Créer un inventaire des systèmes d'IA : le registre par lequel commence tout programme de gouvernance

Un inventaire des systèmes d'IA est un registre unique qui répertorie chaque outil d'IA utilisé par votre organisation, la personne qui en est responsable, les données qu'il touche et les décisions qu'il influence. Constituez-le avant toute autre chose, car tous les cadres sérieux présument que vous en possédez déjà un. La norme ISO/IEC 42001 vous demande de délimiter votre système de management. Le cadre de gestion des risques liés à l'IA du NIST vous demande de cartographier le contexte. Le Règlement européen sur l'IA vous demande de classer les systèmes selon le risque. Ces trois questions restent sans réponse si vous n'arrivez pas à énumérer les systèmes.

La plupart des entreprises canadiennes en sont incapables. Non par négligence, mais parce que l'IA est entrée par la porte de côté : l'outil de rédaction d'un pigiste en marketing, le résumeur de billets d'un responsable du soutien, l'assistant de codage d'un développeur, le preneur de notes de réunion d'un représentant. Personne n'a rempli de demande. Il n'y avait rien à approuver.

Pourquoi l'inventaire doit-il venir en premier ?

Parce que la gouvernance est un ensemble de décisions portant sur des systèmes précis, et qu'on ne peut pas décider au sujet d'un système qu'on n'a pas nommé.

Pensez à ce qu'un organisme de réglementation, un auditeur ou un acheteur d'entreprise demande réellement. Quels systèmes d'IA traitent des renseignements personnels ? Lesquels prennent ou influencent des décisions concernant des personnes ? Où vont les données ? Qui a donné son accord ? Chacune de ces questions est un filtre appliqué à une liste. Sans la liste, vous devinez, et une supposition consignée dans une réponse d'audit devient une non-conformité en puissance.

Il y a une deuxième raison, moins évidente et plus utile. L'exercice de construction de l'inventaire est l'évaluation des risques la moins coûteuse que vous mènerez jamais. Chaque fois que j'ai accompagné une équipe dans cet exercice, quelque chose a fait surface que personne dans la pièce ne connaissait. Un outil de soutien à la clientèle qui résumait discrètement des billets contenant des renseignements de santé. Un trieur de curriculum vitæ qu'un gestionnaire avait essayé et jamais désactivé. L'inventaire se rentabilise dès la première semaine, avant même qu'un seul contrôle ne soit rédigé.

Que met-on dans le registre ?

Gardez-le assez court pour que les gens le remplissent vraiment. Douze champs, c'est habituellement le plafond avant qu'un registre ne se dégrade.

Le champ de l'influence décisionnelle est celui que les gens sautent, et c'est celui qui compte le plus en droit canadien. Le successeur proposé de la LPRPDE dans le projet de loi C-27 et la Loi 25 du Québec rattachent tous deux des obligations précises aux décisions automatisées visant des personnes. Si votre registre ne peut pas répondre à cette question, vous ne pourrez pas répondre à la leur. Notre suivi du projet de loi C-27 indique où en est cette législation.

Comment trouver les systèmes dont personne ne vous a parlé ?

Quatre passages, dans cet ordre, du moins coûteux au plus coûteux.

Commencez par l'argent. Sortez douze mois de relevés de cartes d'entreprise et de notes de frais, et cherchez les fournisseurs. Tout ce qui comporte un abonnement laisse une trace financière. Ce seul passage révèle habituellement la moitié de ce qui vous manque.

Regardez ensuite l'identité. Vos journaux d'authentification unique et votre console d'administration Google ou Microsoft montrent quelles applications tierces les employés ont connectées à leur compte professionnel. Une autorisation OAuth est un aveu.

Puis demandez, correctement. Un formulaire de deux questions vaut mieux qu'une note de service : quels outils d'IA utilisez-vous pour le travail, et qu'y collez-vous ? Demandez sans conséquence attachée, sinon vous obtiendrez le silence. L'objectif est une liste exacte, pas un dossier disciplinaire.

