La révolution de l'IA

Bien que l'IA ne soit pas nouvelle (l'article fondateur d'Alan Turing sur les machines informatiques et l'intelligence a été publié pour la première fois en 1950), nous avons assisté ces dernières années à une croissance exponentielle tant de ses capacités que de son adoption. Cela n'a rien d'étonnant : les technologies d'IA innovantes ont révolutionné pratiquement tous les secteurs, de la santé aux services financiers en passant par les industries créatives. 

Les dernières avancées de l'IA générative – avec le lancement de modèles tels que GPT-4 d'Open AI, Gemini de Google et Llama de Meta – n'ont fait qu'accélérer cette tendance à mesure que ces technologies deviennent plus largement accessibles. Cependant, cette accessibilité accrue s'accompagne de risques accrus : deepfakes, désinformation, biais algorithmiques et discriminations, préoccupations liées à la sécurité et à la confidentialité des données, entre autres.    

‍

L'importance des normes

Les nouvelles technologies qui ont le potentiel de transformer notre quotidien comportent également une part importante de risques. En analysant l'histoire pour comprendre comment ces différentes technologies se sont si profondément intégrées dans notre vie moderne, un schéma récurrent se dessine. Afin d'instaurer une réelle confiance envers ces nouveaux systèmes, des normes ont été établies, que ce soit par le biais de réglementations ou de pratiques de marché.

Par exemple, l'invention des réseaux électriques commerciaux dans les années 1880 a profondément transformé la société et permis d'accroître la productivité, l'efficacité et la croissance économique. Toutefois, l'électricité exposait également les individus à des dangers tels que l'électrocution et les incendies, causant blessures et décès. Au tournant du XXe siècle, les premières directives de sécurité électrique au Royaume-Uni ont été introduites afin de gérer les risques liés à cette nouvelle technologie et de prévenir les accidents. S'en est suivie une série de normes électriques garantissant que les installations étaient correctement construites et entretenues pour éviter tout risque d'incendie. La standardisation de la distribution d'électricité et de son installation a permis l'adoption généralisée de l'électricité : à la fin des années 1930, les deux tiers des foyers britanniques en étaient équipés, contre seulement 6 % en 1919.

Un exemple plus récent concerne la sécurité de l'information. L'expansion d'Internet au cours des 30 dernières années a donné naissance à un secteur technologique florissant et a profondément transformé la gestion des entreprises et l'offre de services. Pourtant, Internet a également entraîné une explosion de la cybercriminalité, parmi d'autres risques. Les menaces vont des attaques de phishing aux violations majeures de données et au cyberterrorisme, de nouveaux types de cybercriminalité faisant régulièrement la une des journaux. 

‍

Face à ces risques, des normes de sécurité de l'information ont été élaborées. La norme ISO/IEC 27001 fournit aux organisations « des lignes directrices pour établir, mettre en œuvre, maintenir et améliorer continuellement un système de gestion de la sécurité de l'information ». Bien que l'ISO/IEC 27001 soit une norme et non une réglementation, elle est devenue largement acceptée et requise dans tous les secteurs qui dépendent des systèmes d'information ou qui conservent des registres numériques. 

Il existe d'innombrables autres exemples, des automobiles et avions à la sécurité alimentaire et aux dispositifs médicaux. À travers les âges, les normes ont fourni un cadre pour l'adoption sécurisée des technologies innovantes, leur permettant de prospérer tout en s'efforçant d'atténuer et de gérer leurs risques. Pourquoi le développement de l'IA en serait-il autrement ?

‍

Quels sont les avantages des normes dans le domaine de l'IA ?

Les normes ont ainsi le potentiel de garantir que l'IA ait le même impact positif sur le monde que d'autres technologies transformationnelles ont pu avoir. Toutefois, pour garantir l'efficacité de ces normes, nous devons d'abord identifier les types de risques qu'elles doivent chercher à atténuer. Nous présentons ci-dessous quelques-unes des principales considérations.

