle de l'analyse des données dans les programmes de conformité et de la protection des lanceurs d'alerte.

Que disent ces directives révisées concernant l'utilisation de l'IA ?

L'ECCP oriente les procureurs vers l'évaluation des facteurs suivants liés à l'utilisation de l'IA par les entreprises, entre autres : 

·  L'entreprise a-t-elle mis en place un programme de gestion des risques pour l'utilisation de l'IA ?

·  Des niveaux de risque sont-ils attribués aux systèmes d'IA ?

·  L'entreprise traite-t-elle de manière efficace les risques qu'elle identifie concernant l'utilisation de l'IA ?

·  L'entreprise surveille-t-elle ses systèmes d'IA pour s'assurer qu'ils fonctionnent comme prévu ?

·  Les systèmes à haut risque font-ils l'objet d'une supervision humaine appropriée ?

·  Les employés sont-ils formés de manière adéquate à l'utilisation des systèmes d'IA ?

·  Le programme de conformité de l'entreprise exploite-t-il de manière appropriée l'analyse des données et la technologie pour garantir son bon fonctionnement ?

·  L'entreprise gère-t-elle le risque lié aux fournisseurs de manière efficace ?

·  L'entreprise a-t-elle alloué des ressources appropriées à son programme de conformité ?

·  Le programme de conformité lié à l'IA est-il documenté de manière appropriée ?

Quel est le contexte général ?

Les directives révisées témoignent de l'intérêt constant du DOJ pour l'utilisation de l'IA par les entreprises. Lors d'un discours prononcé en mars à San Francisco, la procureure générale adjointe Lisa Monaco a souligné qu'il n'existait aucune exemption liée à l'IA concernant les lois existantes, a annoncé son intention de requérir des « peines plus sévères » pour l'usage abusif de l'IA et a donné un aperçu des révisions de l'ECCP.

Plus tôt cette année, le DOJ a également lancé son initiative Justice AI Initiative, une série de rencontres réunissant des « parties prenantes de la société civile, de l'industrie, du monde universitaire et des forces de l'ordre » afin d'éclairer la manière dont l'IA s'articulera avec les efforts du DOJ.

Les remarques de Mme Argentieri sur l'ECCP révisé ont apporté des précisions supplémentaires sur les révisions du DOJ et ont démontré une compréhension nuancée des impacts potentiels de l'IA générative sur les entreprises. À titre d'exemple, elle a souligné que « les procureurs examineront si l'entreprise est vulnérable à des stratagèmes criminels facilités par les nouvelles technologies, tels que des approbations et des documentations falsifiées générées par l'IA ».

Enzai est là pour vous aider

La plateforme de GRC dédiée à l'IA d'Enzai peut aider votre entreprise à déployer l'IA conformément aux meilleures pratiques ainsi qu'aux réglementations, normes et cadres émergents, tels que le Règlement sur l'IA de l'UE (EU AI Act), la loi sur l'IA du Colorado, le NIST AI RMF et la norme ISO/IEC 42001. Pour en savoir plus, contactez-nous ici.

Enzai est la plateforme leader de gouvernance de l'IA pour les entreprises, spécialement conçue pour aider les organisations à passer d'une politique abstraite à une supervision opérationnelle. Notre plateforme de gestion des risques de l'IA fournit l'infrastructure spécialisée requise pour gérer la gouvernance de l'IA agentique, maintenir un inventaire complet de l'IA, et garantir la conformité avec le Règlement sur l'IA de l'UE. En automatisant des flux de travail complexes, Enzai permet aux entreprises de faire évoluer l'adoption de l'IA en toute confiance tout en restant en phase avec les normes mondiales telles que ISO 42001 et NIST.