{"id":36557,"date":"2026-10-29T00:31:30","date_gmt":"2026-10-29T00:31:30","guid":{"rendered":"https:\/\/vanleeuwenlawfirm.eu\/fr\/?p=36557"},"modified":"2026-10-29T00:33:24","modified_gmt":"2026-10-29T00:33:24","slug":"ia-responsable-gouvernance-de-lia-et-responsabilite-algorithmique","status":"publish","type":"post","link":"https:\/\/vanleeuwenlawfirm.eu\/fr\/analyses-et-perspectives\/actualites-analyses-sur-mesure\/ia-resilience-numerique\/ia-responsable-gouvernance-de-lia-et-responsabilite-algorithmique\/","title":{"rendered":"IA responsable, gouvernance de l\u2019IA et responsabilit\u00e9 algorithmique"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L\u2019utilisation responsable de l\u2019intelligence artificielle exige de votre organisation bien davantage que l\u2019adoption d\u2019une politique relative \u00e0 l\u2019IA, la publication de principes \u00e9thiques ou la r\u00e9alisation ponctuelle d\u2019une analyse juridique avant le d\u00e9ploiement d\u2019un syst\u00e8me. Les syst\u00e8mes d\u2019IA sont de plus en plus int\u00e9gr\u00e9s dans des processus essentiels au sein desquels les d\u00e9cisions sont pr\u00e9par\u00e9es, les informations classifi\u00e9es, les risques anticip\u00e9s, les transactions \u00e9valu\u00e9es, les clients s\u00e9lectionn\u00e9s, les collaborateurs appr\u00e9ci\u00e9s, les indicateurs de fraude g\u00e9n\u00e9r\u00e9s, les flux financiers analys\u00e9s, les donn\u00e9es \u00e0 caract\u00e8re personnel combin\u00e9es et les priorit\u00e9s op\u00e9rationnelles d\u00e9termin\u00e9es. Une m\u00eame technologie peut ainsi simultan\u00e9ment produire des cons\u00e9quences en mati\u00e8re de protection des donn\u00e9es, de non-discrimination, de protection des consommateurs, de relations de travail, de supervision financi\u00e8re, de responsabilit\u00e9 contractuelle, de s\u00e9curit\u00e9 des produits, de garanties relevant du droit administratif et de Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. Votre organisation doit d\u00e8s lors d\u00e9terminer non seulement si l\u2019intelligence artificielle peut \u00eatre utilis\u00e9e, mais \u00e9galement dans quelles conditions une application donn\u00e9e peut \u00eatre consid\u00e9r\u00e9e comme juridiquement admissible, techniquement suffisamment fiable, gouvernable sur le plan organisationnel, contr\u00f4lable sur le plan op\u00e9rationnel et d\u00e9fendable a posteriori. Une telle approche doit couvrir l\u2019ensemble du cycle de vie du syst\u00e8me : conception, s\u00e9lection, d\u00e9veloppement, acquisition, configuration, entra\u00eenement, validation, mise en \u0153uvre, utilisation op\u00e9rationnelle, surveillance, modification, gestion des incidents et retrait. Chacune de ces \u00e9tapes peut g\u00e9n\u00e9rer de nouvelles obligations juridiques, de nouvelles d\u00e9pendances techniques ou de nouvelles difficult\u00e9s probatoires. Un syst\u00e8me initialement acquis pour fournir une assistance administrative limit\u00e9e peut acqu\u00e9rir une port\u00e9e juridique substantiellement diff\u00e9rente lorsque de nouvelles fonctionnalit\u00e9s, de nouvelles sources de donn\u00e9es, des formes suppl\u00e9mentaires d\u2019automatisation ou de nouvelles int\u00e9grations avec d\u2019autres processus sont introduites. Une application initialement destin\u00e9e \u00e0 am\u00e9liorer l\u2019efficacit\u00e9 interne peut ult\u00e9rieurement influencer l\u2019octroi de cr\u00e9dit, l\u2019acceptation de clients, la surveillance des transactions, le recrutement, la d\u00e9tection de fraude ou la fourniture de services publics. La gouvernance de l\u2019IA ne doit donc pas \u00eatre envisag\u00e9e comme un ensemble statique de documents, mais comme un syst\u00e8me d\u00e9montrable de responsabilit\u00e9s, de droits d\u00e9cisionnels, de contr\u00f4les, de proc\u00e9dures de v\u00e9rification, de limitations techniques, de m\u00e9canismes d\u2019intervention humaine, de dispositifs d\u2019escalade et de r\u00e9\u00e9valuations p\u00e9riodiques. La question centrale pour votre organisation n\u2019est d\u00e8s lors plus de savoir uniquement si une politique relative \u00e0 l\u2019IA existe, mais de pouvoir reconstruire, \u00e0 tout moment pertinent, qui a pris une d\u00e9cision, sur quelles informations cette d\u00e9cision reposait, quel mod\u00e8le et quelle version du mod\u00e8le ont \u00e9t\u00e9 utilis\u00e9s, quelles limitations \u00e9taient connues, quels contr\u00f4les ont \u00e9t\u00e9 effectu\u00e9s, quelles anomalies ont \u00e9t\u00e9 identifi\u00e9es et quelle personne disposait r\u00e9ellement de l\u2019autorit\u00e9 et de la capacit\u00e9 n\u00e9cessaires pour corriger ou \u00e9carter un r\u00e9sultat automatis\u00e9.<\/p>

Cette \u00e9volution d\u2019une conformit\u00e9 formelle vers une responsabilit\u00e9 d\u00e9montrable emporte des cons\u00e9quences consid\u00e9rables pour les conseils d\u2019administration, les directions g\u00e9n\u00e9rales, les fonctions compliance, juridique, gestion des risques, audit interne, s\u00e9curit\u00e9 de l\u2019information, protection des donn\u00e9es, achats, gouvernance des donn\u00e9es, op\u00e9rations et Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. Une IA responsable ne peut \u00eatre organis\u00e9e de mani\u00e8re cr\u00e9dible lorsque les responsabilit\u00e9s sont dispers\u00e9es entre ces diff\u00e9rentes fonctions sans m\u00e9canisme clair de d\u00e9cision, d\u2019escalade et de remise en question ind\u00e9pendante. Votre organisation doit donc identifier \u00e0 l\u2019avance les applications d\u2019IA pr\u00e9sentant une importance strat\u00e9gique ou juridique particuli\u00e8re, celles susceptibles d\u2019affecter des droits fondamentaux, les syst\u00e8mes soumis \u00e0 une r\u00e9glementation sectorielle, les mod\u00e8les influen\u00e7ant les risques de criminalit\u00e9 financi\u00e8re ainsi que les applications d\u00e9pendant de fournisseurs ne mettant \u00e0 disposition qu\u2019une information technique limit\u00e9e. Il convient ensuite de d\u00e9terminer le niveau de preuve n\u00e9cessaire pour d\u00e9fendre les choix effectu\u00e9s devant les autorit\u00e9s de contr\u00f4le, les juridictions, les clients, les salari\u00e9s, les actionnaires, les auditeurs et les autres parties prenantes. Une affirmation selon laquelle un mod\u00e8le serait fiable conserve une valeur limit\u00e9e si votre organisation n\u2019est pas en mesure de d\u00e9montrer comment cette fiabilit\u00e9 a \u00e9t\u00e9 mesur\u00e9e, sur quelle population les tests ont \u00e9t\u00e9 effectu\u00e9s, quelles marges d\u2019erreur ont \u00e9t\u00e9 accept\u00e9es, quels groupes sont susceptibles d\u2019\u00eatre affect\u00e9s de mani\u00e8re disproportionn\u00e9e et quelles mesures ont \u00e9t\u00e9 adopt\u00e9es lorsque des \u00e9carts ont \u00e9t\u00e9 constat\u00e9s. Il en va de m\u00eame pour la supervision humaine : la simple pr\u00e9sence d\u2019un collaborateur dans un processus ne permet pas d\u2019\u00e9tablir l\u2019existence d\u2019une intervention humaine significative. Lorsque les collaborateurs sont structurellement d\u00e9pendants d\u2019un score algorithmique, ne disposent pas d\u2019une compr\u00e9hension suffisante des facteurs sous-jacents, manquent de temps pour proc\u00e9der \u00e0 une analyse substantielle ou sont, dans les faits, d\u00e9courag\u00e9s de s\u2019\u00e9carter de la recommandation du syst\u00e8me, l\u2019intervention humaine risque de demeurer essentiellement formelle. Le d\u00e9fi pour votre organisation consiste donc \u00e0 relier qualification juridique, validation technique, ma\u00eetrise op\u00e9rationnelle, responsabilit\u00e9s organisationnelles et \u00e9l\u00e9ments probatoires. Cette exigence est particuli\u00e8rement forte dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, o\u00f9 l\u2019IA peut \u00eatre utilis\u00e9e pour la surveillance transactionnelle, le filtrage des sanctions, la notation du risque client, la d\u00e9tection de r\u00e9seaux, la d\u00e9tection d\u2019anomalies, la pr\u00e9vention de la fraude, l\u2019analyse des m\u00e9dias d\u00e9favorables et la priorisation des enqu\u00eates. Des mod\u00e8les insuffisamment ma\u00eetris\u00e9s peuvent \u00e0 la fois ne pas identifier certains risques r\u00e9els et g\u00e9n\u00e9rer, \u00e0 grande \u00e9chelle, des signalements injustifi\u00e9s de clients, de transactions ou de comportements. Une IA responsable suppose donc que l\u2019efficacit\u00e9, l\u2019\u00e9volutivit\u00e9 et l\u2019innovation technologique demeurent en permanence li\u00e9es \u00e0 la proportionnalit\u00e9, \u00e0 l\u2019explicabilit\u00e9, \u00e0 la contr\u00f4labilit\u00e9, \u00e0 la protection des droits fondamentaux et \u00e0 la responsabilit\u00e9 institutionnelle.<\/p><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

R\u00e9glementation europ\u00e9enne de l\u2019IA, AI Omnibus et conformit\u00e9 progressive \u00e0 l\u2019horizon 2027<\/h4>

La r\u00e9glementation europ\u00e9enne de l\u2019intelligence artificielle instaure pour votre organisation une approche fondamentalement diff\u00e9rente de la conformit\u00e9 technologique, d\u00e8s lors que les obligations ne d\u00e9pendent pas exclusivement de la technologie utilis\u00e9e, mais principalement de la fonction du syst\u00e8me, de sa finalit\u00e9, du contexte dans lequel il est exploit\u00e9, de la position de l\u2019organisation concern\u00e9e et des cons\u00e9quences susceptibles d\u2019en r\u00e9sulter pour les personnes physiques ou pour des int\u00e9r\u00eats soci\u00e9taux plus larges. Il ne suffit d\u00e8s lors pas de tenir un registre interne dans lequel les applications sont uniquement d\u00e9crites comme relevant de l\u2019IA g\u00e9n\u00e9rative, du machine learning, de l\u2019analyse pr\u00e9dictive, de l\u2019automatisation robotis\u00e9e des processus ou de l\u2019aide \u00e0 la d\u00e9cision. Pour chaque application pertinente, votre organisation doit d\u00e9terminer la qualification juridique r\u00e9ellement applicable, le r\u00f4le qu\u2019elle assume et les obligations qui deviennent applicables \u00e0 chaque \u00e9ch\u00e9ance. Au 25 octobre 2026, cette appr\u00e9ciation rev\u00eat une importance particuli\u00e8re en raison du caract\u00e8re progressif du r\u00e9gime europ\u00e9en. L\u2019AI Act est applicable de mani\u00e8re g\u00e9n\u00e9rale depuis le 2 ao\u00fbt 2026, tandis que plusieurs cat\u00e9gories d\u2019obligations connaissent leurs propres dates d\u2019application et que le calendrier r\u00e9vis\u00e9 faisant suite \u00e0 l\u2019AI Omnibus affecte certains syst\u00e8mes \u00e0 haut risque. Pour les syst\u00e8mes concern\u00e9s relevant de l\u2019annexe III, l\u2019attention op\u00e9rationnelle se d\u00e9place vers le 2 d\u00e9cembre 2027, et pour certains syst\u00e8mes \u00e0 haut risque li\u00e9s \u00e0 des produits relevant de l\u2019annexe I vers le 2 ao\u00fbt 2028, tandis que d\u2019autres obligations ont d\u00e9j\u00e0 commenc\u00e9 \u00e0 produire leurs effets. Votre organisation ne peut donc organiser sa conformit\u00e9 autour d\u2019une seule \u00e9ch\u00e9ance future. Un calendrier de conformit\u00e9 doit pr\u00e9ciser, pour chaque syst\u00e8me, obligation, r\u00f4le et fondement juridique, quelles mesures doivent \u00eatre adopt\u00e9es imm\u00e9diatement, quels dispositifs de contr\u00f4le doivent \u00eatre op\u00e9rationnels au cours de l\u2019ann\u00e9e 2027 et quelles adaptations techniques ou contractuelles n\u00e9cessitent un d\u00e9lai de mise en \u0153uvre plus long. Cela est particuli\u00e8rement important lorsque des syst\u00e8mes existants resteront utilis\u00e9s pendant plusieurs ann\u00e9es, lorsque de nouvelles fonctionnalit\u00e9s d\u2019IA sont ajout\u00e9es \u00e0 des plateformes d\u00e9j\u00e0 en place ou lorsque des fournisseurs modifient \u00e0 distance certaines fonctionnalit\u00e9s sans que votre organisation ma\u00eetrise elle-m\u00eame les versions logicielles. Une approche juridiquement solide exige donc un registre actualis\u00e9 des syst\u00e8mes d\u2019IA allant au-del\u00e0 d\u2019une simple identification et consignant, pour chaque syst\u00e8me, au minimum sa finalit\u00e9, son propri\u00e9taire, son fournisseur, les donn\u00e9es utilis\u00e9es, les personnes affect\u00e9es, les juridictions concern\u00e9es, sa classification applicable, sa position contractuelle, ses d\u00e9pendances techniques, son impact sur la prise de d\u00e9cision, les contr\u00f4les applicables et les actions de conformit\u00e9 planifi\u00e9es.<\/p>

