Gouvernance de l'IA
Modèle de reporting

Un rapport de gouvernance de l'IA mensuel doit comporter : une synthèse pour la direction avec les indicateurs clés et les principaux risques ; une mise à jour de l'inventaire des outils d'IA présentant les nouvelles approbations, les détections de Shadow AI et les mises hors service ; une synthèse des incidents de sécurité catégorisés par type avec leur statut de résolution ; une mise à jour du statut de conformité et réglementaire couvrant l'EU AI Act, l'ISO 42001 et tout constat d'audit ouvert ; les taux d'achèvement de la formation et de la sensibilisation par département ; et un tableau de bord des risques présentant les principaux risques liés à l'IA avec leurs notes de probabilité et d'impact. Le rapport doit être assez concis pour la direction tout en fournissant suffisamment de détails à l'équipe de gouvernance.

Le reporting mensuel est la cadence standard pour les indicateurs opérationnels de gouvernance de l'IA tels que les changements d'inventaire des outils, les incidents de sécurité et les taux d'achèvement des formations. Les rapports trimestriels conviennent aux indicateurs stratégiques tels que l'avancement du programme de conformité et les tendances de la posture de risque. Les rapports annuels sont exigés pour les communications de gouvernance de l'IA au niveau du conseil dans certains référentiels réglementaires. Les déploiements d'IA à haut risque peuvent justifier des synthèses d'incidents hebdomadaires lors du déploiement initial. L'essentiel est la régularité : un reporting irrégulier rend impossible l'identification des tendances ou la démonstration d'une amélioration continue aux auditeurs.

La diffusion doit être échelonnée selon le type de rapport. Le rapport mensuel complet doit être adressé au comité de pilotage de l'IA, au RSSI, au DPO et aux responsables des unités opérationnelles concernées. Une synthèse condensée pour la direction doit être adressée au PDG et au conseil. Pour les secteurs réglementés, le responsable de la conformité ou le directeur des risques doit également recevoir la section sur la conformité. Tenez compte des sections contenant des informations de sécurité sensibles et de la nécessité éventuelle d'un caviardage avant toute diffusion en dehors de l'équipe de sécurité.

Le reporting de gouvernance de l'IA comporte plusieurs dimensions non couvertes par le reporting traditionnel des risques IT. Il doit suivre l'adoption du Shadow AI, c'est-à-dire les collaborateurs utilisant des outils d'IA sans l'approbation de la DSI, ce qui nécessite une visibilité au-delà du réseau de l'entreprise. Il doit rendre compte de catégories de risques propres à l'IA telles que la fuite de données via les prompts d'IA générative, les attaques par injection de prompt et les risques liés à la chaîne d'approvisionnement des modèles d'IA. Il doit aussi suivre la conformité réglementaire avec des référentiels propres à l'IA comme l'EU AI Act et l'ISO 42001. Enfin, le reporting de gouvernance de l'IA doit inclure des indicateurs de formation et de culture, car le mauvais usage de l'IA est avant tout un risque de comportement humain.