L’IA éthique devient concrète lorsqu’une entreprise peut répondre à des questions opérationnelles concernant un système réel. À quoi sert-il ? Qui en est responsable ? Quelles données utilise-t-il ? Qui est concerné ? Dans quelles circonstances peut-il échouer et qui peut le désactiver ? Les promesses générales en matière d’innovation digne de confiance ne remplacent pas ces registres.
Créez un registre du système avant son lancement
Consignez sa finalité, son responsable, les utilisateurs prévus, les personnes concernées, les données approuvées, le modèle et sa version, les outils connectés, les limites décisionnelles et les points de contrôle humain. Précisez également ce que le système ne doit pas faire. Un outil d’aide à la rédaction pour le service d’assistance peut suggérer une réponse à partir de politiques approuvées, mais ne peut pas modifier un compte ni promettre une dérogation.
Veillez à ce que le registre reste lié à la configuration de déploiement. Lorsqu’un modèle, un fournisseur, une source de données ou une autorisation change, le responsable doit vérifier si l’évaluation et les informations communiquées restent valables.
Effectuez l’examen avec les personnes concernées
Les tests de précision technique ne détectent pas tous les préjudices pratiques. Demandez au personnel et à des utilisateurs représentatifs s’ils peuvent remettre en question, corriger ou contester un résultat. Évaluez l’accessibilité, la qualité linguistique et la capacité des personnes à comprendre qu’elles interagissent avec un système automatisé.
Les cas d’évaluation doivent refléter des situations difficiles et lourdes de conséquences, et pas uniquement des moyennes. Mesurez la qualité factuelle et examinez les différences de traitement entre des cas significatifs. Un score global unique ne suffit pas à établir l’équité.
Préparez-vous aux incidents et aux changements
Définissez les incidents, les responsables à alerter et les mesures de confinement. Le plan doit prévoir la désactivation du système ou de l’outil, le transfert aux personnes des tâches en attente, la conservation des registres pertinents, la notification des parties appropriées et la correction des données en aval. Testez la désactivation et le transfert avant le lancement.
Définissez, selon la finalité, des durées de conservation pour les requêtes, les résultats, les approbations et les journaux. Réduisez au minimum les données sensibles et limitez-en l’accès. Les mises à jour des fournisseurs, les remplacements de modèles et les nouveaux appels externes nécessitent un examen des changements.
Utilisez les cadres comme outils de structuration
Le NIST présente son cadre de gestion des risques liés à l’IA comme étant volontaire. Ses fonctions de gouvernance, de cartographie, de mesure et de gestion structurent les responsabilités, le contexte, l’évaluation et la réponse. Son utilisation ne constitue pas une certification et n’établit pas la conformité juridique. Obtenez, si nécessaire, des conseils juridiques et sectoriels adaptés au contexte.
Pour les contrôles de mise en œuvre concernant les outils, les nouvelles tentatives et les approbations, consultez huit conseils pour des agents IA responsables.