La mise en \u0153uvre progressive de la r\u00e9glementation cr\u00e9e \u00e9galement un risque consistant \u00e0 diff\u00e9rer des mesures qui ne deviendront formellement obligatoires qu\u2019\u00e0 une date ult\u00e9rieure, alors m\u00eame qu\u2019elles exigent en pratique une pr\u00e9paration longue et approfondie. Pour les applications \u00e0 haut risque, la documentation, la gestion de la qualit\u00e9, la journalisation, la gouvernance des donn\u00e9es, le monitoring, la supervision humaine, l\u2019information, les tests de performance et les proc\u00e9dures de gestion des incidents ne peuvent \u00eatre ajout\u00e9s de mani\u00e8re cr\u00e9dible au dernier moment lorsque les syst\u00e8mes, les processus et les contrats n\u2019ont jamais \u00e9t\u00e9 con\u00e7us pour les supporter. Votre organisation doit donc proc\u00e9der par r\u00e9troplanning \u00e0 partir de la date d\u2019application juridique concern\u00e9e et d\u00e9terminer le temps n\u00e9cessaire pour la classification, l\u2019analyse des \u00e9carts, l\u2019examen technique, la ren\u00e9gociation contractuelle, l\u2019inventaire des donn\u00e9es, la validation des mod\u00e8les, la r\u00e9organisation des processus, la formation, la mise en \u0153uvre et la revue ind\u00e9pendante. Une pr\u00e9paration pr\u00e9coce est particuli\u00e8rement importante pour les services d\u2019IA fournis par des tiers. Les fournisseurs peuvent d\u00e9tenir des informations techniques essentielles relatives aux donn\u00e9es d\u2019entra\u00eenement, aux limitations des mod\u00e8les, aux m\u00e9thodes d\u2019\u00e9valuation, aux mesures de s\u00e9curit\u00e9, au contr\u00f4le des versions ou aux incidents, sans que ces informations soient automatiquement accessibles contractuellement. Si elles deviennent ult\u00e9rieurement n\u00e9cessaires pour une \u00e9valuation de conformit\u00e9, une validation interne, une analyse d\u2019impact sur les droits fondamentaux, une analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es, une demande d\u2019information r\u00e9glementaire ou un contentieux, votre organisation peut se retrouver dans une position particuli\u00e8rement vuln\u00e9rable. Les achats et la gestion contractuelle doivent donc d\u00e9terminer, avant m\u00eame que certaines obligations ne deviennent pleinement opposables, si les droits d\u2019audit, les droits d\u2019acc\u00e8s \u00e0 la documentation, les obligations de notification d\u2019incidents, les obligations d\u2019information sur les modifications, les droits d\u2019acc\u00e8s, les m\u00e9canismes de sortie, l\u2019assistance en mati\u00e8re de supervision r\u00e9glementaire et les garanties de conformit\u00e9 sont suffisamment robustes. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette exigence est encore renforc\u00e9e, d\u00e8s lors que des mod\u00e8les de fournisseurs peuvent \u00eatre utilis\u00e9s pour le filtrage, la d\u00e9tection de fraude, la surveillance transactionnelle ou la classification des risques, tandis que la responsabilit\u00e9 finale des d\u00e9cisions affectant les clients, les autorit\u00e9s de surveillance ou les autorit\u00e9s d\u2019enqu\u00eate ne peut \u00eatre simplement transf\u00e9r\u00e9e \u00e0 un prestataire technologique. Une d\u00e9claration contractuelle selon laquelle un fournisseur serait conforme ne remplace donc jamais l\u2019\u00e9valuation propre de votre organisation quant \u00e0 la question de savoir si le syst\u00e8me peut \u00eatre utilis\u00e9 de mani\u00e8re l\u00e9gale et fiable dans son environnement op\u00e9rationnel concret.<\/p>

Une approche efficace \u00e0 l\u2019horizon 2027 suppose \u00e9galement que la r\u00e9glementation soit transform\u00e9e en d\u00e9cisions de gouvernance concr\u00e8tes. Les conseils d\u2019administration et les directions g\u00e9n\u00e9rales ne doivent pas recevoir uniquement des rapports p\u00e9riodiques sur le nombre de syst\u00e8mes d\u2019IA utilis\u00e9s ; ils doivent comprendre quels syst\u00e8mes sont susceptibles de produire les cons\u00e9quences juridiques, op\u00e9rationnelles, financi\u00e8res ou soci\u00e9tales les plus importantes. Les reportings doivent donc pr\u00e9senter la classification des syst\u00e8mes, les incertitudes r\u00e9siduelles, les insuffisances, les incidents, les r\u00e9sultats de tests, les d\u00e9pendances fournisseurs, les risques pour les droits fondamentaux, les d\u00e9rogations aux politiques internes et les mesures correctrices envisag\u00e9es. Votre organisation peut soutenir cette d\u00e9marche par des crit\u00e8res clairs de go\/no-go pour la mise en production, des conditions suppl\u00e9mentaires pour les syst\u00e8mes pr\u00e9sentant des risques accrus et des proc\u00e9dures explicites d\u2019escalade lorsque certaines informations juridiques ou techniques font d\u00e9faut. Un syst\u00e8me pour lequel le fournisseur ne fournit pas suffisamment d\u2019informations, dont les tests de fairness r\u00e9v\u00e8lent des \u00e9carts significatifs ou pour lequel une intervention humaine ne peut \u00eatre r\u00e9ellement exerc\u00e9e ne doit pas \u00eatre consid\u00e9r\u00e9 uniquement comme un probl\u00e8me de conformit\u00e9. Ces insuffisances peuvent directement affecter la qualit\u00e9 des d\u00e9cisions, la responsabilit\u00e9, l\u2019exposition r\u00e9glementaire, la r\u00e9putation et la d\u00e9fendabilit\u00e9 de d\u00e9cisions individuelles. L\u2019application progressive de l\u2019AI Act ne constitue donc pas une p\u00e9riode durant laquelle l\u2019action pourrait \u00eatre diff\u00e9r\u00e9e, mais une fen\u00eatre d\u2019impl\u00e9mentation au cours de laquelle votre organisation doit \u00e9tablir les fondements juridiques, techniques et organisationnels n\u00e9cessaires. L\u2019avantage strat\u00e9gique consiste \u00e0 relier d\u00e8s \u00e0 pr\u00e9sent la r\u00e9glementation de l\u2019IA aux processus existants de gouvernance, de protection des donn\u00e9es, de s\u00e9curit\u00e9 de l\u2019information, de contr\u00f4le interne, de gestion des risques li\u00e9s aux mod\u00e8les, d\u2019achats, d\u2019audit et de Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. Cela r\u00e9duit le risque de voir appara\u00eetre des programmes de conformit\u00e9 parall\u00e8les, des \u00e9valuations contradictoires d\u2019un m\u00eame syst\u00e8me ou des risques importants dispara\u00eetre entre diff\u00e9rentes responsabilit\u00e9s organisationnelles. L\u2019objectif doit \u00eatre la mise en place d\u2019un dispositif d\u00e9montrablement ma\u00eetris\u00e9 dans lequel les nouvelles obligations sont syst\u00e9matiquement traduites en responsabilit\u00e9s, contr\u00f4les, d\u00e9cisions, \u00e9l\u00e9ments probatoires et mesures correctrices.<\/p>

Classification des risques li\u00e9s \u00e0 l\u2019IA, r\u00e9partition des r\u00f4les et responsabilit\u00e9 r\u00e9glementaire<\/h4>

Une classification correcte des risques constitue le point de d\u00e9part de presque toutes les obligations ult\u00e9rieures en mati\u00e8re d\u2019IA responsable. Si votre organisation qualifie incorrectement un syst\u00e8me, certaines garanties n\u00e9cessaires peuvent ne pas \u00eatre mises en place, tandis qu\u2019une classification excessivement prudente peut entra\u00eener des co\u00fbts disproportionn\u00e9s, des restrictions inutiles et une utilisation inefficace des ressources de gouvernance. L\u2019\u00e9valuation doit donc \u00eatre fond\u00e9e sur la fonctionnalit\u00e9 r\u00e9elle et sur la finalit\u00e9 concr\u00e8te de l\u2019utilisation, et non exclusivement sur la d\u00e9nomination commerciale du produit, le mat\u00e9riel marketing ou les descriptions g\u00e9n\u00e9riques fournies par le prestataire. Un m\u00eame mod\u00e8le technique peut, dans un contexte, \u00eatre utilis\u00e9 pour formuler des suggestions textuelles \u00e0 faible impact et, dans un autre, soutenir des d\u00e9cisions relatives \u00e0 l\u2019octroi de cr\u00e9dit, au recrutement, \u00e0 la d\u00e9tection de fraude ou \u00e0 l\u2019acc\u00e8s \u00e0 des services essentiels. La qualification juridique peut d\u00e8s lors varier de mani\u00e8re substantielle. Pour chaque application, votre organisation doit documenter la population utilisatrice, les personnes affect\u00e9es, la fonction d\u00e9cisionnelle, le degr\u00e9 d\u2019automatisation, les cons\u00e9quences possibles, les donn\u00e9es utilis\u00e9es, le secteur concern\u00e9 et le contexte op\u00e9rationnel. Il convient \u00e9galement de d\u00e9terminer si la fonctionnalit\u00e9 d\u2019IA fait partie d\u2019un syst\u00e8me plus large. Un mod\u00e8le peut, par exemple, ne produire qu\u2019un score de risque, alors que ce score est, en pratique, d\u00e9terminant pour l\u2019ouverture d\u2019une enqu\u00eate, le blocage d\u2019une transaction, le refus d\u2019un produit ou le passage d\u2019un client en enhanced due diligence. Une analyse limit\u00e9e au seul composant technique risque donc de sous-estimer significativement l\u2019impact r\u00e9el. Cette approche fond\u00e9e sur les processus est particuli\u00e8rement importante dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. Un algorithme qui semble se limiter \u00e0 hi\u00e9rarchiser des priorit\u00e9s peut, en pratique, d\u00e9terminer les alertes que les enqu\u00eateurs examineront en premier et influencer ainsi les risques de criminalit\u00e9 financi\u00e8re qui seront identifi\u00e9s \u00e0 temps. La classification doit donc \u00eatre conduite non seulement comme un exercice juridique, mais aussi comme une analyse op\u00e9rationnelle et fond\u00e9e sur les processus.<\/p>

Parall\u00e8lement \u00e0 la classification des risques, l\u2019attribution pr\u00e9cise des r\u00f4les entre fournisseurs, d\u00e9ployeurs, importateurs, distributeurs et autres parties d\u00e9termine la r\u00e9partition des obligations r\u00e9glementaires. En fonction des circonstances, votre organisation peut exercer plusieurs r\u00f4les simultan\u00e9ment ou successivement. Une entreprise qui acquiert un produit d\u2019IA externe peut initialement agir en qualit\u00e9 de d\u00e9ployeur, mais sa position juridique peut \u00e9voluer si le syst\u00e8me fait l\u2019objet d\u2019une modification substantielle, s\u2019il est commercialis\u00e9 sous son propre nom ou s\u2019il est utilis\u00e9 \u00e0 une finalit\u00e9 sensiblement diff\u00e9rente de celle qui avait \u00e9t\u00e9 initialement pr\u00e9vue. Les structures de groupe peuvent rendre cette analyse encore plus complexe. Lorsqu\u2019une entit\u00e9 d\u2019un groupe d\u00e9veloppe un mod\u00e8le qui est ensuite utilis\u00e9 par d\u2019autres entit\u00e9s du m\u00eame groupe, il convient de d\u00e9terminer pr\u00e9cis\u00e9ment quelle entit\u00e9 assume quelle responsabilit\u00e9 et quelles conventions sont n\u00e9cessaires en mati\u00e8re de documentation, maintenance, incidents, journalisation et modifications. Il en va de m\u00eame pour les solutions en marque blanche, l\u2019IA int\u00e9gr\u00e9e \u00e0 d\u2019autres produits, les services fond\u00e9s sur API et les plateformes cloud dans lesquelles plusieurs fournisseurs sont responsables de diff\u00e9rentes couches du syst\u00e8me. Votre organisation ne doit donc pas se contenter d\u2019une clause contractuelle g\u00e9n\u00e9rale pr\u00e9voyant que le fournisseur serait responsable de la conformit\u00e9. La responsabilit\u00e9 juridique d\u00e9coule du r\u00f4le effectivement exerc\u00e9 et ne peut \u00eatre modifi\u00e9e par le seul contrat. Les contrats doivent, au contraire, soutenir la position r\u00e9glementaire applicable en garantissant l\u2019acc\u00e8s aux informations, \u00e0 la coop\u00e9ration technique, aux possibilit\u00e9s de test, aux droits d\u2019audit et aux mesures correctrices n\u00e9cessaires pour permettre \u00e0 votre organisation d\u2019assumer ses propres obligations. Lorsque votre organisation prend des d\u00e9cisions sur la base d\u2019un mod\u00e8le externe, elle doit \u00e9galement conserver un niveau de compr\u00e9hension suffisant pour pouvoir justifier ces d\u00e9cisions de mani\u00e8re ind\u00e9pendante. Cette exigence est particuli\u00e8rement importante lorsque des personnes sont susceptibles de subir des cons\u00e9quences n\u00e9gatives. La protection des secrets d\u2019affaires du fournisseur ne peut automatiquement rendre impossible toute explication, v\u00e9rification ou forme de contr\u00f4le.<\/p>

