Une déclaration d'appétence pour le risque lié à l'IA décrit les types et les niveaux de risques liés à l'IA qu'une organisation est disposée à accepter dans la poursuite de ses objectifs. Une déclaration utile transforme de grands principes en seuils de décision, en limites et en règles d'escalade capables de guider de véritables choix concernant les systèmes d'IA.

L'appétence pour le risque est fixée par l'organe dirigeant de l'organisation et doit refléter sa mission, ses obligations légales, ses ressources et les personnes touchées par ses décisions. Il ne s'agit pas d'une déclaration affirmant que l'IA est sûre ou dangereuse. Des utilisations différentes créent des expositions différentes : un outil qui rédige des résumés internes n'a pas les mêmes conséquences qu'un système qui influence l'accès au travail, aux soins de santé, au crédit ou à des services essentiels.

Rendre la déclaration opérationnelle

Une déclaration sans seuils spécifiques est un communiqué de presse, pas un instrument de gouvernance. Des termes tels que « responsable », « à faible risque » ou « centré sur l'humain » expriment une intention, mais n'indiquent pas à une équipe quand un usage proposé nécessite une approbation, quel risque résiduel peut être accepté ou qui peut suspendre le déploiement. Une déclaration d'appétit utile définit des limites mesurables ou observables et explique ce qui se passe lorsqu'elles sont dépassées.

Les seuils peuvent porter sur la gravité et la réversibilité d'un préjudice éventuel, la qualité des preuves, les niveaux autorisés de révision humaine, la sensibilité des données, les performances du modèle ou la dépendance à l'égard d'un seul fournisseur. Ils doivent également identifier les limites non négociables, telles que les utilisations interdites ou les décisions qui ne peuvent être déléguées à un système automatisé en vertu de la politique de l'organisation. La formulation doit rester compréhensible pour les membres du conseil d'administration, les propriétaires de systèmes et les équipes techniques.

Lier l'appétit aux décisions

Pour une utilisation d'IA proposée, le propriétaire peut documenter le bénéfice escompté, les groupes touchés, les principaux risques, les preuves et les contrôles, puis comparer le risque résiduel avec les limites convenues. Si une limite est dépassée ou si les preuves sont faibles, la prochaine étape doit être claire : obtenir une assurance supplémentaire, restreindre l'utilisation, ajouter des contrôles, demander une approbation à un niveau supérieur ou refuser le déploiement. Cela fait de l'appétence pour le risque une partie d'un processus de décision plutôt qu'un document conservé séparément des opérations.

L'appétence doit également refléter l'incertitude. Un système peut bien fonctionner lors des tests mais rencontrer des entrées inhabituelles ou des conditions changeantes après sa sortie. Les organisations peuvent fixer des limites plus strictes tant que les preuves sont limitées, exiger un déploiement par étapes et définir les signaux qui déclenchent une pause ou une réévaluation. L'appétence ne remplace pas la surveillance continue ni le devoir d'agir lorsqu'un préjudice réel apparaît.

Examinez la déclaration à mesure que les utilisations, les obligations et le paysage des risques de l'organisation évoluent. Une approche judicieuse relie les limites au niveau de l'entreprise aux tolérances au niveau du système sans prétendre qu'un seul chiffre peut décrire toutes les formes de risque lié à l'IA. Les responsables désignés doivent savoir quelles décisions ils peuvent prendre eux-mêmes et lesquelles nécessitent une escalade vers la haute direction ou le conseil d'administration.