Modèle gratuit
Formulaire de demande
d'approbation d'outil d'IA
Un formulaire structuré permettant aux collaborateurs de demander de nouveaux outils d'IA. Couvre la justification métier, la classification des données, l'évaluation de sécurité et un circuit d'approbation à plusieurs niveaux.
5 sections
couverture complète de la demande
4 niveaux
circuit d'approbation par niveau de risque
10 jours
délai d'approbation cible (SLA)
Gratuit
d'utilisation et de personnalisation
Pourquoi un processus formel d'approbation des outils d'IA est essentiel
Le Shadow AI est la source de risque de données en entreprise qui croît le plus vite. Les collaborateurs adoptent des outils d'IA sans revue de l'informatique, saisissent des données confidentielles et personnelles dans des services non approuvés et créent une exposition réglementaire invisible. Un processus d'approbation structuré est le premier contrôle d'un programme sérieux de gouvernance de l'IA.
65 %
des outils d'IA en entreprise ne sont pas approuvés
La majeure partie de l'adoption des outils d'IA se fait hors de la visibilité de l'informatique, exposant les organisations à la perte de données, au vol de propriété intellectuelle et à la responsabilité réglementaire.
RGPD
Exige un DPA avant de traiter des données personnelles
Des collaborateurs qui envoient des données de clients ou de collaborateurs à des outils d'IA sans DPA au titre de l'article 28 du RGPD créent une violation réglementaire, qu'une fuite survienne ou non.
ISO 27001
A.5.8 exige la gestion des risques fournisseurs
Les outils d'IA sont des fournisseurs de logiciels. L'annexe A.5.8 de l'ISO 27001 exige des organisations qu'elles gèrent le risque de sécurité de l'information dans les relations avec les fournisseurs.
→ Modèle
Entraîné sur vos données propriétaires
Sans clause de non-entraînement dans le contrat fournisseur, les modèles d'IA peuvent être entraînés sur vos données confidentielles, les rendant de fait irrécupérables.
Le formulaire de demande
Cliquez sur chaque section pour la développer. Personnalisez les seuils et les niveaux d'approbation pour votre organisation.
Coordonnées du demandeur
Nom complet
________________________________
Intitulé de poste
________________________________
Service / équipe
________________________________
Adresse e-mail
________________________________
Responsable hiérarchique direct
________________________________
Date de la demande
________________________________
Informations sur l'outil
Nom de l'outil / du produit
________________________________
Éditeur / fournisseur
________________________________
Site web / URL de l'outil
________________________________
Modèle tarifaire et coût annuel estimé
________________________________
Type de déploiement demandé
Cloud SaaS / sur site / API / extension de navigateur
Nombre d'utilisateurs demandant l'accès
________________________________
Justification métier
Décrivez le cas d'usage métier précis de cet outil d'IA
Pour quelle tâche ou quel flux de travail cet outil sera-t-il utilisé ? Quel problème résout-il ?
Quel bénéfice métier mesurable attendez-vous ?
Temps gagné, réduction des coûts, amélioration de la qualité, réduction des risques ; fournissez des estimations dans la mesure du possible.
Existe-t-il déjà une alternative approuvée dans le registre des outils d'IA de l'organisation ?
Si oui, expliquez pourquoi l'outil approuvé existant ne répond pas à vos besoins.
Comment fonctionne le processus d'approbation des outils d'IA
Suivez ces cinq étapes pour traiter les demandes d'approbation d'outils d'IA de manière cohérente et conserver une trace auditable de chaque décision d'approbation.
1
Le collaborateur complète et soumet le formulaire de demande
Le demandeur remplit les quatre sections de fond : justification métier, classification des données, questions de sécurité et exigences d'intégration. Les formulaires incomplets sont renvoyés. La sécurité informatique fixe un SLA cible de 10 jours ouvrés à compter de la réception d'une demande complète.
2
Le responsable hiérarchique examine et approuve le bien-fondé métier
Le responsable confirme que l'outil est nécessaire à une finalité métier légitime, qu'aucune alternative approuvée n'existe et que les réponses du collaborateur sur la classification des données semblent exactes. L'approbation du responsable conditionne l'entrée dans la file de la sécurité informatique.