‍

1. Atténuation des biais, de la discrimination ou des préjudices causés aux individus

Les systèmes d'IA exploitent de vastes volumes de données pour prendre des décisions qui affectent la vie des individus dans de nombreux domaines, allant du recrutement à l'attribution de crédits, en passant par les condamnations pénales, l'immigration et l'octroi de prestations sociales. Les algorithmes sont entraînés sur des ensembles de données à partir desquels ils apprennent quels doivent être les résultats corrects. L'utilisation de l'IA peut accélérer la prise de décision, permettant par exemple aux administrations publiques de traiter davantage de demandes d'asile ou de prestations dans le même laps de temps, réduisant ainsi les retards et améliorant la satisfaction des usagers. 

Toutefois, il a été démontré que les algorithmes reproduisent ou accentuent parfois les biais humains, en particulier à l'égard des minorités. Une enquête du Guardian publiée en 2023 a mis en évidence que certains outils du gouvernement britannique produisaient des résultats discriminatoires, ce qui a conduit à la suppression injustifiée des prestations de dizaines de personnes. Les biais et la discrimination exposent les organisations à des risques réputationnels majeurs, ainsi qu'à des poursuites judiciaires coûteuses. 

Les normes permettent aux organisations de détecter et de signaler rapidement d'éventuels biais algorithmiques, afin qu'ils puissent être corrigés avant qu'un préjudice ne survienne. Par exemple, le cadre de gestion des risques d'IA du NIST ainsi que la norme ISO 42001 (présentés plus en détail ci-dessous) prévoient des exigences pour évaluer le risque de biais et analyser la qualité des ensembles de données utilisés. Une exigence courante réside dans l'évaluation initiale des risques, axée sur la possibilité de biais inhérents au contexte du système d'IA, c'est-à-dire les désavantages historiques ou structurels rencontrés par certains groupes démographiques que les algorithmes pourraient reproduire. 

‍

2. Transparence et responsabilité accrues

Il est essentiel que le public comprenne comment, quand et à quelles fins un système d'IA est utilisé. Ces explications doivent être formulées dans un langage accessible à un large éventail de parties prenantes. Malheureusement, les utilisateurs ne savent pas toujours qu'un système d'IA est à l'origine d'une décision spécifique (comme l'approbation d'une demande de crédit). Même lorsqu'ils en sont conscients, les informations relatives à la manière dont le système est parvenu à cette décision sont généralement insuffisantes.

Les systèmes d'IA fonctionnant avec un degré élevé d'autonomie, ils peuvent prendre des décisions de manière imprévue ou non souhaitée par les développeurs. La responsabilité est donc essentielle, car elle permet d'identifier les risques dès le départ, par exemple grâce à des techniques d'assurance telles que les évaluations d'impact. Les normes garantissent que les individus et les organisations assument la responsabilité des actions et des décisions des systèmes d'IA, et qu'un contrôle humain soit systématiquement maintenu.

Les normes exigent souvent que les organisations documentent les informations relatives à leurs systèmes d'IA, notamment les sources de données, les cas d'usage, les processus décisionnels, les indicateurs de performance et les limites potentielles. Ces informations sont cruciales pour comprendre et communiquer le fonctionnement et les performances des algorithmes. De nombreuses normes renforcent la transparence en favorisant l'étiquetage des produits, informant ainsi l'utilisateur qu'il interagit avec un système d'IA. Le guide des politiques d'IA d'Enzai (AI policy guide) propose des conseils précieux sur la mise en œuvre de mesures de transparence et de responsabilité tout au long du cycle de vie des systèmes d'IA.
‍

3. Gestion améliorée des risques

L'IA offre d'immenses opportunités mais s'accompagne également de nombreux risques. Ceux-ci incluent notamment le risque d'hallucinations (lorsque de grands modèles de langage génèrent des informations erronées), la violation de la propriété intellectuelle et les atteintes à la confidentialité des données. Une gestion efficace des risques réduit la probabilité de conséquences négatives, aidant les organisations à instaurer la confiance avec leurs parties prenantes et à préserver leur réputation.

Les registres et évaluations des risques, courants dans les normes de gouvernance de l'IA, permettent aux organisations d'identifier, d'évaluer et d'atténuer les risques associés aux technologies d'IA.  