La responsabilit\u00e9 r\u00e9glementaire suppose ensuite que ces r\u00f4les juridiques externes soient traduits en responsabilit\u00e9s internes concr\u00e8tes. La fonction juridique peut \u00eatre responsable de la qualification r\u00e9glementaire, mais elle ne peut, \u00e0 elle seule, appr\u00e9cier les performances techniques. Les data scientists peuvent mesurer la performance d\u2019un mod\u00e8le, mais ne peuvent d\u00e9cider seuls quels risques de discrimination sont juridiquement acceptables. La fonction compliance peut surveiller les r\u00e9f\u00e9rentiels r\u00e9glementaires sans n\u00e9cessairement disposer des comp\u00e9tences techniques permettant d\u2019\u00e9valuer en profondeur les donn\u00e9es d\u2019entra\u00eenement, la d\u00e9rive des mod\u00e8les ou leur comportement. L\u2019audit interne doit pouvoir exercer une remise en question ind\u00e9pendante, tandis que les responsables op\u00e9rationnels demeurent responsables du d\u00e9ploiement et des cons\u00e9quences du syst\u00e8me. Votre organisation doit donc mettre en place, pour les syst\u00e8mes d\u2019IA critiques, des m\u00e9canismes de d\u00e9cision multidisciplinaires associant expertise juridique, technique, op\u00e9rationnelle et de gestion des risques. Il doit \u00eatre \u00e9tabli \u00e0 l\u2019avance qui est formellement habilit\u00e9 \u00e0 approuver la mise en production, qui peut imposer des conditions, qui dispose du pouvoir de suspendre un syst\u00e8me et qui est responsable de sa r\u00e9\u00e9valuation p\u00e9riodique. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette gouvernance peut n\u00e9cessiter l\u2019intervention conjointe des responsables de mod\u00e8les, des sp\u00e9cialistes de la lutte contre le blanchiment, des experts sanctions, des enqu\u00eateurs fraude, des data scientists, des sp\u00e9cialistes de la protection des donn\u00e9es, de la compliance et du juridique afin de d\u00e9terminer si un mod\u00e8le fonctionne avec un degr\u00e9 suffisant de fiabilit\u00e9 et de proportionnalit\u00e9. Un mod\u00e8le de d\u00e9tection de fraude pr\u00e9sentant de solides performances agr\u00e9g\u00e9es peut n\u00e9anmoins produire des r\u00e9sultats inacceptables si certains groupes de clients sont s\u00e9lectionn\u00e9s de mani\u00e8re disproportionn\u00e9e ou si les explications relatives aux scores de risque ne sont pas suffisamment accessibles aux enqu\u00eateurs. La responsabilit\u00e9 exige d\u00e8s lors une cha\u00eene de d\u00e9cision tra\u00e7able indiquant non seulement qui \u00e9tait formellement responsable, mais \u00e9galement quelles informations substantielles \u00e9taient disponibles, quelles objections ont \u00e9t\u00e9 formul\u00e9es, quelles incertitudes subsistaient et pour quelles raisons les risques r\u00e9siduels ont \u00e9t\u00e9 accept\u00e9s.<\/p>

Transparence algorithmique, explicabilit\u00e9 et tra\u00e7abilit\u00e9 des d\u00e9cisions<\/h4>

La transparence en mati\u00e8re d\u2019IA doit \u00eatre envisag\u00e9e par votre organisation comme une notion juridique et op\u00e9rationnelle \u00e0 plusieurs niveaux. Il est rarement suffisant d\u2019informer simplement les personnes concern\u00e9es que l\u2019intelligence artificielle est utilis\u00e9e. Une transparence significative exige que le r\u00f4le du syst\u00e8me dans le processus soit clairement d\u00e9fini, que les cat\u00e9gories d\u2019informations pertinentes soient identifi\u00e9es, que le poids accord\u00e9 au r\u00e9sultat du syst\u00e8me soit compr\u00e9hensible, que ses limites soient connues et qu\u2019une personne puisse savoir comment demander la r\u00e9vision ou la correction d\u2019un r\u00e9sultat. Le niveau de d\u00e9tail n\u00e9cessaire d\u00e9pend du contexte. Un assistant g\u00e9n\u00e9ratif utilis\u00e9 pour synth\u00e9tiser des notes internes n\u00e9cessite une explication diff\u00e9rente d\u2019un syst\u00e8me classant un client comme pr\u00e9sentant un risque accru de fraude ou abaissant automatiquement la position d\u2019un candidat \u00e0 un emploi. Votre organisation doit donc distinguer entre la transparence g\u00e9n\u00e9rale \u00e0 destination des utilisateurs, l\u2019information sp\u00e9cifique due aux personnes concern\u00e9es, la transparence interne \u00e0 destination des d\u00e9cideurs et la tra\u00e7abilit\u00e9 technique approfondie n\u00e9cessaire aux auditeurs, aux autorit\u00e9s de contr\u00f4le et dans le cadre de contentieux. Ces diff\u00e9rents niveaux d\u2019information doivent demeurer coh\u00e9rents entre eux. Une situation devient probl\u00e9matique lorsque la communication commerciale pr\u00e9sente un syst\u00e8me comme pleinement fiable alors que la documentation technique r\u00e9v\u00e8le d\u2019importantes limitations ou que les instructions internes avertissent les collaborateurs de ne pas utiliser ses r\u00e9sultats sans v\u00e9rification suppl\u00e9mentaire. La transparence ne produit un v\u00e9ritable effet que lorsque l\u2019information fournie correspond aux risques r\u00e9els et est suffisamment concr\u00e8te pour permettre l\u2019action. Pour les personnes affect\u00e9es par une d\u00e9cision soutenue par un algorithme, cela peut notamment impliquer la possibilit\u00e9 de comprendre quels facteurs significatifs ont contribu\u00e9 \u00e0 un r\u00e9sultat d\u00e9favorable et de savoir comment contester des donn\u00e9es ou hypoth\u00e8ses inexactes.<\/p>

L\u2019explicabilit\u00e9 constitue un enjeu particuli\u00e8rement complexe, car l\u2019explicabilit\u00e9 technique et l\u2019explication juridique ne se confondent pas. Une \u00e9quipe technique peut utiliser l\u2019importance des variables, des valeurs SHAP, des scores de confiance ou d\u2019autres m\u00e9thodes afin d\u2019identifier les variables ayant statistiquement influenc\u00e9 une sortie du mod\u00e8le, sans que ces informations soient automatiquement intelligibles ou juridiquement pertinentes pour un client, un salari\u00e9, une autorit\u00e9 de contr\u00f4le ou une juridiction. Votre organisation doit donc d\u00e9terminer quelle forme d\u2019explication est n\u00e9cessaire pour chaque cat\u00e9gorie de destinataires. Un collaborateur op\u00e9rationnel peut avoir besoin de comprendre quels facteurs ont d\u00e9clench\u00e9 une alerte et quelles v\u00e9rifications compl\u00e9mentaires sont n\u00e9cessaires. Un client peut avoir besoin de comprendre pourquoi une transaction a \u00e9t\u00e9 retard\u00e9e, pourquoi des informations suppl\u00e9mentaires sont demand\u00e9es ou pourquoi une demande a fait l\u2019objet d\u2019un traitement diff\u00e9rent. Un auditeur ou une autorit\u00e9 de contr\u00f4le peut n\u00e9cessiter un acc\u00e8s beaucoup plus approfondi aux jeux de donn\u00e9es, param\u00e8tres du mod\u00e8le, m\u00e9thodes de validation, taux d\u2019erreur, seuils d\u00e9cisionnels et historiques de modifications. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, il convient \u00e9galement de veiller \u00e0 ce que l\u2019explicabilit\u00e9 n\u2019affaiblisse ni l\u2019efficacit\u00e9 des m\u00e9canismes de d\u00e9tection ni les obligations l\u00e9gales de confidentialit\u00e9. Cela ne signifie toutefois pas que l\u2019explication interne puisse \u00eatre omise. Au contraire, lorsque la communication externe doit rester limit\u00e9e, la documentation interne doit \u00eatre suffisamment robuste pour d\u00e9montrer qu\u2019une intervention n\u2019a \u00e9t\u00e9 ni arbitraire ni d\u00e9termin\u00e9e exclusivement par un mod\u00e8le opaque. L\u2019explicabilit\u00e9 doit donc \u00eatre con\u00e7ue comme une combinaison d\u2019interpr\u00e9tation technique, de motivation juridique, d\u2019instructions op\u00e9rationnelles et de communication proportionn\u00e9e.<\/p>

La tra\u00e7abilit\u00e9 d\u00e9cisionnelle va encore plus loin puisqu\u2019il doit \u00eatre possible d\u2019expliquer non seulement comment un mod\u00e8le fonctionne de mani\u00e8re g\u00e9n\u00e9rale, mais \u00e9galement comment une d\u00e9cision concr\u00e8te a \u00e9t\u00e9 obtenue. Pour les applications pertinentes, votre organisation doit donc consigner quelle version du mod\u00e8le \u00e9tait active, quelles donn\u00e9es ont \u00e9t\u00e9 trait\u00e9es, quelle sortie a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9e, quelles r\u00e8gles m\u00e9tier suppl\u00e9mentaires ont \u00e9t\u00e9 appliqu\u00e9es, quel collaborateur a examin\u00e9 le r\u00e9sultat, quelles d\u00e9rogations ont \u00e9t\u00e9 effectu\u00e9es et quelle d\u00e9cision finale a \u00e9t\u00e9 prise. En l\u2019absence de telles traces, une organisation peut \u00eatre en mesure de fournir des explications g\u00e9n\u00e9rales sur son mod\u00e8le sans pouvoir \u00e9tablir pourquoi une personne A a \u00e9t\u00e9 trait\u00e9e diff\u00e9remment d\u2019une personne B. Cette situation cr\u00e9e un risque important dans les enqu\u00eates r\u00e9glementaires, les proc\u00e9dures de plainte, les litiges en mati\u00e8re de travail, les actions en responsabilit\u00e9 civile et les proc\u00e9dures de droit administratif. La tra\u00e7abilit\u00e9 doit \u00e9galement tenir compte des mises \u00e0 jour des mod\u00e8les et des syst\u00e8mes dynamiques. Lorsqu\u2019un fournisseur d\u00e9ploie r\u00e9guli\u00e8rement de nouvelles versions, il doit \u00eatre possible d\u2019identifier \u00e0 partir de quelle date chacune d\u2019entre elles a \u00e9t\u00e9 utilis\u00e9e et quelles modifications ont pu affecter les r\u00e9sultats. Pour les syst\u00e8mes g\u00e9n\u00e9ratifs, le contexte pertinent peut \u00e9galement comprendre les prompts, les instructions syst\u00e8me, les sources de retrieval et les filtres compl\u00e9mentaires. Pour votre organisation, cela signifie que les exigences de journalisation ne doivent pas \u00eatre consid\u00e9r\u00e9es comme un d\u00e9tail technique ajout\u00e9 apr\u00e8s le d\u00e9ploiement, mais comme un \u00e9l\u00e9ment structurel de la conception du processus. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette tra\u00e7abilit\u00e9 peut \u00eatre d\u00e9terminante pour reconstruire pourquoi un client a \u00e9t\u00e9 s\u00e9lectionn\u00e9, pourquoi une alerte a \u00e9t\u00e9 cl\u00f4tur\u00e9e, pourquoi une transaction a \u00e9t\u00e9 escalad\u00e9e ou pourquoi une enqu\u00eate suppl\u00e9mentaire a \u00e9t\u00e9 consid\u00e9r\u00e9e comme n\u00e9cessaire. La tra\u00e7abilit\u00e9 devient ainsi non seulement une mesure de contr\u00f4le technique, mais une condition essentielle de d\u00e9fendabilit\u00e9 juridique et de responsabilit\u00e9 institutionnelle.<\/p>

Validation des mod\u00e8les d\u2019IA, contr\u00f4les ind\u00e9pendants et audits algorithmiques<\/h4>