3
La sécurité informatique évalue le risque lié aux données et la sécurité du fournisseur
La sécurité informatique vérifie la classification des données, contrôle les certifications de sécurité du fournisseur, examine les capacités de journalisation d'audit et détermine si l'outil nécessite un DPA. Elle peut envoyer au fournisseur un questionnaire de sécurité complémentaire pour les nouveaux fournisseurs.
4
Le RSSI et/ou le DPO examinent les demandes à risque élevé
Les demandes impliquant des données personnelles, des informations restreintes ou des déploiements d'IA orientés client sont escaladées vers le RSSI et le DPO. Le DPO détermine si une DPIA est requise. Le RSSI peut imposer des conditions (par ex. DPA obligatoire, configuration RBAC) avant d'approuver.
5
Provisionner l'accès et mettre à jour le registre des outils approuvés
Une fois toutes les approbations requises obtenues, l'informatique provisionne l'accès selon la liste d'utilisateurs approuvée, configure le SSO et la journalisation d'audit, ajoute l'outil au registre des outils d'IA et informe le demandeur. L'enregistrement de l'approbation est conservé à des fins d'audit.
FAQ
Questions fréquentes
Quels outils d'IA doivent suivre un processus d'approbation formel ?
Tout outil d'IA destiné à un usage professionnel doit faire l'objet d'un certain niveau d'approbation. Au minimum, tout outil qui traitera des données de l'entreprise, même des données internes non sensibles, doit être approuvé par la sécurité informatique. Les outils qui traiteront des données personnelles, des données clients, des données financières ou des informations réglementées nécessitent une revue complète au niveau du comité. Les outils utilisés uniquement avec des données accessibles au public et non liées à l'entreprise peuvent être traités via un processus d'approbation délégué plus léger.
Qu'est-ce qu'un accord de traitement des données (DPA) et pourquoi est-il requis pour les outils d'IA ?
Un accord de traitement des données (DPA) est un arrangement contractuel entre votre organisation (en tant que responsable du traitement) et un fournisseur d'IA (en tant que sous-traitant) qui régit la manière dont le fournisseur traite les données personnelles pour votre compte. Au titre de l'article 28 du RGPD, un DPA est légalement requis dès qu'un tiers traite des données personnelles pour vous. Pour les outils d'IA, le DPA doit traiter spécifiquement de la question de savoir si le fournisseur utilise vos données saisies pour entraîner ses modèles, combien de temps il conserve vos données, ce qu'il advient de vos données si vous résiliez le contrat, et si vos données sont utilisées à d'autres fins que la fourniture du service contractuel.
Combien de temps le processus d'approbation d'un outil d'IA doit-il prendre ?
Les demandes standard d'approbation d'outils d'IA doivent être traitées dans les 10 jours ouvrés suivant une soumission complète. Les demandes nécessitant l'approbation du RSSI prennent généralement 15 jours ouvrés. Les demandes complexes nécessitant une due diligence complète du fournisseur, une revue juridique ou la négociation d'un DPA peuvent prendre 30 jours ouvrés ou plus. Communiquer des délais clairs aux demandeurs et fournir un mécanisme de suivi des demandes réduit l'adoption du Shadow AI : les collaborateurs adoptent des outils non approuvés lorsqu'ils ignorent quand, voire si, leur demande sera traitée.
Que se passe-t-il si un collaborateur utilise un outil d'IA qui n'a pas été approuvé ?
L'utilisation d'outils d'IA non approuvés à des fins professionnelles (Shadow AI) est une violation de la politique qui doit être traitée via votre processus disciplinaire. La gravité dépend des données saisies : si seules des données internes non sensibles étaient en jeu, un avertissement formel et une nouvelle formation sont généralement appropriés ; si des données personnelles, confidentielles ou restreintes ont été saisies, l'incident doit être traité comme une violation de données potentielle et faire l'objet d'une enquête selon votre procédure de réponse aux violations de données, qui peut nécessiter une notification réglementaire au titre de l'article 33 du RGPD.
Pour commencer
Voyez quels outils d’IA votre équipe utilise
Utilisez ce formulaire pour gérer votre propre processus d’approbation. Aona aide les équipes de sécurité à découvrir l’usage de l’IA par les employés et à appliquer des contrôles pris en charge sur les parcours couverts.
Ressources associées