Sécurité de l’information, normes, réglementation, vie privée et gestion des risques.
Par Roy Kish – Infoguard, groupe Idor
Nous rencontrons aujourd’hui de plus en plus d’organisations qui utilisent déjà l’IA, même si elles n’ont pas encore défini de politique structurée en la matière.
Les collaborateurs utilisent des outils d’IA générative pour rédiger des documents, résumer des réunions, analyser des données et écrire du code. Les services marketing connectent l’IA aux données clients, les équipes de service déploient des chatbots, et les unités métier commencent à faire tourner des agents IA disposant d’un accès aux systèmes et aux données de l’entreprise.
De notre point de vue chez Infoguard, la question n’est plus de savoir si l’IA entrera dans l’organisation. Dans la plupart des cas, elle est déjà à l’intérieur.
La vraie question est autre : qui la gère, qui la supervise et qui en répond lorsque quelque chose dérape ?
La réglementation n’est plus une affaire d’avenir
Dans le monde de l’intelligence artificielle, la réglementation avance vite.
Le règlement européen sur l’IA illustre le passage de principes généraux à un cadre posant des exigences plus claires sur l’usage des systèmes d’IA. Plus un système affecte des personnes, des droits ou des décisions importantes, plus l’organisation doit fournir de contrôle, de documentation, de transparence et de supervision.
Mais chez Infoguard, en tant que société de sécurité de l’information, nous conseillons aux organisations de ne pas regarder uniquement la réglementation IA.
Dans les faits, l’usage de l’IA croise déjà des obligations existantes en matière de vie privée, de sécurité de l’information, de gestion des risques, de contrats fournisseurs et de responsabilité de la direction.
Même une organisation qui n’opère pas directement sous réglementation européenne doit se demander ce qui se passe lorsqu’un outil d’IA traite des données personnelles, accède à des informations sensibles ou influence des décisions commerciales.
Pour nous, ce n’est plus seulement une question technologique. C’est une question de gouvernance.
La vie privée doit entrer dès la phase de cadrage
L’un des points que nous répétons sans cesse est qu’il ne faut pas attendre la fin du projet pour parler de vie privée.
Si un système d’IA reçoit un accès au CRM, aux échanges, aux documents des salariés, aux données clients ou à des informations commerciales sensibles, il faut s’arrêter et poser quelques questions de base :
- Avons-nous vraiment besoin de toutes ces données ?
- Sommes-nous autorisés à les utiliser à cette fin ?
- Sont-elles transférées à un prestataire externe ?
- Où sont-elles stockées ?
- Servent-elles à entraîner le modèle ?
- Qui peut y accéder ?
- Que deviennent ces données quand on cesse d’utiliser le système ?
Ce sont exactement les moments où des principes comme le Privacy by Design, la minimisation des données et la gestion du cycle de vie de l’information passent du théorique au processus de travail.
Chez Infoguard, nous préférons voir les questions de vie privée entrer dès l’étude du cas d’usage, et non seulement une fois le système en production.
Les normes rendent la gouvernance réellement pilotable
La réglementation peut nous dire ce qui est exigé. Mais l’organisation a encore besoin d’une méthode pour le gérer concrètement.
C’est là qu’intervient l’ISO/IEC 42001, la norme internationale pour un système de management de l’intelligence artificielle.
Nous y voyons un cadre important car il oblige l’organisation à considérer l’IA comme un système de management complet : politique, responsables, risques, contrôles, objectifs, suivi et amélioration continue.
À ses côtés, l’ISO/IEC 27001 fournit la base du management de la sécurité de l’information, et l’ISO/IEC 27701 ajoute la couche de management de la vie privée.
Dans la pratique, les trois univers se rejoignent :
- ISO 27001 – comment nous gérons la sécurité de l’information.
- ISO 27701 – comment nous gérons la vie privée et les données personnelles.
- ISO 42001 – comment nous gérons les systèmes d’IA et les risques associés.
Pour nous, ce lien est naturel. Une organisation qui a déjà bâti de bons processus de gouvernance autour de la sécurité de l’information et de la vie privée n’a pas besoin de repartir de zéro, mais elle doit les étendre au monde de l’intelligence artificielle et des agents.