La validation des mod\u00e8les constitue l\u2019un des principaux m\u00e9canismes permettant d\u2019\u00e9viter que la confiance accord\u00e9e \u00e0 l\u2019intelligence artificielle repose sur des hypoth\u00e8ses, des affirmations commerciales ou des indicateurs de performance agr\u00e9g\u00e9s impressionnants sans compr\u00e9hension suffisante du fonctionnement r\u00e9el du syst\u00e8me. Pour votre organisation, la validation doit donc aller largement au-del\u00e0 de la v\u00e9rification de l\u2019accuracy ou d\u2019un benchmark isol\u00e9. Les indicateurs de performance pertinents doivent \u00eatre adapt\u00e9s \u00e0 la finalit\u00e9 pr\u00e9cise de l\u2019utilisation et aux cons\u00e9quences possibles des erreurs. Dans un mod\u00e8le de d\u00e9tection de fraude, les faux positifs comme les faux n\u00e9gatifs sont importants, mais ils traduisent des risques diff\u00e9rents. Un volume \u00e9lev\u00e9 de faux positifs peut entra\u00eener des investigations disproportionn\u00e9es, des co\u00fbts suppl\u00e9mentaires, des retards pour les clients et potentiellement des formes de discrimination indirecte, tandis que les faux n\u00e9gatifs peuvent permettre \u00e0 des fraudes r\u00e9elles ou \u00e0 d\u2019autres risques de criminalit\u00e9 financi\u00e8re de demeurer non d\u00e9tect\u00e9s. Des consid\u00e9rations similaires peuvent s\u2019appliquer aux mod\u00e8les de cr\u00e9dit en mati\u00e8re de puissance pr\u00e9dictive, d\u2019acc\u00e8s aux services financiers, d\u2019\u00e9quit\u00e9 et de risque \u00e9conomique. Dans le recrutement, la performance d\u2019un mod\u00e8le ne peut \u00eatre dissoci\u00e9e du risque de d\u00e9savantage syst\u00e9matique pour certains groupes. La validation doit donc toujours \u00eatre adapt\u00e9e au contexte. Votre organisation doit d\u00e9terminer \u00e0 l\u2019avance quels niveaux minimaux de performance sont requis, quelles marges d\u2019erreur sont acceptables, comment la repr\u00e9sentativit\u00e9 des donn\u00e9es de test sera \u00e9valu\u00e9e et quels \u00e9carts entra\u00eeneront la mise en place de contr\u00f4les suppl\u00e9mentaires ou la suspension du syst\u00e8me. La validation doit \u00e9galement couvrir les circonstances exceptionnelles. Un mod\u00e8le peut fonctionner de mani\u00e8re stable dans des conditions normales tout en se d\u00e9gradant fortement lorsque les conditions \u00e9conomiques, le comportement des clients, les usages linguistiques ou les typologies de fraude \u00e9voluent.<\/p>

Un contr\u00f4le ind\u00e9pendant est indispensable, car les \u00e9quipes de d\u00e9veloppement et les responsables op\u00e9rationnels peuvent \u00eatre soumis \u00e0 des incitations inh\u00e9rentes favorisant le succ\u00e8s du d\u00e9ploiement. Une \u00e9quipe ayant consacr\u00e9 plusieurs mois au d\u00e9veloppement d\u2019un mod\u00e8le peut, sans intention particuli\u00e8re, se montrer moins critique \u00e0 l\u2019\u00e9gard de ses limites, tandis qu\u2019une fonction m\u00e9tier peut subir une forte pression pour r\u00e9aliser rapidement les gains d\u2019efficacit\u00e9 attendus. Votre organisation doit donc mettre en place une fonction de challenge suffisamment ind\u00e9pendante, disposant d\u2019un acc\u00e8s r\u00e9el \u00e0 la documentation technique, aux jeux de donn\u00e9es, aux r\u00e9sultats des tests et aux d\u00e9cisions de gouvernance. L\u2019ind\u00e9pendance ne signifie pas n\u00e9cessairement que chaque \u00e9valuation doit \u00eatre r\u00e9alis\u00e9e par un tiers externe, mais que les personnes charg\u00e9es de la revue ne doivent pas \u00eatre exclusivement responsables du succ\u00e8s du syst\u00e8me qu\u2019elles \u00e9valuent. Une assurance externe compl\u00e9mentaire peut \u00eatre particuli\u00e8rement pertinente pour les applications critiques, notamment lorsque les comp\u00e9tences techniques internes sont limit\u00e9es ou lorsque des int\u00e9r\u00eats juridiques, financiers ou soci\u00e9taux importants sont en jeu. La revue ne doit pas non plus se limiter au d\u00e9but du cycle de vie. Le comportement d\u2019un mod\u00e8le peut \u00e9voluer en raison de nouvelles donn\u00e9es, de populations diff\u00e9rentes, de variables modifi\u00e9es, de mises \u00e0 jour fournisseurs, d\u2019\u00e9volutions r\u00e9glementaires ou de changements dans les proc\u00e9dures op\u00e9rationnelles. Une r\u00e9\u00e9valuation p\u00e9riodique et une validation d\u00e9clench\u00e9e par certains \u00e9v\u00e9nements sont donc essentielles. Une modification significative du mod\u00e8le, un incident, une d\u00e9gradation importante de la performance ou un changement de finalit\u00e9 doivent pouvoir entra\u00eener une nouvelle \u00e9valuation. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette exigence est particuli\u00e8rement importante, car les m\u00e9thodes criminelles \u00e9voluent en permanence et les mod\u00e8les con\u00e7us pour reconna\u00eetre des sch\u00e9mas historiques peuvent progressivement perdre en efficacit\u00e9. Dans le m\u00eame temps, des mesures prises pour am\u00e9liorer la d\u00e9tection peuvent engendrer de nouveaux effets disproportionn\u00e9s. La fonction de validation doit donc continuer \u00e0 examiner simultan\u00e9ment l\u2019efficacit\u00e9 et la protection des droits.<\/p>

Les audits algorithmiques ajoutent une dimension plus large de gouvernance et de preuve. Un audit complet ne doit pas examiner uniquement les performances math\u00e9matiques du mod\u00e8le, mais l\u2019ensemble du dispositif de contr\u00f4le entourant son d\u00e9veloppement, sa mise en \u0153uvre et son utilisation. La gouvernance, l\u2019attribution des r\u00f4les, la documentation, la tra\u00e7abilit\u00e9 des donn\u00e9es, la gestion des changements, la journalisation, la gestion des acc\u00e8s, l\u2019intervention humaine, la gestion des incidents, la gestion des fournisseurs, le monitoring et la conformit\u00e9 peuvent tous entrer dans son p\u00e9rim\u00e8tre. Votre organisation b\u00e9n\u00e9ficie ainsi d\u2019une \u00e9valuation ind\u00e9pendante permettant de d\u00e9terminer si les proc\u00e9dures formelles correspondent r\u00e9ellement aux pratiques op\u00e9rationnelles. Une politique peut, par exemple, imposer aux collaborateurs de revoir ind\u00e9pendamment les recommandations algorithmiques, alors que l\u2019audit r\u00e9v\u00e8le que plus de 99 % des recommandations sont accept\u00e9es sans motivation substantielle. Une proc\u00e9dure peut pr\u00e9voir l\u2019approbation pr\u00e9alable de toute modification du mod\u00e8le, alors que des mises \u00e0 jour fournisseurs sont en pratique d\u00e9ploy\u00e9es automatiquement sans revue interne. De tels \u00e9carts peuvent \u00eatre juridiquement plus importants que l\u2019existence de documents de politique sophistiqu\u00e9s. Les audits algorithmiques doivent donc \u00eatre fond\u00e9s sur des \u00e9l\u00e9ments probatoires et conduire \u00e0 des constats pr\u00e9cis, \u00e0 une \u00e9valuation des risques, \u00e0 l\u2019attribution claire de responsabilit\u00e9s et \u00e0 des d\u00e9lais de rem\u00e9diation. Les constats doivent \u00eatre suivis jusqu\u2019\u00e0 ce que leur r\u00e9solution soit effectivement d\u00e9montr\u00e9e. Pour le reporting destin\u00e9 au conseil d\u2019administration, il est utile de pr\u00e9senter non seulement le nombre de constats ouverts, mais \u00e9galement leurs cons\u00e9quences potentielles pour les droits fondamentaux, la continuit\u00e9 de l\u2019activit\u00e9, la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, l\u2019exposition r\u00e9glementaire et la responsabilit\u00e9. L\u2019audit devient ainsi une composante essentielle d\u2019une responsabilit\u00e9 algorithmique d\u00e9montrable.<\/p>

Biais, non-discrimination et protection des droits fondamentaux<\/h4>

Les biais au sein des syst\u00e8mes d\u2019IA r\u00e9sultent rarement d\u2019une d\u00e9faillance unique et ais\u00e9ment identifiable. Ils peuvent provenir de jeux de donn\u00e9es historiques, d\u2019informations incompl\u00e8tes, d\u2019\u00e9tiquettes incorrectes, d\u2019effets de s\u00e9lection, de variables proxy, de seuils d\u00e9cisionnels, de m\u00e9canismes d\u2019optimisation du mod\u00e8le, de proc\u00e9dures op\u00e9rationnelles ou du comportement humain entourant le syst\u00e8me. Votre organisation doit donc \u00e9viter de traiter le biais uniquement comme un probl\u00e8me technique pouvant \u00eatre r\u00e9solu \u00e0 l\u2019aide d\u2019un unique indicateur de fairness. Un jeu de donn\u00e9es peut sembler statistiquement repr\u00e9sentatif tout en reproduisant des in\u00e9galit\u00e9s pr\u00e9existantes. Une variable formellement neutre peut \u00eatre fortement corr\u00e9l\u00e9e \u00e0 des caract\u00e9ristiques prot\u00e9g\u00e9es. Des d\u00e9cisions historiques utilis\u00e9es comme labels d\u2019entra\u00eenement peuvent perp\u00e9tuer des pr\u00e9jug\u00e9s ant\u00e9rieurs dans de nouveaux mod\u00e8les. Diff\u00e9rents crit\u00e8res d\u2019\u00e9quit\u00e9 peuvent en outre entrer en conflit, de sorte qu\u2019aucune m\u00e9trique math\u00e9matique universelle ne garantit dans chaque contexte le r\u00e9sultat juridiquement ou socialement le plus appropri\u00e9. L\u2019\u00e9valuation doit donc partir de la d\u00e9cision concr\u00e8te, des personnes concern\u00e9es et des cons\u00e9quences n\u00e9gatives possibles. Quels groupes peuvent \u00eatre affect\u00e9s ? Quelles caract\u00e9ristiques sont utilis\u00e9es directement ou indirectement ? Quels types d\u2019erreurs surviennent selon les groupes ? Quels int\u00e9r\u00eats doivent \u00eatre prot\u00e9g\u00e9s ? Quelle justification existe pour d\u2019\u00e9ventuelles diff\u00e9rences de traitement ? Quelles solutions moins intrusives sont disponibles ? En r\u00e9pondant syst\u00e9matiquement \u00e0 ces questions, votre organisation peut \u00e9viter de confondre optimisation technique et admissibilit\u00e9 juridique.<\/p>

La non-discrimination exige \u00e9galement un suivi continu apr\u00e8s la mise en production du syst\u00e8me. Un mod\u00e8le qui ne r\u00e9v\u00e8le pas de diff\u00e9rences significatives lors de sa validation peut produire ult\u00e9rieurement d\u2019autres effets \u00e0 mesure que la population, la qualit\u00e9 des donn\u00e9es ou le contexte \u00e9conomique \u00e9voluent. Votre organisation doit donc analyser p\u00e9riodiquement les r\u00e9sultats r\u00e9els et ne pas se limiter \u00e0 des tests de fairness avant le d\u00e9ploiement. Il est essentiel de disposer d\u2019informations suffisantes pour \u00e9tudier d\u2019\u00e9ventuels effets disproportionn\u00e9s tout en respectant simultan\u00e9ment les exigences de confidentialit\u00e9 et de protection des donn\u00e9es. Cette tension n\u00e9cessite une gouvernance attentive. En l\u2019absence d\u2019informations ad\u00e9quates, il peut \u00eatre difficile d\u2019identifier une discrimination, tandis que la collecte de donn\u00e9es sensibles peut elle-m\u00eame g\u00e9n\u00e9rer de nouveaux risques juridiques. Pour chaque application, il convient donc de d\u00e9terminer quelles donn\u00e9es sont n\u00e9cessaires et peuvent \u00eatre trait\u00e9es l\u00e9galement, quelles m\u00e9thodes statistiques sont adapt\u00e9es et comment l\u2019acc\u00e8s aux informations sensibles sera limit\u00e9. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette question peut devenir particuli\u00e8rement complexe. Les mod\u00e8les de risque utilisant des caract\u00e9ristiques g\u00e9ographiques, des sch\u00e9mas transactionnels, la nationalit\u00e9, le secteur, les relations de r\u00e9seau ou d\u2019autres caract\u00e9ristiques clients peuvent affecter certains groupes de mani\u00e8re diff\u00e9rente. Certains facteurs peuvent, en eux-m\u00eames, \u00eatre pertinents au regard d\u2019obligations l\u00e9gales, tandis que leur combinaison peut n\u00e9anmoins produire des effets disproportionn\u00e9s. L\u2019\u00e9valuation n\u00e9cessaire doit donc \u00eatre plus nuanc\u00e9e que la simple suppression de certaines variables. Votre organisation doit pouvoir d\u00e9montrer pourquoi certains facteurs de risque sont pertinents, comment la proportionnalit\u00e9 a \u00e9t\u00e9 appr\u00e9ci\u00e9e, quelles alternatives ont \u00e9t\u00e9 \u00e9tudi\u00e9es et comment la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re est emp\u00each\u00e9e de se transformer en s\u00e9lection indiff\u00e9renci\u00e9e ou en traitement structurellement in\u00e9gal.<\/p>

