Toute organisation qui travaille avec l'IA traite des données qui, auparavant, n'étaient conservées qu'en interne, voire pas du tout. Des prompts, des téléchargements, des résultats intermédiaires, des fichiers journaux de modèles que vous n'hébergez pas vous-même. La question n'est pas de savoir si cela comporte des risques, mais si votre organisation sait où se situent ces risques et qui peut y remédier. C'est une question différente de celle de savoir si vous disposez d'une politique de confidentialité. La politique sur papier et la maturité dans la pratique divergent souvent fortement en matière d'IA, car la technologie évolue plus vite que les procédures censées l'encadrer.
La confidentialité et la sécurité constituent, dans la mesure de maturité, l'une des sept dimensions, aux côtés notamment de l'organisation, de l'infrastructure informatique et de la gestion des données. Ces trois dernières sont fondamentales : elles déterminent s'il existe une base sur laquelle le reste peut s'appuyer. La confidentialité et la sécurité en dépendent en partie. Une organisation dont la gestion des données est faible ne sait souvent même pas quelles données aboutissent dans une application d'IA, encore moins si cela se fait dans les règles. Il est donc peu utile de s'attarder sur le chiffrement ou la gestion des accès avant de savoir clairement quelles données se trouvent où et qui en est responsable. Cet ordre n'est pas une question de préférence ; c'est l'ordre dans lequel cela fonctionne.
Au niveau baseline, il n'existe aucune politique explicite pour l'IA et les données. Ce qui se passe se passe de manière ad hoc, généralement en dehors du champ de vision de ceux qui en sont responsables.
Au niveau foundation, il existe une politique de base, souvent reprise de la politique de confidentialité existante sans être adaptée à ce qui distingue les applications d'IA. Il y a une prise de conscience, mais pas de contrôle.
Au niveau activation, des règles concrètes déterminent quelles données peuvent être utilisées dans quelle application d'IA, et leur respect est contrôlé. La gestion des accès et la classification des données sont mises en place, et pas seulement décrites.
Au niveau insight, on voit clairement comment les applications d'IA se comportent dans la pratique : quelles données elles traitent réellement, où apparaissent des écarts entre la politique et l'usage. Il existe un suivi qui produit des résultats concrets, pas seulement un tableau de bord que personne ne consulte.
Au niveau intelligence, la sécurité est intégrée dans la manière dont les nouvelles applications d'IA sont évaluées et autorisées, avant leur mise en service. L'évaluation des risques n'est plus une étape séparée mais fait partie de la façon dont les décisions sont prises.
La plupart des organisations dont les pilotes d'IA s'enlisent se révèlent, après examen, flotter entre foundation et activation : il existe une politique, mais personne ne peut dire avec certitude si elle est suivie.
Il existe quelques signes qui, indépendamment de tout score, en disent long sur votre position. Si personne dans votre organisation ne peut indiquer précisément quelles applications d'IA sont actuellement utilisées, vous vous situez probablement au niveau baseline ou foundation. Si cela est connu mais que la réponse à « quelles données peuvent y être introduites » varie selon les équipes, vous vous situez entre foundation et activation. Si vous savez quelles données peuvent aller où, mais que vous ne savez pas si cela se passe réellement ainsi dans la pratique, vous êtes au niveau activation et le niveau insight vous attend. Et si la sécurité est systématiquement prise en compte pour chaque nouvelle application, sans qu'un parcours distinct soit nécessaire à cet effet, vous évoluez vers le niveau intelligence.
Cette auto-évaluation est une indication, non un substitut au tour de cadrage collectif (plot-ronde). L'utilité de ce tour réside précisément dans ce qu'une évaluation individuelle ne révèle pas : la dispersion. Lorsqu'un RSSI (CISO) situe cette dimension au niveau activation et qu'un chef de service la situe au niveau baseline, cet écart constitue en soi une information. Il signifie que la politique et la pratique ne sont pas alignées, ou que la connaissance de ce qui est permis et de ce qui ne l'est pas ne s'est pas diffusée de manière égale partout.
Le passage de foundation à activation exige rarement un budget plus important pour des logiciels de sécurité. Il exige souvent des accords clairs sur qui peut décider qu'une application d'IA est mise en service, et sur la base de quelles données. Cela touche à la manière dont l'organisation est structurée : sans propriétaire clairement désigné pour ce type de décisions, la politique reste un document sans application. Cela touche aussi à la gestion des données, car sans vue d'ensemble sur vos données, vous ne pouvez jamais affirmer avec certitude ce qu'une application d'IA voit. Et cela touche à l'éthique, car la question de savoir ce qui est admissible ou non dans l'usage de l'IA se révèle rarement être une question purement technique.
Ce que coûte un niveau supérieur dépend de la position actuelle de l'organisation et de la structure de base déjà en place. Une organisation disposant d'une bonne gestion des données et d'une structure organisationnelle claire aura besoin de relativement peu de travail supplémentaire pour cette dimension ; une organisation qui obtient un score faible sur ces deux dimensions fondamentales devra d'abord s'y attaquer avant que la confidentialité et la sécurité ne progressent structurellement. C'est aussi pour cette raison que les sept dimensions ne peuvent être lues indépendamment les unes des autres : les personnes et les compétences jouent également un rôle ici, comme vous pouvez le lire sur la page consacrée à la maturité de la connaissance des collaborateurs concernant les risques de l'IA, et sur la question de la maturité de la gestion des performances liées à l'usage de l'IA, car sans suivi, même la meilleure politique de sécurité reste théorique.
La mesure de maturité, y compris le tour de cadrage collectif pour cette dimension et les six autres, est en cours de développement. Toute personne souhaitant utiliser la mesure dès qu'elle sera disponible peut s'inscrire sur la liste d'attente.
Cette page traite de la question de savoir si votre organisation peut supporter l'IA : si les bases sont en place pour traiter les données de manière sûre et responsable dès que l'IA les touche. Elle ne traite pas de la question de savoir quelles tâches l'IA pourrait reprendre à vos collaborateurs. Cette question, c'est le scan de travail de FTE TO AI qui y répond, en calculant pour chaque tâche quelle part peut être confiée à l'IA. Ce calcul n'a de valeur que si la question posée par cette page peut déjà être répondue en toute confiance.
Vraag maar wat er moet staan voordat AI in uw organisatie kan landen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.