Évaluation des risques de l'IA
Modèle et liste de contrôle

Une évaluation complète des risques de l'IA devrait couvrir au minimum : les risques liés à la confidentialité et au traitement des données (quelles données servent à entraîner ou solliciter les modèles d'IA), le risque lié aux modèles (exactitude, biais, dérive), les risques de sécurité (injection de prompts, vol de modèle, attaques adverses), les risques de conformité (RGPD, EU AI Act, réglementations sectorielles), les risques opérationnels (dépendance excessive, défaillances de processus), les risques éthiques (biais et discrimination dans les réponses) et les risques liés aux tiers/fournisseurs (vulnérabilités de la chaîne d'approvisionnement dans les services d'IA). Des cadres tels que le NIST AI RMF et la norme ISO 42001 fournissent des approches structurées de ces domaines.

La plupart des cadres de gouvernance de l'IA recommandent une évaluation complète des risques de l'IA au moins une fois par an, avec des évaluations intermédiaires déclenchées par des changements importants, comme le déploiement d'un nouveau système d'IA, la mise à niveau d'un modèle existant, un incident de données significatif ou une évolution de la réglementation applicable. L'EU AI Act exige des déployeurs de systèmes d'IA à haut risque qu'ils réalisent une évaluation de conformité avant le déploiement et qu'ils la mettent à jour en cas de modifications substantielles. Compte tenu du rythme du développement de l'IA, les organisations de premier plan évoluent vers une surveillance continue des risques plutôt que des évaluations ponctuelles.

Une évaluation des risques de l'IA requiert une contribution transverse. Les participants essentiels devraient inclure : la sécurité informatique et la cybersécurité (sécurité des modèles, contrôle d'accès, infrastructure) ; la confidentialité des données et le juridique (conformité RGPD, traitement des données, responsabilité) ; la conformité et l'audit (cartographie réglementaire, collecte de preuves) ; l'ingénierie IA/ML (documentation des modèles, tests de biais, surveillance de la dérive) ; les responsables de processus métier (dépendance opérationnelle, supervision humaine) ; et un parrainage de la direction (appétence au risque, allocation des ressources). Les évaluations menées uniquement par l'informatique ou uniquement par les équipes de conformité passent généralement à côté d'angles morts importants dans l'autre domaine.

Une évaluation des risques de l'IA est un processus de gouvernance interne qui identifie, note et priorise les risques liés à l'IA afin d'en permettre une gestion proactive. Elle est généralement réalisée par des équipes internes et se concentre sur l'identification de ce qui pourrait mal tourner et des contrôles en place. Un audit de l'IA est généralement un examen plus formel, souvent indépendant, des systèmes d'IA au regard d'une norme définie ou d'une exigence réglementaire, par exemple un audit de certification ISO 42001 ou une évaluation de conformité de l'EU AI Act. Les évaluations des risques alimentent la préparation à l'audit : un registre des risques bien tenu démontre aux auditeurs que les processus de gouvernance fonctionnent.