La protection des droits fondamentaux exige enfin que les d\u00e9cisions soutenues par l\u2019IA soient appr\u00e9ci\u00e9es du point de vue de la personne qui en subit les cons\u00e9quences. Un syst\u00e8me techniquement efficace peut demeurer juridiquement probl\u00e9matique lorsque les personnes concern\u00e9es ne disposent pas d\u2019une possibilit\u00e9 suffisante d\u2019identifier les erreurs, de comprendre les d\u00e9cisions ou de contester les cons\u00e9quences d\u00e9favorables. Votre organisation doit donc d\u00e9terminer explicitement quels droits et int\u00e9r\u00eats peuvent \u00eatre affect\u00e9s par un syst\u00e8me, parall\u00e8lement \u00e0 l\u2019\u00e9valuation de sa performance, de son efficacit\u00e9 et de sa conformit\u00e9. Il peut notamment s\u2019agir de la vie priv\u00e9e, de la protection des donn\u00e9es, de l\u2019\u00e9galit\u00e9 de traitement, de l\u2019acc\u00e8s aux services essentiels, des droits des travailleurs, de la dignit\u00e9 humaine, de la libert\u00e9 d\u2019expression, du droit \u00e0 un recours effectif ou d\u2019autres int\u00e9r\u00eats fondamentaux. Cette analyse ne doit pas demeurer abstraite. Elle doit identifier les sc\u00e9narios concrets susceptibles de se produire, la gravit\u00e9 de leurs cons\u00e9quences, leur probabilit\u00e9 et les mesures de contr\u00f4le r\u00e9ellement disponibles. Lorsqu\u2019un syst\u00e8me g\u00e9n\u00e8re, par exemple, un score de risque accru, il doit \u00eatre clairement \u00e9tabli ce qui se passe ensuite : ce score conduit-il uniquement \u00e0 un contr\u00f4le humain suppl\u00e9mentaire, \u00e0 une restriction automatique, \u00e0 une surveillance renforc\u00e9e ou \u00e0 la rupture d\u2019une relation ? La r\u00e9ponse \u00e0 cette question d\u00e9termine en grande partie les garanties requises. La protection des droits fondamentaux doit donc \u00eatre reli\u00e9e aux droits d\u2019acc\u00e8s, aux exigences de motivation, \u00e0 l\u2019intervention humaine, aux proc\u00e9dures de r\u00e9clamation, aux m\u00e9canismes de correction, \u00e0 la journalisation et \u00e0 la revue ind\u00e9pendante. Pour votre organisation, c\u2019est \u00e0 ce niveau qu\u2019appara\u00eet un lien essentiel entre l\u2019IA responsable et la confiance institutionnelle. Les personnes concern\u00e9es ne doivent pas n\u00e9cessairement supposer que chaque algorithme est infaillible, mais elles doivent pouvoir avoir confiance dans le fait que des erreurs significatives peuvent \u00eatre d\u00e9tect\u00e9es, examin\u00e9es et corrig\u00e9es, que les impacts disproportionn\u00e9s sont pris au s\u00e9rieux et que la responsabilit\u00e9 ne dispara\u00eet pas derri\u00e8re la complexit\u00e9 technique. Lorsque ces garanties fonctionnent de mani\u00e8re d\u00e9montrable dans la pratique, l\u2019IA responsable cesse d\u2019\u00eatre une simple ambition de politique interne pour devenir une v\u00e9ritable comp\u00e9tence organisationnelle juridiquement et institutionnellement d\u00e9fendable.<\/p>

Supervision humaine, intervention significative et possibilit\u00e9 effective de contestation<\/h4>

La supervision humaine dans le cadre d\u2019une IA responsable ne doit pas \u00eatre envisag\u00e9e comme une couche de contr\u00f4le purement formelle qu\u2019il suffirait de consid\u00e9rer comme satisfaite d\u00e8s lors qu\u2019un collaborateur intervient \u00e0 un endroit quelconque du processus. Pour votre organisation, la question d\u00e9terminante est de savoir si ce collaborateur dispose r\u00e9ellement des informations, de l\u2019expertise, du pouvoir d\u00e9cisionnel, du temps et de l\u2019ind\u00e9pendance organisationnelle n\u00e9cessaires pour appr\u00e9cier de mani\u00e8re critique un r\u00e9sultat algorithmique, le corriger, l\u2019\u00e9carter ou l\u2019escalader en vue d\u2019un examen compl\u00e9mentaire. Un collaborateur qui ne voit qu\u2019un score de risque g\u00e9n\u00e9r\u00e9 par un syst\u00e8me, sans avoir acc\u00e8s aux donn\u00e9es pertinentes, aux hypoth\u00e8ses sous-jacentes, au niveau de confiance ou aux limitations connues, ne peut exercer qu\u2019un contr\u00f4le tr\u00e8s limit\u00e9. Il en va de m\u00eame lorsque les collaborateurs sont formellement autoris\u00e9s \u00e0 s\u2019\u00e9carter d\u2019une recommandation algorithmique, mais sont en pratique \u00e9valu\u00e9s au regard de la rapidit\u00e9, de la productivit\u00e9 ou de leur degr\u00e9 de conformit\u00e9 avec la sortie du mod\u00e8le. Dans de telles circonstances, un biais d\u2019automatisation peut appara\u00eetre : le d\u00e9cideur humain accepte le r\u00e9sultat du syst\u00e8me parce qu\u2019il para\u00eet objectif, techniquement sophistiqu\u00e9 ou statistiquement fond\u00e9, alors m\u00eame qu\u2019aucune appr\u00e9ciation ind\u00e9pendante suffisamment approfondie n\u2019a \u00e9t\u00e9 effectu\u00e9e. Votre organisation doit donc d\u00e9terminer, pour chaque application d\u2019IA critique, quelles d\u00e9cisions peuvent \u00eatre enti\u00e8rement automatis\u00e9es, quelles d\u00e9cisions n\u00e9cessitent une autorisation humaine, quelles circonstances imposent une escalade obligatoire et quels pouvoirs le r\u00e9viseur humain poss\u00e8de effectivement. L\u2019analyse ne doit pas se limiter aux descriptions formelles des processus, mais porter sur la r\u00e9alit\u00e9 op\u00e9rationnelle. Les donn\u00e9es sources pertinentes sont-elles disponibles ? Le collaborateur peut-il demander des informations suppl\u00e9mentaires ? Une classification produite par l\u2019IA peut-elle \u00eatre modifi\u00e9e ? Une d\u00e9rogation est-elle document\u00e9e ? Une seconde ligne de revue est-elle disponible lorsque des int\u00e9r\u00eats significatifs sont en jeu ? Les collaborateurs sont-ils suffisamment form\u00e9s pour identifier les limitations du mod\u00e8le et les sch\u00e9mas d\u2019erreur r\u00e9currents ? Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, ces questions sont particuli\u00e8rement importantes lorsque l\u2019IA est utilis\u00e9e pour la surveillance transactionnelle, le filtrage des sanctions, la d\u00e9tection de fraude, l\u2019acceptation des clients, l\u2019analyse des m\u00e9dias d\u00e9favorables, la d\u00e9tection de r\u00e9seaux ou la priorisation des enqu\u00eates. Un algorithme peut r\u00e9duire des milliers de signaux \u00e0 un nombre limit\u00e9 d\u2019alertes, mais la d\u00e9cision finale d\u2019enqu\u00eater sur un client, de demander des documents suppl\u00e9mentaires, de retarder ou de bloquer une transaction, ou de mettre fin \u00e0 une relation doit rester soumise \u00e0 un processus de contr\u00f4le dans lequel les faits, le contexte, la proportionnalit\u00e9 et les obligations juridiques applicables sont effectivement examin\u00e9s. La supervision humaine doit donc fonctionner non comme une validation symbolique de l\u2019automatisation, mais comme un m\u00e9canisme r\u00e9el de contr\u00f4le et de protection des droits.<\/p>

Une intervention significative suppose \u00e9galement que les responsabilit\u00e9s et les droits d\u00e9cisionnels soient pr\u00e9cis\u00e9ment d\u00e9finis \u00e0 l\u2019avance. Votre organisation doit \u00e9viter qu\u2019un syst\u00e8me d\u2019IA acqui\u00e8re une telle autorit\u00e9 op\u00e9rationnelle que les collaborateurs ne sachent plus o\u00f9 s\u2019arr\u00eate le r\u00f4le du syst\u00e8me et o\u00f9 commence leur propre responsabilit\u00e9 professionnelle. Ce risque est particuli\u00e8rement important lorsque plusieurs composants techniques sont utilis\u00e9s successivement. Une source de donn\u00e9es peut g\u00e9n\u00e9rer un signal de risque, un mod\u00e8le de machine learning peut lui attribuer un score, un moteur de r\u00e8gles peut ensuite d\u00e9terminer une cat\u00e9gorie, tandis qu\u2019un syst\u00e8me d\u2019IA g\u00e9n\u00e9rative peut r\u00e9diger une proposition de motivation. Si le collaborateur ne voit que le r\u00e9sultat final, il peut devenir impossible de d\u00e9terminer quel composant a g\u00e9n\u00e9r\u00e9 une erreur ou quelles donn\u00e9es ont conduit \u00e0 une conclusion incorrecte. L\u2019intervention humaine doit donc \u00eatre reli\u00e9e \u00e0 des points de d\u00e9cision tra\u00e7ables. \u00c0 chaque \u00e9tape critique, il doit \u00eatre clair quel syst\u00e8me apporte quelle contribution, quels r\u00e9sultats sont consultatifs ou d\u00e9terminants, quel collaborateur est autoris\u00e9 \u00e0 intervenir et comment cette intervention est document\u00e9e. La formation ne doit pas se limiter \u00e0 une sensibilisation g\u00e9n\u00e9rale \u00e0 l\u2019IA. Les collaborateurs utilisant des syst\u00e8mes critiques doivent comprendre quels types d\u2019erreurs peuvent survenir, comment l\u2019incertitude est exprim\u00e9e, quelles donn\u00e9es peuvent \u00eatre obsol\u00e8tes ou incompl\u00e8tes, comment les biais peuvent se manifester et dans quelles circonstances une sortie du mod\u00e8le constitue une base insuffisante pour justifier une action suppl\u00e9mentaire. Les informations de gestion doivent \u00e9galement fournir une visibilit\u00e9 sur l\u2019efficacit\u00e9 r\u00e9elle du contr\u00f4le humain. Les taux de d\u00e9rogation, les motifs des \u00e9carts, le nombre d\u2019escalades, les diff\u00e9rences entre \u00e9quipes, les cat\u00e9gories d\u2019erreurs r\u00e9currentes et la proportion de d\u00e9cisions reprises sans modification substantielle peuvent constituer des indicateurs particuli\u00e8rement utiles. Un taux extr\u00eamement faible de d\u00e9rogation peut indiquer que le mod\u00e8le fonctionne remarquablement bien, mais il peut \u00e9galement r\u00e9v\u00e9ler une insuffisance de l\u2019examen critique. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, un tel suivi est essentiel, car un syst\u00e8me presque toujours suivi peut progressivement devenir le d\u00e9cideur de fait alors m\u00eame que la responsabilit\u00e9 juridique et manag\u00e9riale demeure entre les mains de votre organisation.<\/p>

