Comité des risques
Chaque équipe évalue le risque IA à sa manière, et les tableurs ne forment pas une vue d’ensemble.
Audit interne
Les équipes disent que les mesures sont en place, mais les preuves sont dispersées entre boîtes mail et disques partagés.
Première ligne
Le chatbot tourne désormais sur un modèle plus récent, et sa notation indique toujours « moyen ».
Le fonctionnement actuelLe fonctionnement cible
- Le fonctionnement actuel
L'IA classée en une seule entrée sous le risque technologique
Le fonctionnement cibleChaque système d'IA suivi, avec les risques qu'il comporte
- Le fonctionnement actuel
Évaluations actualisées une fois par an
Le fonctionnement cibleRéévaluées dès que le modèle, l'usage ou le fournisseur change
- Le fonctionnement actuel
La deuxième ligne qui relance la première pour des mises à jour
Le fonctionnement cibleLes responsables de première ligne qui tiennent eux-mêmes leurs fiches à jour
- Le fonctionnement actuel
Preuves rassemblées dans les semaines qui précèdent l'audit
Le fonctionnement cibleJustificatifs rattachés aux contrôles au fil du travail
Est-ce encore une plateforme que mon équipe devra alimenter ?
La mise à jour revient aux personnes qui exploitent chaque système. Chaque contrôle a un responsable et une échéance, les tableaux de bord indiquent par produit d’IA ce qui arrive à échéance et ce qui est en retard, et votre équipe définit les référentiels et revoit le travail au lieu de relancer les mises à jour par e-mail.
Devons-nous sortir les risques IA de notre plateforme GRC ?
Non. Votre plateforme GRC reste le référentiel des risques de l’entreprise. Enzai conserve le détail IA en dessous : chaque système, son responsable, ses évaluations et ses risques, notés selon leur impact et leur probabilité. Votre équipe décide de ce qu’elle fait remonter, à l’aide des rapports d’Enzai, et peut appliquer son propre référentiel de contrôles en parallèle de l’EU AI Act et d’ISO 42001.
Qu’est-ce qui est automatisé, et que reste-t-il à la charge de mon équipe ?
Les preuves issues des métriques enregistrées se renseignent d’elles-mêmes, et un système ne reçoit que les contrôles qu’exige sa classification. Le jugement reste humain : vos réviseurs notent chaque risque et approuvent chaque contrôle, et les responsables apportent la preuve que chaque mesure d’atténuation a été mise en œuvre. Une évaluation n’est terminée qu’une fois tous les contrôles approuvés.
Quelles données vont dans Enzai, et lesquelles restent à l’extérieur ?
Enzai conserve le dossier de gouvernance : systèmes, responsables, évaluations, risques, décisions et preuves jointes par votre équipe. Les imports depuis les plateformes d’IA cloud apportent les fiches des modèles, pas les données qui les sous-tendent. Si vous ajoutez la détection de l’IA, elle indique de manière agrégée quels outils d’IA sont utilisés, sans nommer personne.
Nous débutons. Faut-il un inventaire propre avant de commencer ?
Non. Partez de la liste dont vous disposez. Ajoutez ces systèmes, attribuez un responsable à chacun et appliquez un référentiel aux quelques systèmes les plus risqués. Les nouvelles IA arrivent ensuite par des demandes, et le registre s’enrichit au fil des besoins. Activez plus tard la détection de l’IA pour trouver les outils que personne n’a recensés.
La piste d’audit résistera-t-elle aux tests de l’audit interne ?
Elle est conçue pour être échantillonnée. Chaque demande conserve qui l’a examinée, qui l’a approuvée, sous quelles conditions et à quelle date, et se télécharge sous forme de rapport. Chaque risque affiche sa notation avant et après traitement, avec les mesures d’atténuation et les preuves qui justifient l’évolution. C’est à l’audit de juger si cela suffit.
Par où commencer
