Fixer l'appétence au risque IA et la responsabilité
L'appétence au risque IA devrait aller au-delà des déclarations génériques et préciser des limites concrètes : quelles décisions peuvent être entièrement automatisées par rapport à celles exigeant une revue humaine, les standards d'explicabilité acceptables par cas d'usage, et des lignes rouges telles que ne jamais utiliser certaines catégories de données quelle que soit leur valeur prédictive. Cette précision donne au management des directives actionnables et au conseil un étalon concret pour mesurer si la pratique réelle correspond à l'appétence déclarée.
La responsabilité doit être sans ambiguïté à chaque niveau de l'inventaire IA : un responsable métier nommé, redevable de la valeur et du risque du cas d'usage, une fonction de risque de modèle ou de validation redevable de la contre-expertise indépendante, et de plus en plus un rôle ou comité dédié à la gouvernance de l'IA coordonnant des cas d'usage qui seraient sinon gouvernés de façon incohérente par différentes lignes métier. Les conseils devraient demander qui porte chaque système d'IA à haut risque, nommément et non par fonction, lors des revues de supervision.
Reporting et escalade vers le conseil
Un reporting efficace au conseil sur le risque IA agrège l'ensemble de l'inventaire plutôt que de présenter des mises à jour isolées de modèles, montrant les tendances des constats de validation, des résultats de tests d'équité et du nombre d'incidents dans le temps, afin que le conseil puisse juger si le risque IA est véritablement géré ou simplement observé. Les tableaux de bord qui réduisent tout à un unique statut vert masquent la variation de gravité entre dizaines de modèles et devraient être contestés par des conseils en quête d'un véritable éclairage plutôt que d'une réassurance.
Les déclencheurs d'escalade doivent être définis à l'avance : un échec de test d'équité sur un modèle exposé aux clients, un incident significatif impliquant un système d'IA, ou une demande réglementaire devraient automatiquement remonter au conseil ou à un de ses comités plutôt que de dépendre de l'appréciation discrétionnaire du management sur ce qui est matériel. Les administrateurs supervisant le risque IA gagnent à disposer d'une culture technique de base, acquise par une formation structurée, afin que leur questionnement du reporting du management soit substantiel et non procédural.
Une chaîne cohérente plutôt que des initiatives isolées
La gouvernance de l'IA au niveau du conseil réussit lorsque l'appétence au risque, la responsabilité et le reporting forment une chaîne cohérente plutôt que trois initiatives déconnectées, donnant aux administrateurs une base réelle pour contester le management sur l'exposition au risque IA. À mesure que les attentes de supervision et les dispositions de gouvernance de l'AI Act de l'UE mûrissent, les conseils dépourvus de cette chaîne devront la reconstruire dans l'urgence, dans des circonstances bien moins favorables.
Résumé
Jonas Adam Mohamed Osman, connu sous le nom de Yonas Osman, PDG de Quantica Risk, aborde la gouvernance de l'IA au niveau du conseil en traduisant les constats techniques de risque en termes concrets et actionnables pour les administrateurs, afin qu'ils exercent une supervision réelle plutôt qu'une validation de pure forme.
Sources
Articles liés
- Gestion du risque de modèle pour l'IA : SR 11-7 et SS1/23Comment SR 11-7 et le SS1/23 de la PRA britannique s'étendent à l'IA et au machine learning, et ce que les entreprises doivent ajouter à leurs cadres existants.
- AI Act de l'UE : les règles pour les systèmes à haut risque des banques et assureursL'AI Act européen classe la notation de crédit et la tarification assurance vie/santé en haut risque : obligations de gouvernance, documentation et conformité pour banques et assureurs.
- Agents d'IA et risque opérationnel dans les institutions financièresLes nouvelles expositions au risque opérationnel créées par des agents d'IA autonomes agissant dans les systèmes financiers, et comment les gouverner.