L’IA intervient de plus en plus dans des processus où les enjeux sont importants.
Elle trouve également une place croissante dans le travail intellectuel quotidien : pour appuyer une recherche, synthétiser des informations, analyser des documents ou préparer un contrôle de conformité. Et plus ces usages se multiplient, plus l’IA intervient dans des processus où la qualité, la confidentialité et la responsabilité pèsent lourd dans la balance.
Cette évolution transforme le travail proprement dit. Dans le secteur juridique, l’IA prend progressivement en charge une part croissante des tâches répétitives. En expertise comptable, l’attention se porte davantage sur l’interprétation et le conseil stratégique. Dans le même temps, les organisations ne savent pas toujours précisément comment l’IA est utilisée sur le terrain. Les collaborateurs découvrent souvent eux-mêmes de nouveaux usages et il leur arrive d’utiliser l’IA en dehors du cadre défini. Arnoud Engelfriet, juriste spécialisé en TIC, évoque dans Mr.Online la notion de boîte noire de l’IA juridique.
Les choix liés à l’IA proprement dite revêtent eux aussi une importance croissante. Le coût des applications spécialisées augmente, rendant les organisations plus dépendantes de prestataires externes. Les grands acteurs investissent donc dans leur propre infrastructure d’IA afin de mieux maîtriser la technologie et l’utilisation des données. Aujourd’hui, la gestion des risques et la conformité ne consistent plus seulement à déterminer si l’utilisation de l’IA est autorisée. Elles portent aussi sur les domaines dans lesquels elle est utilisée, la manière dont ses résultats sont exploités et les risques susceptibles d’en découler.
Quelles questions permettent de déterminer le risque réel ?
Une liste générale des risques liés à l’IA ne suffit pas lorsqu’il s’agit de définir une politique et des directives à l’échelle de toute une organisation. Un même outil peut présenter peu de risques dans un flux de travail, mais nécessiter un contrôle beaucoup plus strict dans un autre contexte. L’enjeu est donc de déterminer en amont quelles applications de l’IA au sein de votre organisation nécessitent une attention et un contrôle renforcés.
Voici cinq questions pour vous aider à faire cette distinction :
1. Quels processus utilisent des informations sensibles ?
Recensez les situations dans lesquelles l’IA est utilisée avec des données personnelles, des données clients, des informations financières ou des dossiers confidentiels. Outre les règles en matière de protection des données, le secret professionnel et la sécurité de l’information doivent également être pris en compte. Plus les informations sont sensibles, plus les limites encadrant leur utilisation doivent être clairement définies.
2. Dans quels cas les résultats générés par l’IA doivent-ils pouvoir être étayés de manière professionnelle ?
Toutes les utilisations ne requièrent pas le même degré de traçabilité. Dès lors que les résultats de l’IA sont utilisés pour du conseil, de l’analyse ou du reporting, les professionnels doivent pouvoir vérifier sur quoi reposent ces informations. Cela implique de déterminer dans quels cas il est indispensable de disposer de sources fiables et à jour, de pouvoir vérifier les informations produites et de procéder à une validation professionnelle.
3. Dans quels processus l’IA peut-elle influencer le conseil ou la prise de décision ?
Une application qui se limite à organiser des informations n’a pas le même profil de risque qu’une IA qui fournit des éléments pour un conseil juridique ou une interprétation fiscale. Par conséquent, recensez les domaines où l’IA intervient directement dans la prise de décision professionnelle et déterminez dans quels cas le processus doit continuer à rester soumis au jugement humain.
4. Quels cadres faut-il définir pour les différentes formes d’utilisation de l’IA ?
La législation en vigueur et les normes professionnelles constituent une base, mais les organisations doivent également définir leurs propres règles. Quelles utilisations sont autorisées ? Quelles conditions s’appliquent aux informations ou aux processus sensibles ? Cela permet de traduire des principes généraux en directives concrètes, adaptées aux différentes équipes et aux différents flux de travail.
5. Dans quels cas la responsabilité finale doit-elle être explicitement définie ?
Lorsque l’IA prend en charge une partie du travail, la personne responsable du résultat doit toujours être clairement désignée. Il convient donc de définir en amont les situations qui nécessitent une supervision humaine, les personnes habilitées à valider l’utilisation de l’IA ou les résultats qu’elle produit, ainsi que celles qui assument la responsabilité finale. En particulier pour les utilisations à fort impact, les responsabilités doivent être clairement définies et ne peuvent pas reposer sur un accord implicite.
Tous les risques ne requièrent pas le même niveau de contrôle
Ces questions vous permettent de classer les différents usages de l’IA au sein de votre organisation selon leur niveau de risque et de leur appliquer les mesures et les contrôles appropriés. Hiérarchiser les risques ne signifie pas les ignorer. Il s’agit de concentrer votre attention sur les scénarios susceptibles d’avoir les conséquences les plus importantes.
- Pour les usages à faible risque, comme le brainstorming, la recherche d’inspiration ou la première synthèse d’informations non confidentielles, des règles claires et une bonne sensibilisation peuvent suffire.
- Pour les usages présentant un risque intermédiaire, comme la recherche, l’analyse de documents, les rapports internes ou la préparation d’un contrôle de conformité, des contrôles supplémentaires sont nécessaires. Vous devez notamment pouvoir vérifier les sources, savoir quelles données sont utilisées et évaluer les résultats de l’IA avec votre expertise professionnelle.
- Pour les usages à haut risque, les exigences sont encore plus élevées. C’est notamment le cas lorsqu’il s’agit de conseiller un client, de fournir une explication fiscale, d’élaborer des arguments juridiques, d’effectuer un contrôle de conformité ou de contribuer à une décision financière. Dans ces situations, les responsabilités doivent être clairement définies, des points de contrôle doivent être prévus et une validation humaine finale est indispensable.
Le niveau de risque à partir duquel ces exigences s’appliquent varie d’une organisation à l’autre. Un cadre solide de gestion des risques et de conformité permet d’adapter le niveau de contrôle à chaque situation.
Une utilisation responsable de l’IA commence par les justes priorités
L’IA ne change pas fondamentalement la gestion des risques et la conformité, mais elle rend certains risques plus visibles. Vérifier a posteriori l’exactitude des résultats générés par l’IA ne suffit plus. C’est votre jugement professionnel qui doit guider les mesures et les contrôles à mettre en place en amont, afin que les gains d’efficacité soient empreints de fiabilité et de responsabilité.
C’est également le principe qui guide Wolters Kluwer dans le développement de ses applications d’IA. La technologie y va de pair avec une expertise approfondie du domaine, des contenus spécialisés vérifiés et les principes d’une IA responsable. L’accent est mis sur la fiabilité et la vérifiabilité des résultats générés par l’IA, sur la protection des données sensibles et sur un environnement sécurisé, dans lequel les données des utilisateurs ne sont pas utilisées à leur insu pour entraîner les modèles. L’IA doit soutenir votre travail, et non se substituer à votre jugement. Le contrôle, la transparence et la responsabilité sont pris en compte dès la conception de l’IA, et non des considérations accessoires.
C’est également le fondement d’une utilisation responsable de l’IA au sein de votre organisation. L’objectif n’est pas d’éliminer à l’avance tous les risques imaginables, mais de déterminer lesquels nécessitent une attention prioritaire et quelle approche est la plus adaptée à chacun. Ainsi, la gestion des risques et la conformité ne constituent pas un frein à l’IA, mais le cadre qui vous permet de déterminer où elle peut créer de la valeur de manière responsable.