‍

4. Sécurité et fiabilité renforcées

Étant donné que les systèmes d'IA sont déployés dans de nombreux domaines critiques – tels que la santé, la sécurité nationale et les infrastructures – les exigences de fiabilité et de sécurité sont particulièrement élevées. Les systèmes d'IA doivent être techniquement sécurisés, fonctionner comme prévu et résister aux menaces telles que les cyberattaques. Selon le National Institute of Standards and Technology (NIST), « des acteurs malveillants peuvent délibérément perturber ou même "empoisonner" les systèmes d'IA pour provoquer des dysfonctionnements ».

En définissant des critères de performance, de précision, d'évolutivité et de résilience, les organisations peuvent concevoir des systèmes d'IA robustes et fiables, mieux armés pour résister aux attaques et les détecter rapidement si elles se produisent. 

‍

5. Conformité aux lois et réglementations

Les organisations se doivent de respecter les lois et réglementations en vigueur encadrant l'utilisation des technologies d'IA. Bien que de nouvelles lois spécifiques voient le jour pour traiter ces risques, à l'image du règlement européen sur l'IA (EU AI Act), la législation existante ne peut être ignorée sous prétexte que le produit ou service intègre un composant d'IA. Les lois sur la protection des données, les réglementations sur la protection des consommateurs, les lois anti-discrimination et les réglementations sectorielles s'appliquent déjà pleinement. Tout manquement à la conformité peut entraîner des contentieux juridiques, des amendes, des sanctions et des dommages réputationnels majeurs. 

Contrairement aux réglementations, les normes ne sont pas obligatoires, mais elles facilitent la conformité aux exigences légales existantes tout en garantissant que les organisations adoptent les meilleures pratiques de leur secteur. Les normes spécifiques à l'IA peuvent couvrir des aspects tels que les mesures de performance, les évaluations des risques, les analyses de cas d'usage et de nombreuses autres mesures visant à garantir une gestion efficace des risques et à créer un historique auditable des prises de décision.

‍

6. Confiance accrue du public

Une confiance accrue du public favorise une meilleure acceptation et des taux d'adoption plus élevés des technologies d'IA, tout en renforçant les relations avec les parties prenantes et en offrant un avantage concurrentiel sur le marché, le public accordant une grande valeur aux considérations éthiques et à la fiabilité. Pour que l'IA se déploie à grande échelle et devienne le vecteur de progrès que nous souhaitons tous, elle doit gagner la confiance du public. L'établissement de normes rigoureuses concernant la conception, le déploiement et l'utilisation de cette technologie en est la clé.

‍

Normes et cadres de gouvernance de l'IA 

Heureusement, il existe aujourd'hui plusieurs normes dans le domaine de l'IA pour aider les organisations à appréhender les risques mentionnés ci-dessus. Certains des principaux organismes de normalisation mondiaux, tels que le National Institute for Standards in Technology (NIST), l'Institute of Electrical and Electronics Engineers (IEEE) et l'Organisation internationale de normalisation (ISO), ont récemment publié des cadres de référence que les organisations peuvent utiliser pour appliquer des exigences rigoureuses à leurs projets d'IA. 

Nous présentons ci-dessous un bref aperçu de certains de ces cadres.

ISO/IEC JTC 1/SC 42

L'ISO, en collaboration avec la Commission électrotechnique internationale (CEI), a mis en place un groupe de travail technique conjoint pour élaborer des normes en matière d'IA, ce qui a abouti à la publication de la norme ISO 42001. Ces normes, qui permettent aux organisations d'adopter un système de gestion de l'IA (SGIA) efficace, couvrent divers aspects de l'IA, notamment la terminologie, les considérations éthiques et les méthodes d'évaluation. 

Le groupe de travail élabore actuellement une nouvelle norme – ISO 42006 – qui définira les lignes directrices destinées aux auditeurs pour évaluer l'efficacité de la conformité des organisations aux exigences de l'ISO 42001. Ce processus d'audit permettra aux organisations d'obtenir des certifications régulières de conformité (similaires au processus de sécurité de l'information sous ISO 27001 décrit précédemment).

‍

Note : Enzai a été l'une des premières organisations au monde à proposer un système complet de gestion de l'IA entièrement conforme aux exigences de la norme ISO 42001.

