Cadre de gestion des risques liés à l'IA du NIST

Le NIST AI Risk Management Framework (AI RMF 1.0), publié le 26 January 2023, est un document d'orientation volontaire élaboré par le National Institute of Standards and Technology afin d'aider les organisations à concevoir, développer, déployer et utiliser des systèmes d'IA de manière fiable et responsable. Bien qu'il ne soit pas juridiquement contraignant, le NIST AI RMF est devenu une norme de facto pour la gouvernance de l'IA aux États-Unis et il est de plus en plus cité dans les orientations réglementaires à travers le monde.

Le cadre s'articule autour de quatre fonctions essentielles : Govern, Map, Measure et Manage. Ces fonctions offrent une approche souple et structurée de la gestion des risques liés à l'IA, qui peut être adaptée à la taille, au secteur et à la tolérance au risque de toute organisation.

La fonction GOVERN établit et maintient les structures, politiques et processus organisationnels de gestion des risques liés à l'IA. Elle met l'accent sur la responsabilité de la direction, l'engagement des parties prenantes et l'intégration de la gestion des risques liés à l'IA dans la gestion plus large des risques de l'entreprise. Cette fonction reconnaît qu'une gouvernance efficace de l'IA exige un changement culturel, et pas seulement des contrôles techniques.

La fonction MAP consiste à comprendre le contexte dans lequel les systèmes d'IA fonctionnent. Elle implique d'identifier et de catégoriser les systèmes d'IA, de comprendre leurs finalités prévues et leurs impacts potentiels, et de reconnaître le contexte sociétal plus large du déploiement de l'IA. La cartographie comprend également l'identification des parties prenantes pertinentes et la compréhension du paysage juridique et réglementaire.

La fonction MEASURE met l'accent sur l'emploi de méthodes quantitatives et qualitatives pour analyser, évaluer, comparer et surveiller les risques liés à l'IA et leurs impacts associés. Cela inclut l'élaboration d'indicateurs pour les caractéristiques de fiabilité telles que l'exactitude, l'équité, la confidentialité, la sécurité, la résilience, la transparence, l'explicabilité et la responsabilité.

La fonction MANAGE consiste à allouer des ressources et à mettre en œuvre des plans pour répondre aux risques liés à l'IA, s'en rétablir et communiquer à leur sujet. Elle comprend la hiérarchisation des risques, la mise en œuvre de stratégies d'atténuation et l'établissement de processus de surveillance et d'ajustement continus.

Le document d'accompagnement, le NIST AI RMF Playbook, propose des actions suggérées et des références pour chaque sous-catégorie, ce qui rend le cadre très pratique à mettre en œuvre. Le Playbook est un document vivant que le NIST met à jour au fur et à mesure de l'évolution des pratiques.

Le NIST AI RMF a été élaboré dans le cadre d'un vaste processus multipartite associant des centaines d'organisations issues de l'industrie, du monde universitaire, de la société civile et des pouvoirs publics. Ce processus d'élaboration collaboratif a conféré au cadre une large légitimité et une acceptation étendue dans tous les secteurs.

Dans le contexte du paysage réglementaire américain, le NIST AI RMF sert de référence fondamentale. L'Executive Order on AI Safety de 2023 fait explicitement référence au NIST AI RMF, et plusieurs agences fédérales américaines l'ont intégré dans leurs orientations en matière de gouvernance de l'IA. Les législations sur l'IA au niveau des États, telles que le Colorado AI Act, font également référence aux normes du NIST.