Rédiger une politique d'approvisionnement en IA qui ne bloque pas les affaires

Une politique d'approvisionnement en IA qui fonctionne fait deux choses : elle laisse passer les outils à faible risque en quelques jours, et elle bloque les outils à risque élevé jusqu'à ce qu'une personne compétente les ait examinés. Les politiques qui traitent tous les achats de la même façon échouent aux deux, car la file d'attente se remplit de preneurs de notes pendant que le trieur de curriculum vitæ passe sur une carte d'entreprise.

Commencez par les niveaux. Tout le reste en découle.

Comment définir les niveaux ?

Pas selon le prix, ni selon la taille du fournisseur. Selon ce que l'outil touche et ce qu'il décide.

Deux remarques sur ce tableau. D'abord, le prix en est délibérément absent. Les outils gratuits sont souvent les plus risqués, car personne n'a lu les conditions et le modèle d'affaires du fournisseur peut reposer sur l'entraînement à partir de vos saisies. Ensuite, le niveau moyen est celui où atterrit la majorité des outils : il devrait être votre parcours le plus rapide, pas le plus lent.

Le niveau élevé mérite sa friction. Un outil qui trie des candidatures, note des clients ou rédige du texte clinique relève d'une autre catégorie de décision, et y consacrer deux semaines est proportionné.

Que faut-il demander à un fournisseur ?

Douze questions, en acceptant un « non » comme réponse pourvu qu'il soit consigné.

1. Quels fournisseurs de modèles se trouvent derrière votre produit, et cela peut-il changer sans préavis ?
2. Nos saisies servent-elles à entraîner vos modèles ou ceux du fournisseur sous-jacent, sous quelque formule que ce soit ?
3. Où les données sont-elles traitées, et où sont-elles conservées ?
4. Quelle est votre durée de conservation des requêtes, des sorties et des journaux, et peut-elle être raccourcie ?
5. Pouvons-nous désactiver l'examen humain de nos données par votre personnel ?
6. Proposez-vous une entente de traitement des données, et nomme-t-elle les sous-traitants ultérieurs ?
7. Comment nous avisez-vous d'un changement de sous-traitant, et pouvons-nous nous y opposer ?
8. Qu'advient-il de nos données à la résiliation, et dans quel délai ?
9. Quel est votre engagement de notification d'incident, en heures ?
10. Détenez-vous SOC 2, ISO 27001 ou ISO 42001, et pouvons-nous voir le rapport ?
11. Quelle est votre exactitude documentée, et sur quelles données a-t-elle été mesurée ?
12. Quels modes de défaillance avez-vous observés en production ?

Les deux dernières sont celles que personne ne pose et celles qui distinguent les fournisseurs sérieux des simples enveloppes. Un fournisseur incapable de décrire ses modes de défaillance n'a pas regardé ou ne veut pas le dire, et les deux constituent des constats à consigner dans votre inventaire des fournisseurs.

Où faut-il vraiment dire non ?

Quatre situations justifient un arrêt net, quel que soit l'enthousiasme de l'équipe.

Entraînement sur vos données sans option de retrait. Si les conditions permettent l'entraînement à partir des saisies clients et qu'aucune formule d'entreprise ne le désactive, aucun renseignement personnel ne doit s'en approcher.

Aucune entente de traitement des données. Pour tout ce qui touche des renseignements personnels, un fournisseur refusant de signer une telle entente vous dit qu'il n'a pas conçu son produit pour la clientèle d'affaires. C'est un stade légitime d'entreprise, mais pas un endroit où mettre des données clients.

Sous-traitants non divulgués. Si le fournisseur ne peut pas nommer le fournisseur de modèle derrière son produit, vous ne pouvez pas évaluer où vont les données, ni répondre à vos propres clients qui le demandent.

Décisions automatisées sans possibilité de renversement. Un outil qui décide quelque chose au sujet d'une personne sans moyen pratique pour un humain de le renverser échoue aux attentes de supervision de la Loi 25 du Québec comme de tous les cadres sérieux.

Tout ce qui sort de ces quatre cas relève de la négociation, pas du veto.

Comment éviter que la politique soit ignorée ?

Rendez le parcours conforme plus rapide que le parcours non conforme. C'est toute l'astuce, et elle relève davantage de l'exploitation que de la rédaction.

Trois choses fonctionnent. Publiez le délai que vous vous engagez à tenir pour chaque niveau, puis tenez-le. Laissez l'enregistrement de niveau faible en libre-service, pour que la plupart des demandes n'atteignent jamais une file. Et donnez à une personne nommée le pouvoir d'approuver seule les outils de niveau moyen, car un comité mensuel ne peut pas servir une équipe qui a besoin d'une réponse cette semaine.

Une chose qui ne fonctionne pas : l'application par le seul processus de notes de frais. Les outils gratuits et les extensions de navigateur ne laissent aucune trace financière, raison pour laquelle l'inventaire des systèmes d'IA et ses passages de découverte comptent plus que l'approbation d'achat.

Et les outils déjà en place ?

Appliquez la classification à rebours sur l'existant, en commençant par le niveau élevé, et attendez-vous à trouver deux ou trois choses que vous n'approuveriez pas aujourd'hui. C'est normal et ce n'est pas un scandale. Consignez-les, évaluez-les, puis corrigez la configuration, renégociez les conditions, ou retirez l'outil avec une date.

Résistez à la tentation d'approuver rétroactivement tout ce qui existe pour faire propre. Un élément non résolu doté d'un responsable et d'une date, c'est un programme qui fonctionne. Un registre sans aucune exception, c'est un registre auquel personne ne croit.

Pour l'examen approfondi de ce qu'une relation fournisseur doit prévoir contractuellement, lire une entente de traitement des données avant de la signer traite des clauses qui déterminent votre exposition.

Ceci est de l'information générale et non un avis juridique.

Valdra suit les fournisseurs, leurs sous-traitants, leurs dates de revue et les évaluations rattachées à chacun, de sorte que la décision d'approvisionnement et sa preuve restent ensemble. L'inventaire des fournisseurs en est le point de départ.