La gestion des risques liés à l'IA est le travail coordonné d'identification, d'évaluation, de traitement et de surveillance des risques découlant du développement, de l'acquisition, du déploiement ou de l'utilisation de systèmes d'intelligence artificielle. Elle relie les décisions concernant un système d'IA aux personnes, aux processus et aux contrôles capables de prévenir les dommages ou de réagir lorsque les conditions changent.

Elle étend la gestion des risques de l'entreprise (ERM) plutôt que de la remplacer. Les disciplines existantes telles que le droit, la sécurité, la confidentialité, la résilience opérationnelle et l'audit interne restent pertinentes. L'IA soulève des questions qui peuvent ne pas s'intégrer facilement dans les contrôles technologiques établis : Le système est-il adapté à cet usage ? Quel est le degré de fiabilité de son comportement dans des conditions changeantes ? Qui est responsable de ses résultats, et que se passe-t-il si la révision humaine échoue ?

Niveaux de travail

Un programme utile fonctionne à plusieurs niveaux. Le travail stratégique définit la direction, évalue si l'IA est nécessaire, établit la tolérance au risque et attribue les droits de décision. Le travail opérationnel évalue chaque cas d'usage et son système complet, incluant les modèles, les données, les fournisseurs, les interfaces et les tâches humaines. Le travail de résilience se prépare aux perturbations ou aux événements à fort impact qui ne correspondent pas aux classifications existantes. Ces couches relient les choix au niveau du conseil d'administration aux tests et aux contrôles quotidiens.

La gestion des risques est continue. Une évaluation réalisée avant le déploiement peut devenir obsolète lorsque le modèle, les données, les utilisateurs prévus ou le processus environnant changent. Les organisations ont besoin de déclencheurs définis pour la réévaluation, de registres de décisions, de voies pour les incidents et de la capacité de suspendre ou de retirer un système. Le niveau d'effort doit refléter l'impact potentiel, l'exposition et l'incertitude de chaque utilisation.

Comment diffèrent les principaux cadres

EW-AiRM™ est un cadre ouvert à l'échelle de l'entreprise qui relie les couches stratégiques, opérationnelles et de résilience, et qui est conçu pour compléter l'ERM existant. Le cadre de gestion des risques liés à l'IA du NIST est un guide volontaire axé sur la gestion des risques tout au long des cycles de vie des systèmes d'IA, comprenant les fonctions de gouvernance, de cartographie, de mesure et de gestion. La norme ISO/IEC 42001 spécifie les exigences relatives à un système de management de l'IA qu'une organisation peut mettre en œuvre et faire certifier. La loi européenne sur l'IA est une législation : elle crée des obligations légales et des restrictions pour des pratiques d'IA et des catégories de risques définies. Celles-ci ayant des objectifs différents, les organisations peuvent en utiliser plusieurs simultanément plutôt que de les considérer comme des substituts.

Un point de départ pratique consiste à créer un inventaire de l'utilisation de l'IA, à nommer un responsable pour chaque système déployé, à consigner l'objectif et l'impact, et à relier chaque risque important à un contrôle et à une voie d'escalade. Le langage des cadres aide à structurer ce travail, mais ne prend pas de décision à la place d'une organisation. La responsabilité dépend toujours de personnes dotées de l'autorité, des preuves et du temps nécessaires pour agir.