Cadre de gestion des risques d'IA du NIST (AI RMF)

Aux États-Unis, le National Institute of Standards and Technology (NIST) a conçu un cadre de gestion des risques spécifiquement dédié aux systèmes d'IA. Ce référentiel fournit des orientations pour identifier, évaluer et atténuer les risques liés aux technologies d'IA. Il s'articule autour de quatre fonctions clés de la gouvernance de l'IA : (1) Gouverner ; (2) Cartographier ; (3) Mesurer ; et (4) Gérer. De nombreuses organisations en Amérique du Nord ont adopté le cadre NIST AI RMF comme modèle de référence.

Nous avons rédigé un article de blog présentant les exigences du cadre NIST AI RMF – disponible ici. Notre solution de gouvernance de l'IA garantit aux organisations une parfaite conformité avec ces exigences.

Principes de l'OCDE sur l'IA

L'un des premiers efforts majeurs pour définir un socle de normes exigeantes dans le domaine de l'IA a été mené par l'Organisation de coopération et de développement économiques (OCDE). L'OCDE a adopté en mai 2019 un ensemble de principes pratiques et flexibles pour un développement et une utilisation responsables de l'IA (définition de l'IA qui a d'ailleurs été largement reprise dans le texte final de l'EU AI Act). Les principes de l'OCDE sur l'IA intègrent des valeurs fondamentales telles que la transparence, l'équité et la responsabilité, ainsi que des recommandations à l'intention des décideurs politiques.

Au-delà de ces principes, l'Observatoire des politiques de l'IA de l'OCDE propose un catalogue d'outils et de mesures conçus pour aider les organisations à concevoir et exploiter une IA de confiance, incluant la plateforme de gouvernance de l'IA d'Enzai. 

« Me-We-It » de la World Ethical Data Foundation (WEDF) : un standard ouvert

Le standard ouvert de la WEDF est un forum en ligne gratuit et interactif conçu avec trois objectifs : (1) fournir des conseils pour concevoir une IA plus éthique afin de rebâtir le secteur sur des bases saines ; (2) aider le public à comprendre le processus de création des systèmes d'IA ; et (3) offrir un espace où les citoyens peuvent interroger librement la communauté de l'IA et de la science des données. 

Le cadre s'articule autour de trois volets : « Me » (Moi), « We » (Nous) et « It » (Le système). La WEDF les définit ainsi : « Me » représente « les questions que chaque individu travaillant sur l'IA doit se poser avant de commencer et tout au long du processus ». « We » concerne « les questions que le groupe doit se poser, en particulier pour définir la diversité requise afin de réduire au maximum les biais humains ». « It » correspond aux « questions que nous devons poser aux individus et au groupe concernant le modèle créé et l'impact qu'il peut avoir sur notre monde ».

Adopter des normes de gouvernance de l'IA

‍

Si votre organisation souhaite mettre en œuvre des normes de gouvernance de l'IA ou perfectionner ses pratiques existantes, il peut être difficile de savoir par où commencer. Notre méthode « Start Fast » regroupe tout ce dont vous avez besoin en trois étapes simples : (1) créer ou sélectionner des politiques et des évaluations ; (2) construire votre registre d'IA ; et (3) lancer vos évaluations. La plateforme Enzai propose des politiques et des cadres d'évaluation prêts à l'emploi pour vous permettre d'adopter les meilleurs standards du marché et de vous démarquer de vos pairs. 

‍

Si vous souhaitez en savoir plus sur la manière dont Enzai peut accompagner votre organisation dans l'adoption de normes de gouvernance de l'IA et la mise en conformité avec les réglementations à venir, contactez-nous dès aujourd'hui.

‍

Enzai est la plateforme leader de gouvernance de l'IA pour les entreprises, spécialement conçue pour aider les organisations à passer de politiques abstraites à une supervision opérationnelle. Notre plateforme de gestion des risques d'IA fournit l'infrastructure spécialisée nécessaire pour piloter la gouvernance de l'IA agentique, maintenir un inventaire complet de l'IA et garantir la conformité au règlement européen sur l'IA (EU AI Act). En automatisant des flux de travail complexes, Enzai permet aux entreprises de déployer l'IA à grande échelle et en toute confiance, tout en restant en phase avec les normes mondiales telles que ISO 42001 et NIST.