Regardez enfin le réseau. Les journaux de sortie ou un inventaire des extensions de navigateur attrapent les outils en ligne qui n'ont jamais touché une carte de crédit ni une autorisation d'authentification. C'est le passage qui trouve l'usage des versions gratuites.

Faites les quatre. Chacun attrape ce que les autres manquent, et les outils gratuits sont habituellement les plus risqués, parce que personne n'a lu les conditions.

Qui devrait être responsable de chaque entrée ?

Une personne nommée du côté métier, ni le service informatique ni le service juridique.

C'est la partie que les organisations ratent le plus souvent. L'informatique gère la plateforme, le juridique gère l'interprétation, mais ni l'un ni l'autre ne peut vous dire si l'équipe des ventes devrait faire passer des notes clients dans un résumeur. La personne qui a choisi l'outil et qui dépend du résultat est celle qui doit en répondre. L'informatique et le juridique conseillent ; le responsable métier décide et signe.

Donnez à ce responsable trois obligations, et tenez-vous-en à trois : garder l'entrée exacte, signaler les changements importants d'usage, et confirmer l'entrée chaque trimestre. Un inventaire des fournisseurs dont personne n'est responsable cesse de correspondre à la réalité en quelques mois.

À quelle fréquence faut-il le réviser ?

Chaque trimestre pour la confirmation, immédiatement en cas de changement.

Le cycle trimestriel est léger : chaque responsable confirme que ses entrées sont toujours exactes, et tout ce qui n'est pas confirmé pendant deux cycles est escaladé ou retiré. Le déclencheur immédiat compte davantage. Nouveau système, nouvelle catégorie de données, nouvelle décision influencée par l'outil, changement de fournisseur de modèle, ou passage du projet pilote à la production. L'un de ces éléments signifie que l'entrée est révisée maintenant, pas dans onze semaines.

Reliez le registre à votre processus d'évaluation pour qu'une nouvelle entrée à risque élevé ouvre automatiquement une évaluation des facteurs relatifs à la vie privée au lieu de dormir dans une file d'attente. L'écart entre « nous avons ajouté un système » et « nous l'avons évalué » est l'endroit où la plupart des programmes échouent en silence.

Les erreurs qui ruinent un registre

Cinq, à peu près dans l'ordre de fréquence.

• Le bâtir dans un tableur dont personne n'est responsable. Un tableur convient pour commencer. Il cesse de convenir quand la personne qui l'a créé change de poste.
• Consigner la plateforme au lieu de l'usage. « Microsoft Copilot » n'est pas une seule entrée si trois services l'utilisent pour trois tâches différentes avec trois ensembles de données différents.
• Omettre les outils intégrés aux logiciels déjà achetés. Votre CRM, votre centre d'assistance et votre système de RH ont tous ajouté des fonctions d'IA l'an dernier. Ils comptent.
• Considérer les projets pilotes hors périmètre. Les pilotes tournent sur de vraies données plus souvent qu'on ne l'admet.
• Le perfectionnisme. Un registre couvrant quatre-vingts pour cent de vos systèmes, utilisé et révisé, vaut mieux qu'un registre complet qui a pris neuf mois et qui arrive mort-né.

Commencez cette semaine par une liste de noms. Ajoutez les champs au fur et à mesure. Le registre tire sa valeur de son actualité, pas de son élégance.

Pour le contexte plus large du programme autour de l'inventaire, ISO 42001 vs SOC 2 explique quel cadre le registre finit par alimenter.

Ceci est de l'information générale et non un avis juridique.

Valdra réunit l'inventaire des systèmes d'IA, la classification des risques et les évaluations au même endroit, de sorte qu'une nouvelle entrée ouvre automatiquement la bonne évaluation au lieu d'attendre que quelqu'un s'en aperçoive. Vous pouvez voir comment fonctionne le volet gouvernance de l'IA sans parler à personne au préalable.