Une politique IA, c’est bien plus qu’une liste d’outils
Nous voyons bon nombre d’organisations qui démarrent bien mais s’arrêtent trop tôt.
Elles publient une liste d’outils autorisés et interdits et pensent avoir une politique IA.
C’est un début, mais une vraie gouvernance doit aller plus loin.
Nous recommandons de définir également : quelles informations peuvent être saisies dans des outils d’IA, quels usages exigent une validation, comment évaluer un nouveau prestataire, qui est habilité à connecter l’IA à un système d’entreprise, quand impliquer le RSSI, le DPO ou le service juridique, et quelles décisions imposent une supervision humaine.
Il est en outre utile de constituer un inventaire IA structuré.
C’est-à-dire savoir quels systèmes et usages d’IA existent, qui en est propriétaire, à quelles données ils accèdent et quel est leur niveau de risque.
On ne peut pas gérer ce dont on ignore l’existence.
Alors, à qui incombe la responsabilité ?
C’est l’une des questions que nous entendons le plus.
La réponse est qu’on ne peut pas faire porter toute la responsabilité à un seul service.
- La DSI gère les systèmes.
- Le RSSI gère les risques de sécurité de l’information.
- Le DPO examine les aspects vie privée.
- Le juridique traite la réglementation et les contrats.
- L’unité métier est en général celle qui demande le déploiement et répond de l’impact business.
Nous recommandons donc une responsabilité partagée, mais clairement définie.
Chaque système ou cas d’usage significatif doit avoir un propriétaire. En parallèle, l’organisation doit décider qui porte la responsabilité globale de la politique IA et de la gestion des risques.
Nous aimons tester cela avec quatre questions simples :
- Qui a validé l’usage ?
- Qui le supervise et le documente ?
- Qui gère le risque ?
- Qui en répond si quelque chose dérape ?
S’il n’y a pas de réponse claire aux quatre, la gouvernance n’est probablement pas encore assez mûre.
Et les collaborateurs ?
Même la meilleure politique ne servira à rien si les collaborateurs n’en connaissent pas l’existence.
Nous observons aujourd’hui un risque croissant de Shadow AI : des collaborateurs qui utilisent des outils d’IA dont l’organisation ignore totalement l’existence.
La culture IA et la formation des collaborateurs doivent donc faire partie du processus.
Les collaborateurs doivent savoir quelles informations ne doivent pas être saisies, quand un résultat exige une relecture humaine et quand un nouvel outil doit passer par une validation.
Par ailleurs, un prestataire qui gère les services d’IA de façon externalisée et conforme permet de cartographier ou de réduire le phénomène et ses risques, et de ramener les pratiques de travail dans des cadres maîtrisés et pilotés.
Notre regard chez Infoguard
Chez Infoguard, nous accompagnons les organisations au point de rencontre entre sécurité de l’information, vie privée, réglementation, normes et gestion des risques.
Pour nous, le passage à l’IA ne réinvente pas les règles du jeu. Il demande à l’organisation de reprendre les principes qu’elle connaît déjà et de les étendre à un monde nouveau, plus rapide et plus dynamique.
Dans le cadre de nos services de sécurité de l’information pour les entreprises, nous aidons les organisations à relier politique IA, évaluations de risques, vie privée, normes, responsabilité organisationnelle et formation des collaborateurs, afin que l’adoption de l’IA se déroule comme un processus piloté et non comme une initiative isolée.
Par où commencer ?
Nous recommandons de commencer simplement :
- Cartographier les systèmes et usages d’intelligence artificielle existants.
- Les classer par données, habilitations et niveau de risque.
- Définir une politique IA et des règles de confidentialité.
- Désigner un propriétaire et un processus de validation pour les usages significatifs.
- Analyser les écarts par rapport à la réglementation et aux normes pertinentes.
La question n’est plus de savoir si l’organisation utilisera l’IA.
La question est de savoir si l’intelligence artificielle avance plus vite que le système de management qui l’entoure.
Pour nous, l’AI Governance n’est pas un frein à l’innovation. C’est ce qui permet à une organisation d’innover sans renoncer au contrôle, à la vie privée et à la responsabilité.
Cet article a été rédigé en collaboration avec les experts en sécurité de l’information d’Infoguard.