La possibilit\u00e9 effective de contestation constitue ensuite le pendant externe de la supervision humaine interne. Un processus ne peut \u00eatre consid\u00e9r\u00e9 comme suffisamment responsable lorsqu\u2019une personne peut formellement introduire une r\u00e9clamation ou une objection, mais qu\u2019aucun acteur au sein de l\u2019organisation ne dispose des informations ou de l\u2019autorit\u00e9 n\u00e9cessaires pour r\u00e9examiner la d\u00e9cision sous-jacente. Votre organisation doit donc d\u00e9terminer \u00e0 l\u2019avance comment seront trait\u00e9es les plaintes, les objections, les escalades internes et les demandes de r\u00e9examen lorsque l\u2019IA a jou\u00e9 un r\u00f4le significatif. Cela n\u00e9cessite un m\u00e9canisme permettant d\u2019\u00e9tablir quelles donn\u00e9es ont \u00e9t\u00e9 utilis\u00e9es, quelle version du mod\u00e8le \u00e9tait active, quels facteurs \u00e9taient pertinents, quelle appr\u00e9ciation humaine a \u00e9t\u00e9 r\u00e9alis\u00e9e et si des informations compl\u00e9mentaires justifient une issue diff\u00e9rente. Une contestabilit\u00e9 effective implique \u00e9galement que les corrections puissent r\u00e9troagir sur le syst\u00e8me. Lorsqu\u2019il appara\u00eet de mani\u00e8re r\u00e9p\u00e9t\u00e9e que certaines sources de donn\u00e9es sont peu fiables, que certains sc\u00e9narios sont s\u00e9lectionn\u00e9s \u00e0 tort ou que certains groupes sont affect\u00e9s de mani\u00e8re disproportionn\u00e9e, cela doit pouvoir conduire \u00e0 une modification du mod\u00e8le, \u00e0 une validation suppl\u00e9mentaire ou \u00e0 une limitation temporaire de son utilisation. Un m\u00e9canisme de retour d\u2019exp\u00e9rience se cr\u00e9e ainsi entre la protection individuelle des droits et l\u2019am\u00e9lioration structurelle du mod\u00e8le. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette dynamique peut appara\u00eetre lorsque des clients sont r\u00e9guli\u00e8rement s\u00e9lectionn\u00e9s sur la base d\u2019indicateurs similaires mais insuffisamment fiables. La question pertinente ne consiste alors plus uniquement \u00e0 savoir si un dossier individuel doit \u00eatre corrig\u00e9, mais si le m\u00e9canisme de d\u00e9tection sous-jacent doit lui-m\u00eame \u00eatre revu. Les r\u00e9clamations, d\u00e9rogations, escalades et contestations accueillies favorablement ne doivent donc pas \u00eatre trait\u00e9es uniquement comme des incidents administratifs, mais comme des informations de gouvernance. Lorsque ces signaux sont analys\u00e9s conjointement avec les incidents, la performance du mod\u00e8le, les constats d\u2019audit et les r\u00e9sultats op\u00e9rationnels, votre organisation obtient une vision nettement plus compl\u00e8te du fonctionnement r\u00e9el du syst\u00e8me d\u2019IA. La supervision humaine et la contestabilit\u00e9 deviennent ainsi deux m\u00e9canismes qui se renforcent mutuellement : en interne, elles emp\u00eachent l\u2019automatisation de devenir incontr\u00f4l\u00e9e et d\u00e9terminante ; \u00e0 l\u2019ext\u00e9rieur, elles garantissent aux personnes concern\u00e9es une v\u00e9ritable possibilit\u00e9 de faire examiner et corriger les erreurs, les donn\u00e9es incompl\u00e8tes et les cons\u00e9quences disproportionn\u00e9es.<\/p>

Analyses d\u2019impact de l\u2019IA, documentation et gouvernance du cycle de vie complet<\/h4>

Une analyse d\u2019impact de l\u2019IA doit fonctionner au sein de votre organisation comme un v\u00e9ritable instrument de d\u00e9cision et non comme un document \u00e9tabli uniquement pour satisfaire une exigence formelle. Sa fonction centrale consiste \u00e0 identifier, avant le d\u00e9ploiement, les cons\u00e9quences juridiques, techniques, organisationnelles, op\u00e9rationnelles et soci\u00e9tales d\u2019une application d\u2019IA afin de d\u00e9terminer clairement dans quelles conditions son utilisation peut \u00eatre consid\u00e9r\u00e9e comme responsable. Une \u00e9valuation efficace ne commence donc pas par un questionnaire g\u00e9n\u00e9rique, mais par une description pr\u00e9cise de la finalit\u00e9 poursuivie. Quel probl\u00e8me le syst\u00e8me doit-il r\u00e9soudre ? Quelle d\u00e9cision soutient-il ou influence-t-il ? Quelles personnes physiques peuvent \u00eatre concern\u00e9es ? Quelles donn\u00e9es sont trait\u00e9es ? Quelles alternatives existent ? Quels types d\u2019erreurs sont pr\u00e9visibles ? Quelle pourrait \u00eatre la gravit\u00e9 de leurs cons\u00e9quences ? Quels collaborateurs utilisent le syst\u00e8me et dans quel environnement op\u00e9rationnel ? Il convient ensuite d\u2019identifier les r\u00e9gimes juridiques applicables et la mani\u00e8re dont ils interagissent. Une m\u00eame application d\u2019IA peut simultan\u00e9ment relever de l\u2019AI Act, du RGPD, du droit du travail, du droit de la consommation, de la r\u00e9glementation financi\u00e8re, du droit de la non-discrimination, des obligations de cybers\u00e9curit\u00e9, d\u2019obligations sectorielles de diligence et de dispositions contractuelles. Ces diff\u00e9rents r\u00e9gimes ne doivent pas \u00eatre trait\u00e9s comme des silos de conformit\u00e9 ind\u00e9pendants. Une analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es peut mettre en \u00e9vidence des risques pertinents en mati\u00e8re de vie priv\u00e9e, mais elle ne r\u00e9pond pas n\u00e9cessairement de mani\u00e8re suffisante aux questions li\u00e9es \u00e0 la discrimination, \u00e0 la performance des mod\u00e8les, \u00e0 l\u2019intervention humaine significative ou aux d\u00e9pendances contractuelles. Une analyse d\u2019impact sur les droits fondamentaux peut couvrir des enjeux essentiels de protection des droits, mais ne remplace pas une validation technique. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, une analyse compl\u00e9mentaire peut \u00eatre n\u00e9cessaire afin de d\u00e9terminer si un mod\u00e8le contribue effectivement \u00e0 une d\u00e9tection plus efficace sans g\u00e9n\u00e9rer un volume disproportionn\u00e9 de fausses alertes, de classifications injustifi\u00e9es de clients ou d\u2019\u00e9carts syst\u00e9matiques entre certains groupes. L\u2019analyse d\u2019impact doit donc \u00eatre multidisciplinaire et aboutir \u00e0 une d\u00e9cision claire : approbation, approbation sous conditions, demande d\u2019analyses compl\u00e9mentaires, restriction de l\u2019utilisation ou report du d\u00e9ploiement.<\/p>

La documentation fournit ensuite les \u00e9l\u00e9ments de preuve permettant \u00e0 votre organisation de d\u00e9montrer que cette analyse a \u00e9t\u00e9 r\u00e9elle et substantielle et non simplement th\u00e9orique. Dans la gouvernance de l\u2019IA, la documentation d\u00e9passe largement la fonction de soutien administratif ; elle constitue la m\u00e9moire institutionnelle du syst\u00e8me et de l\u2019organisation qui l\u2019entoure. En l\u2019absence d\u2019une documentation fiable, il devient progressivement difficile de reconstruire pourquoi une application a \u00e9t\u00e9 approuv\u00e9e, quels risques \u00e9taient connus, quels r\u00e9sultats de tests \u00e9taient disponibles et quelles conditions avaient \u00e9t\u00e9 impos\u00e9es \u00e0 son utilisation. Chaque syst\u00e8me d\u2019IA pertinent doit donc disposer d\u2019un dossier coh\u00e9rent r\u00e9unissant notamment sa description fonctionnelle, sa qualification juridique, la r\u00e9partition des r\u00f4les, les flux de donn\u00e9es pertinents, la documentation du mod\u00e8le, les r\u00e9sultats de validation, les limitations connues, les analyses d\u2019impact, les d\u00e9cisions d\u2019approbation, l\u2019historique des modifications, les informations relatives aux fournisseurs, les incidents, les constats d\u2019audit et les r\u00e9sultats de monitoring. La qualit\u00e9 de ce dossier devient directement d\u00e9terminante lorsqu\u2019une autorit\u00e9 de contr\u00f4le pose des questions, qu\u2019un incident doit \u00eatre investigu\u00e9, qu\u2019un client conteste une d\u00e9cision ou qu\u2019un contentieux survient. Les informations reconstitu\u00e9es apr\u00e8s les faits seront g\u00e9n\u00e9ralement moins convaincantes que des documents contemporains \u00e9tablissant que les risques ont effectivement \u00e9t\u00e9 identifi\u00e9s, discut\u00e9s et ma\u00eetris\u00e9s au moment pertinent. La documentation doit \u00e9galement r\u00e9pondre aux diff\u00e9rents besoins d\u2019information au sein de votre organisation. Le conseil d\u2019administration doit disposer d\u2019une vision consolid\u00e9e des risques et des \u00e9carts significatifs, tandis que les responsables de validation ont besoin d\u2019acc\u00e9der \u00e0 des preuves techniques et que les auditeurs doivent disposer d\u2019\u00e9l\u00e9ments \u00e9tablissant le fonctionnement r\u00e9el des contr\u00f4les. Les collaborateurs op\u00e9rationnels doivent recevoir des instructions claires concernant les usages autoris\u00e9s, les escalades et les exigences de revue humaine. Les fonctions juridique et compliance doivent pouvoir d\u00e9terminer les conditions r\u00e9glementaires attach\u00e9es au syst\u00e8me. Une gouvernance documentaire rigoureuse \u00e9vite ainsi que les informations soient dispers\u00e9es entre des feuilles de calcul, des courriels, des portails fournisseurs et des dossiers de projet d\u00e9pourvus de contr\u00f4le efficace des versions.<\/p>

La gouvernance du cycle de vie implique enfin que la m\u00eame discipline soit maintenue pendant toute la dur\u00e9e d\u2019utilisation du syst\u00e8me. Les risques li\u00e9s \u00e0 l\u2019IA ne sont pas statiques. Les sources de donn\u00e9es \u00e9voluent, les utilisateurs d\u00e9veloppent de nouvelles pratiques, les fournisseurs introduisent des mises \u00e0 jour, les mod\u00e8les sont r\u00e9entra\u00een\u00e9s, la r\u00e9glementation se transforme et de nouvelles vuln\u00e9rabilit\u00e9s peuvent appara\u00eetre. Votre organisation doit donc d\u00e9finir des \u00e9v\u00e9nements d\u00e9clencheurs imposant une r\u00e9\u00e9valuation. Une modification substantielle du mod\u00e8le, une extension \u00e0 un nouveau groupe d\u2019utilisateurs, l\u2019ajout de nouvelles cat\u00e9gories de donn\u00e9es personnelles, une modification de la finalit\u00e9 d\u00e9cisionnelle, une d\u00e9gradation significative des performances, un incident grave, une nouvelle l\u00e9gislation ou un changement important de fournisseur peuvent chacun justifier une nouvelle validation et une r\u00e9\u00e9valuation juridique. Des revues p\u00e9riodiques doivent en outre avoir lieu m\u00eame lorsqu\u2019aucun incident visible n\u2019est survenu. Le monitoring doit permettre de suivre la performance du mod\u00e8le, la d\u00e9rive des donn\u00e9es, les taux d\u2019erreur, les sch\u00e9mas d\u2019utilisation, les d\u00e9rogations, les r\u00e9clamations, les incidents, les risques de discrimination et les d\u00e9pendances externes. Cette exigence est particuli\u00e8rement importante dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, car les syst\u00e8mes de d\u00e9tection sont constamment confront\u00e9s \u00e0 l\u2019\u00e9volution des typologies de fraude, des r\u00e9gimes de sanctions, des m\u00e9thodes de blanchiment et du comportement des clients. Un mod\u00e8le efficace douze mois auparavant peut devenir moins performant ou d\u00e9velopper des comportements ind\u00e9sirables lorsque les circonstances changent. La gouvernance du cycle de vie ne s\u2019ach\u00e8ve pas non plus avec le retrait du syst\u00e8me. Votre organisation doit d\u00e9terminer comment les mod\u00e8les seront d\u00e9sactiv\u00e9s, quelles donn\u00e9es seront conserv\u00e9es, comment les d\u00e9cisions historiques pourront continuer \u00e0 \u00eatre reproduites, quelle documentation devra \u00eatre pr\u00e9serv\u00e9e et comment les d\u00e9pendances vis-\u00e0-vis des fournisseurs seront r\u00e9sili\u00e9es. La gouvernance du cycle de vie devient ainsi un processus permanent de contr\u00f4le dans lequel le d\u00e9veloppement, le d\u00e9ploiement, la modification et le retrait peuvent chacun \u00eatre justifi\u00e9s sur les plans juridique et op\u00e9rationnel.<\/p>

Assurance relative aux syst\u00e8mes d\u2019IA de tiers, responsabilit\u00e9 contractuelle et contr\u00f4le des fournisseurs<\/h4>

La d\u00e9pendance \u00e0 l\u2019\u00e9gard de fournisseurs externes d\u2019IA constitue l\u2019un des enjeux de gouvernance les plus sous-estim\u00e9s pour les organisations qui d\u00e9ploient l\u2019intelligence artificielle \u00e0 grande \u00e9chelle. Votre organisation peut acheter ou souscrire une technologie, mais les responsabilit\u00e9s juridiques, manag\u00e9riales et op\u00e9rationnelles ne sont pas automatiquement transf\u00e9r\u00e9es avec cette acquisition. Lorsqu\u2019un fournisseur externe d\u00e9veloppe, h\u00e9berge, maintient ou modifie p\u00e9riodiquement un mod\u00e8le, une relation de d\u00e9pendance appara\u00eet dans laquelle certaines informations essentielles peuvent rester hors du contr\u00f4le direct de votre organisation. Ces informations peuvent concerner les donn\u00e9es d\u2019entra\u00eenement, les m\u00e9thodes de validation, les sous-traitants, les versions du mod\u00e8le, les mesures de s\u00e9curit\u00e9, les incidents, les limitations techniques, les tests d\u2019\u00e9quit\u00e9 ou les performances dans certaines circonstances sp\u00e9cifiques. La relation contractuelle doit donc aller bien au-del\u00e0 des questions de disponibilit\u00e9, de prix et de niveaux de service g\u00e9n\u00e9raux. Pour les syst\u00e8mes d\u2019IA critiques, votre organisation doit d\u00e9terminer quelles informations sont n\u00e9cessaires pour respecter ses propres obligations l\u00e9gales et quels droits sont indispensables pour pouvoir r\u00e9ellement obtenir ces informations. Les dispositions pertinentes peuvent inclure des droits d\u2019audit, l\u2019acc\u00e8s \u00e0 la documentation, la notification rapide des modifications substantielles du mod\u00e8le, l\u2019assistance lors des analyses d\u2019impact, la notification des incidents, la portabilit\u00e9 des donn\u00e9es, l\u2019assistance \u00e0 la sortie ainsi que des obligations relatives \u00e0 la journalisation et \u00e0 la conservation des preuves. Il doit \u00e9galement \u00eatre clair quels sous-traitants ou fournisseurs de mod\u00e8les en amont participent \u00e0 la cha\u00eene technologique. Un fournisseur peut lui-m\u00eame d\u00e9pendre de foundation models, de prestataires cloud, de jeux de donn\u00e9es ou d\u2019API fournis par d\u2019autres parties. Une relation contractuelle apparemment simple peut ainsi masquer une cha\u00eene technique \u00e9tendue dans laquelle les responsabilit\u00e9s et l\u2019information sont r\u00e9parties de mani\u00e8re asym\u00e9trique.<\/p>

L\u2019assurance relative aux syst\u00e8mes d\u2019IA de tiers doit d\u00e8s lors \u00eatre organis\u00e9e comme un processus de v\u00e9rification fond\u00e9 sur les risques. Une d\u00e9claration standard selon laquelle un fournisseur respecte les lois et r\u00e9glementations applicables est insuffisante pour les applications critiques. Votre organisation doit pouvoir appr\u00e9cier sur quoi repose cette d\u00e9claration, quelle assurance a effectivement \u00e9t\u00e9 r\u00e9alis\u00e9e, quel \u00e9tait son p\u00e9rim\u00e8tre et quelles limitations substantielles ont \u00e9t\u00e9 identifi\u00e9es. Les certifications et rapports externes peuvent avoir une grande valeur, mais ils doivent toujours \u00eatre appr\u00e9ci\u00e9s \u00e0 la lumi\u00e8re du cas d\u2019usage concret au sein de votre organisation. Une attestation g\u00e9n\u00e9rique relative \u00e0 la s\u00e9curit\u00e9 de l\u2019information fournit, par exemple, peu d\u2019\u00e9l\u00e9ments sur les biais, l\u2019explicabilit\u00e9 ou l\u2019ad\u00e9quation d\u2019un mod\u00e8le \u00e0 une population sp\u00e9cifique de clients n\u00e9erlandais. Inversement, un rapport de validation technique peut apporter un \u00e9clairage insuffisant sur la gouvernance, la protection des donn\u00e9es ou la gestion des incidents. Une \u00e9valuation des fournisseurs \u00e0 plusieurs niveaux est donc n\u00e9cessaire, combinant consid\u00e9rations juridiques, techniques, op\u00e9rationnelles, de cybers\u00e9curit\u00e9 et de continuit\u00e9. Pour les applications relevant de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cette \u00e9valuation doit en outre d\u00e9terminer si la solution externe est suffisamment adapt\u00e9e aux cat\u00e9gories de clients, produits, juridictions, transactions et risques de criminalit\u00e9 financi\u00e8re propres \u00e0 votre organisation. Un mod\u00e8le performant dans un autre secteur ou une autre juridiction n\u2019est pas automatiquement adapt\u00e9 \u00e0 votre propre population de risques. Dans la mesure du possible, les fournisseurs doivent pouvoir d\u00e9montrer comment leur solution a \u00e9t\u00e9 valid\u00e9e, quelles marges d\u2019erreur ont \u00e9t\u00e9 constat\u00e9es et comment les modifications sont ma\u00eetris\u00e9es. Lorsqu\u2019une transparence technique compl\u00e8te n\u2019est pas possible pour des raisons de propri\u00e9t\u00e9 intellectuelle, des formes alternatives d\u2019assurance doivent \u00eatre envisag\u00e9es, notamment un acc\u00e8s contr\u00f4l\u00e9 aux audits, des attestations ind\u00e9pendantes ou des tests suppl\u00e9mentaires r\u00e9alis\u00e9s par votre organisation.<\/p>

La responsabilit\u00e9 contractuelle prend une importance particuli\u00e8re lorsqu\u2019une d\u00e9faillance, un incident ou une enqu\u00eate survient effectivement. Votre organisation doit d\u00e9finir \u00e0 l\u2019avance qui sera responsable de la rem\u00e9diation, de l\u2019investigation, de la communication d\u2019informations, des co\u00fbts et des communications lorsque le syst\u00e8me d\u2019IA adopte un comportement inattendu, provoque un traitement illicite, produit de mani\u00e8re structurelle des r\u00e9sultats incorrects ou fait l\u2019objet d\u2019un contr\u00f4le r\u00e9glementaire. En l\u2019absence de dispositions contractuelles claires, un temps pr\u00e9cieux peut \u00eatre perdu pendant un incident \u00e0 discuter de l\u2019acc\u00e8s aux logs, aux donn\u00e9es techniques ou aux collaborateurs pertinents du fournisseur. Les syst\u00e8mes critiques doivent donc \u00eatre encadr\u00e9s non seulement par des clauses g\u00e9n\u00e9rales de responsabilit\u00e9, mais \u00e9galement par des protocoles d\u2019incident op\u00e9rationnellement ex\u00e9cutables. Les d\u00e9lais de r\u00e9ponse, les contacts d\u2019escalade, les obligations d\u2019enqu\u00eate, la pr\u00e9servation des donn\u00e9es, l\u2019assistance aux autorit\u00e9s de contr\u00f4le, la rem\u00e9diation et l\u2019\u00e9change d\u2019informations doivent \u00eatre clairement organis\u00e9s. La gestion de sortie m\u00e9rite \u00e9galement une attention particuli\u00e8re. Le vendor lock-in peut devenir probl\u00e9matique lorsque votre organisation souhaite abandonner un syst\u00e8me mais ne peut facilement migrer les donn\u00e9es historiques, les configurations du mod\u00e8le ou les enregistrements de d\u00e9cisions. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cela peut avoir des cons\u00e9quences importantes lorsque des alertes historiques, des scores de risque ou des dossiers d\u2019enqu\u00eate restent n\u00e9cessaires pour des investigations en cours, des demandes de superviseurs ou des obligations probatoires. La gestion des fournisseurs ne constitue donc pas une simple question d\u2019achats situ\u00e9e \u00e0 la p\u00e9riph\u00e9rie de la gouvernance de l\u2019IA, mais un \u00e9l\u00e9ment central du contr\u00f4le institutionnel. La question d\u00e9terminante demeure de savoir si votre organisation conserve suffisamment de contr\u00f4le factuel, d\u2019acc\u00e8s \u00e0 l\u2019information et de droits contractuels pour pouvoir assumer ses responsabilit\u00e9s juridiques, m\u00eame lorsque la technologie sous-jacente est fournie par un tiers.<\/p>

Responsabilit\u00e9 li\u00e9e \u00e0 l\u2019IA, enqu\u00eates r\u00e9glementaires et d\u00e9fense juridique des d\u00e9cisions algorithmiques<\/h4>

La responsabilit\u00e9 li\u00e9e \u00e0 l\u2019IA se pr\u00e9sente rarement comme une question juridique isol\u00e9e. Lorsqu\u2019un syst\u00e8me algorithmique cause un dommage, traite une personne de mani\u00e8re in\u00e9gale, traite ill\u00e9galement des donn\u00e9es \u00e0 caract\u00e8re personnel, g\u00e9n\u00e8re une classification de risque incorrecte ou conduit \u00e0 une d\u00e9cision insuffisamment explicable, plusieurs r\u00e9gimes juridiques peuvent devenir simultan\u00e9ment pertinents. Pour votre organisation, cela signifie qu\u2019un incident ne doit pas \u00eatre examin\u00e9 uniquement sous l\u2019angle d\u2019une seule branche du droit. La responsabilit\u00e9 contractuelle, la responsabilit\u00e9 d\u00e9lictuelle, la responsabilit\u00e9 du fait des produits, le droit de la protection des donn\u00e9es, le droit du travail, la protection des consommateurs, la r\u00e9glementation financi\u00e8re, les normes de droit administratif et les obligations sectorielles peuvent se superposer. L\u2019analyse juridique doit donc commencer par une reconstruction factuelle pr\u00e9cise : quel syst\u00e8me \u00e9tait actif, quelle version \u00e9tait utilis\u00e9e, quelles donn\u00e9es ont \u00e9t\u00e9 trait\u00e9es, quelle sortie a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9e, quelle intervention humaine a eu lieu, quelles limitations connues existaient et quelles d\u00e9cisions de gouvernance avaient \u00e9t\u00e9 prises auparavant ? En l\u2019absence d\u2019une journalisation et d\u2019une documentation fiables, la d\u00e9fense en mati\u00e8re de responsabilit\u00e9 peut devenir consid\u00e9rablement plus difficile. Une organisation incapable de d\u00e9montrer pourquoi un mod\u00e8le a \u00e9t\u00e9 d\u00e9ploy\u00e9, comment il a \u00e9t\u00e9 test\u00e9 ou quels avertissements \u00e9taient connus risque de voir une incertitude technique se transformer en vuln\u00e9rabilit\u00e9 juridique. Les syst\u00e8mes d\u2019IA font en outre fr\u00e9quemment partie d\u2019une cha\u00eene d\u00e9cisionnelle plus large. Une erreur peut r\u00e9sulter de donn\u00e9es sources inad\u00e9quates, d\u2019une configuration incorrecte, d\u2019une formation insuffisante des collaborateurs, d\u2019une mise \u00e0 jour fournisseur, d\u2019un usage inappropri\u00e9 ou d\u2019une combinaison de plusieurs facteurs. Une d\u00e9fense juridique efficace exige donc une analyse rigoureuse de la causalit\u00e9 plut\u00f4t que l\u2019attribution automatique de tout r\u00e9sultat d\u00e9favorable au seul mod\u00e8le.<\/p>

Dans le cadre des enqu\u00eates r\u00e9glementaires, l\u2019accent se d\u00e9place de plus en plus vers la capacit\u00e9 de d\u00e9monstration. Une autorit\u00e9 de contr\u00f4le peut demander non seulement si des politiques existent, mais \u00e9galement comment ces politiques ont \u00e9t\u00e9 appliqu\u00e9es dans la pratique \u00e0 un syst\u00e8me ou \u00e0 un incident particulier. Votre organisation doit donc \u00eatre pr\u00e9par\u00e9e \u00e0 produire des registres d\u2019IA, classifications, analyses d\u2019impact, r\u00e9sultats de tests, documentations de mod\u00e8les, rapports d\u2019incidents, d\u00e9cisions de gouvernance, contrats fournisseurs, logs et supports de formation. La qualit\u00e9 et la coh\u00e9rence de ces informations sont d\u00e9terminantes. Des contradictions entre la documentation interne, les communications adress\u00e9es aux clients et le comportement r\u00e9el du syst\u00e8me peuvent affaiblir la position de votre organisation. Il convient donc de d\u00e9finir \u00e0 l\u2019avance comment sera organis\u00e9e la r\u00e9ponse r\u00e9glementaire concernant les syst\u00e8mes d\u2019IA. Le secret professionnel, la pr\u00e9servation des documents, les enqu\u00eates internes, les communications avec les autorit\u00e9s de contr\u00f4le et la gouvernance des constatations factuelles doivent fonctionner de mani\u00e8re coh\u00e9rente. Les incidents graves peuvent n\u00e9cessiter la constitution d\u2019une \u00e9quipe de r\u00e9ponse multidisciplinaire r\u00e9unissant les fonctions juridique, compliance, data science, cybers\u00e9curit\u00e9, protection des donn\u00e9es, audit interne et la fonction op\u00e9rationnelle responsable. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, des interactions peuvent \u00e9galement appara\u00eetre avec des enqu\u00eates relatives au blanchiment, aux sanctions, \u00e0 la fraude ou aux abus de march\u00e9. Une d\u00e9faillance dans un mod\u00e8le d\u2019IA utilis\u00e9 pour la surveillance transactionnelle peut, par exemple, ne pas constituer uniquement un probl\u00e8me technologique, mais susciter \u00e9galement des interrogations quant \u00e0 l\u2019efficacit\u00e9 du dispositif plus large de Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. La strat\u00e9gie juridique doit alors \u00eatre en mesure d\u2019expliquer \u00e0 la fois le probl\u00e8me sp\u00e9cifique du mod\u00e8le et le fonctionnement de l\u2019ensemble du dispositif de contr\u00f4le.<\/p>

La d\u00e9fense juridique des d\u00e9cisions algorithmiques exige en d\u00e9finitive que votre organisation puisse d\u00e9montrer non seulement ce que le syst\u00e8me a techniquement fait, mais \u00e9galement pourquoi son utilisation \u00e9tait juridiquement et manag\u00e9rialement d\u00e9fendable. Les informations disponibles au moment o\u00f9 la d\u00e9cision concern\u00e9e a \u00e9t\u00e9 prise sont particuli\u00e8rement importantes. Un syst\u00e8me ne doit pas n\u00e9cessairement se r\u00e9v\u00e9ler parfait a posteriori pour demeurer d\u00e9fendable, mais votre organisation doit pouvoir d\u00e9montrer que les risques pertinents ont \u00e9t\u00e9 examin\u00e9s avec soin, que des contr\u00f4les appropri\u00e9s ont \u00e9t\u00e9 mis en place et que les signaux r\u00e9v\u00e9lant d\u2019\u00e9ventuelles insuffisances ont \u00e9t\u00e9 trait\u00e9s en temps utile. Les preuves contemporaines rev\u00eatent donc une importance particuli\u00e8re. Les proc\u00e8s-verbaux des comit\u00e9s d\u2019approbation, les rapports de validation des mod\u00e8les, les acceptations de risques, les d\u00e9cisions de d\u00e9rogation, les rapports de monitoring et les mesures de rem\u00e9diation document\u00e9es peuvent d\u00e9montrer l\u2019existence d\u2019une gouvernance r\u00e9fl\u00e9chie et effective. Inversement, un dispositif de contr\u00f4le sophistiqu\u00e9 mais n\u2019existant que sur le papier offre une protection limit\u00e9e lorsqu\u2019il n\u2019a pas r\u00e9ellement \u00e9t\u00e9 appliqu\u00e9. La d\u00e9fense juridique doit donc \u00eatre pr\u00e9par\u00e9e d\u00e8s la conception et pendant l\u2019exploitation en int\u00e9grant la capacit\u00e9 probatoire dans les processus. Pour les d\u00e9cisions algorithmiques individuelles, cela signifie que les inputs pertinents, les outputs, les appr\u00e9ciations humaines et les exceptions doivent rester reproductibles. Au niveau du syst\u00e8me, votre organisation doit pouvoir expliquer pourquoi certains choix de conception, seuils, jeux de donn\u00e9es et contr\u00f4les ont \u00e9t\u00e9 retenus. La pr\u00e9paration au contentieux devient ainsi une composante structurelle de l\u2019IA responsable, non parce que chaque syst\u00e8me d\u2019IA donnera lieu \u00e0 une proc\u00e9dure, mais parce que la possibilit\u00e9 d\u2019un contr\u00f4le r\u00e9glementaire, d\u2019une contestation, d\u2019une action en responsabilit\u00e9 ou d\u2019une enqu\u00eate exige que les d\u00e9cisions critiques puissent ult\u00e9rieurement \u00eatre reconstruites et d\u00e9fendues de mani\u00e8re rigoureuse.<\/p>

Gouvernance responsable de l\u2019IA, responsabilit\u00e9 du conseil d\u2019administration et confiance institutionnelle<\/h4>

La gouvernance responsable de l\u2019IA n\u2019acquiert une port\u00e9e concr\u00e8te que lorsque la responsabilit\u00e9 du conseil d\u2019administration est traduite en d\u00e9cisions visibles, en supervision effective et en m\u00e9canismes d\u2019escalade. Le conseil d\u2019administration et la direction g\u00e9n\u00e9rale n\u2019ont pas besoin de ma\u00eetriser chaque d\u00e9tail technique de chaque mod\u00e8le d\u2019IA, mais ils doivent disposer d\u2019une compr\u00e9hension suffisante des risques significatifs, des d\u00e9pendances et des cons\u00e9quences associ\u00e9s \u00e0 l\u2019IA au sein de l\u2019organisation. Cela exige une r\u00e9partition claire des responsabilit\u00e9s de gouvernance afin que celles-ci ne disparaissent pas entre les fonctions technologie, juridique, compliance, gestion des risques, protection des donn\u00e9es, achats et m\u00e9tiers. Chaque application critique doit avoir un responsable identifiable charg\u00e9 de sa finalit\u00e9, de sa performance op\u00e9rationnelle et du respect des conditions applicables. Les fonctions ind\u00e9pendantes doivent disposer d\u2019une autorit\u00e9 suffisante pour exercer une remise en question effective. La gouvernance interne doit d\u00e9terminer qui peut approuver de nouvelles applications d\u2019IA, qui peut autoriser des d\u00e9rogations, quelles modifications n\u00e9cessitent un nouvel examen et dans quelles circonstances un syst\u00e8me doit \u00eatre temporairement ou d\u00e9finitivement retir\u00e9 de l\u2019utilisation. Le reporting au conseil d\u2019administration doit \u00eatre centr\u00e9 sur les risques significatifs et les points n\u00e9cessitant une d\u00e9cision. Le nombre de syst\u00e8mes d\u2019IA en service, \u00e0 lui seul, pr\u00e9sente une valeur limit\u00e9e. Des indicateurs plus pertinents peuvent concerner les applications \u00e0 haut risque, les d\u00e9pendances critiques \u00e0 l\u2019\u00e9gard des fournisseurs, les incidents graves, les constats d\u2019audit non r\u00e9solus, la d\u00e9gradation de la performance de certains mod\u00e8les, les d\u00e9rogations aux politiques internes et les applications pr\u00e9sentant des risques accrus pour les droits fondamentaux. Une telle information de gouvernance permet \u00e0 la direction g\u00e9n\u00e9rale non seulement d\u2019\u00eatre inform\u00e9e, mais aussi de diriger, de challenger et d\u2019intervenir.<\/p>

La gouvernance de l\u2019IA \u00e0 l\u2019\u00e9chelle de l\u2019entreprise doit \u00e9galement \u00eatre int\u00e9gr\u00e9e aux fonctions de contr\u00f4le existantes sans provoquer de fragmentation inutile. Votre organisation dispose souvent d\u00e9j\u00e0 de processus relatifs \u00e0 l\u2019enterprise risk management, \u00e0 la s\u00e9curit\u00e9 de l\u2019information, \u00e0 la protection des donn\u00e9es, \u00e0 la gestion des risques li\u00e9s aux mod\u00e8les, aux achats, \u00e0 l\u2019audit interne, \u00e0 la compliance et \u00e0 la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. La cr\u00e9ation d\u2019un dispositif de gouvernance de l\u2019IA totalement s\u00e9par\u00e9 peut conduire \u00e0 des \u00e9valuations redondantes, \u00e0 des d\u00e9finitions incoh\u00e9rentes et \u00e0 une incertitude quant \u00e0 l\u2019attribution des responsabilit\u00e9s. Une approche plus efficace consiste \u00e0 int\u00e9grer les exigences propres \u00e0 l\u2019IA dans les processus d\u00e9cisionnels et de contr\u00f4le existants lorsque cela est substantiellement appropri\u00e9, tout en conservant une expertise sp\u00e9cialis\u00e9e pour les questions n\u00e9cessitant un traitement distinct. Les achats peuvent, par exemple, appliquer des exigences contractuelles sp\u00e9cifiques \u00e0 l\u2019IA, les fonctions privacy peuvent \u00e9valuer les questions de protection des donn\u00e9es, la gestion des risques li\u00e9s aux mod\u00e8les peut conduire la validation technique et la fonction compliance peut suivre les exigences r\u00e9glementaires applicables. Une fonction centrale de gouvernance de l\u2019IA ou un comit\u00e9 sp\u00e9cialis\u00e9 peut ensuite assurer la coh\u00e9rence, l\u2019escalade et l\u2019application uniforme des standards. Cette int\u00e9gration est particuli\u00e8rement importante dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, car une m\u00eame application d\u2019IA peut simultan\u00e9ment influencer l\u2019acceptation des clients, le filtrage des sanctions, la surveillance transactionnelle, les enqu\u00eates de fraude, la protection des donn\u00e9es et le risque r\u00e9putationnel. Sans gouvernance int\u00e9gr\u00e9e, chaque fonction peut \u00e9valuer uniquement sa propre composante tandis que les risques au niveau du syst\u00e8me disparaissent entre les fronti\u00e8res organisationnelles. Un dispositif \u00e0 l\u2019\u00e9chelle de l\u2019entreprise doit donc \u00e9tablir des concepts communs, des classifications coh\u00e9rentes, des tol\u00e9rances au risque, des standards documentaires et des r\u00e8gles d\u2019escalade partag\u00e9es.<\/p>

La confiance institutionnelle ne r\u00e9sulte finalement pas d\u2019une d\u00e9claration selon laquelle une organisation disposerait d\u2019une IA digne de confiance, mais de sa capacit\u00e9 \u00e0 d\u00e9montrer que l\u2019incertitude, les erreurs et les int\u00e9r\u00eats concurrents sont g\u00e9r\u00e9s de mani\u00e8re professionnelle. Aucun syst\u00e8me d\u2019IA complexe ne fonctionnera sans erreur dans toutes les circonstances possibles. La distinction entre une gouvernance cr\u00e9dible et une gouvernance vuln\u00e9rable r\u00e9side donc principalement dans la mani\u00e8re dont les insuffisances sont d\u00e9tect\u00e9es, signal\u00e9es, examin\u00e9es et corrig\u00e9es. Votre organisation doit favoriser une culture dans laquelle les collaborateurs peuvent escalader les probl\u00e8mes concernant les syst\u00e8mes d\u2019IA sans subir de pression visant \u00e0 dissimuler les informations n\u00e9gatives, dans laquelle les limitations des mod\u00e8les peuvent \u00eatre discut\u00e9es ouvertement et dans laquelle les int\u00e9r\u00eats commerciaux ou op\u00e9rationnels ne pr\u00e9valent pas automatiquement sur la protection des droits et la conformit\u00e9. Une communication interne transparente concernant les limitations est aussi importante que la communication relative aux performances. La confiance institutionnelle est renforc\u00e9e lorsque les clients, les collaborateurs, les autorit\u00e9s de contr\u00f4le et les autres parties prenantes peuvent constater que les d\u00e9cisions ne sont pas dict\u00e9es uniquement par la technologie, que la responsabilit\u00e9 humaine demeure identifiable et que des m\u00e9canismes effectifs de correction existent. Dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, cela signifie que l\u2019innovation technologique doit contribuer \u00e0 une \u00e9valuation des risques plus pr\u00e9cise, mieux \u00e9tay\u00e9e et proportionn\u00e9e, plut\u00f4t qu\u2019\u00e0 une s\u00e9lection massive et opaque. Pour les conseils d\u2019administration, cela signifie que les investissements en IA doivent \u00eatre appr\u00e9ci\u00e9s non seulement au regard de l\u2019efficacit\u00e9, des \u00e9conomies ou de la rapidit\u00e9, mais \u00e9galement en fonction de la fiabilit\u00e9, de la contr\u00f4labilit\u00e9, de la d\u00e9fendabilit\u00e9 juridique et de la r\u00e9silience institutionnelle. L\u2019IA responsable \u00e9volue ainsi vers une discipline de gouvernance \u00e0 l\u2019\u00e9chelle de l\u2019entreprise dans laquelle la technologie, le droit, le risque, la preuve et la responsabilit\u00e9 humaine se renforcent continuellement.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

L\u2019utilisation responsable de l\u2019intelligence artificielle exige de votre organisation bien davantage que l\u2019adoption d\u2019une politique relative \u00e0 l\u2019IA, la publication de principes \u00e9thiques ou la r\u00e9alisation ponctuelle d\u2019une analyse juridique avant le d\u00e9ploiement d\u2019un syst\u00e8me. Les syst\u00e8mes d\u2019IA sont de plus en plus int\u00e9gr\u00e9s dans des processus essentiels au sein desquels les d\u00e9cisions sont pr\u00e9par\u00e9es, les informations classifi\u00e9es, les risques anticip\u00e9s, les transactions \u00e9valu\u00e9es, les clients s\u00e9lectionn\u00e9s, les collaborateurs appr\u00e9ci\u00e9s, les indicateurs de fraude g\u00e9n\u00e9r\u00e9s, les flux financiers analys\u00e9s, les donn\u00e9es \u00e0 caract\u00e8re personnel combin\u00e9es et les priorit\u00e9s op\u00e9rationnelles d\u00e9termin\u00e9es. Une m\u00eame technologie peut ainsi simultan\u00e9ment produire des cons\u00e9quences en<\/p>\n","protected":false},"author":1,"featured_media":36551,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[479],"tags":[],"class_list":["post-36557","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ia-resilience-numerique"],"acf":[],"_links":{"self":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/36557","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/comments?post=36557"}],"version-history":[{"count":4,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/36557\/revisions"}],"predecessor-version":[{"id":36561,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/36557\/revisions\/36561"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media\/36551"}],"wp:attachment":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media?parent=36557"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/categories?post=36557"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/tags?post=36557"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}