Gouvernance vérifiable de l'IA.
Le guide.
Presque toutes les organisations disposent désormais d'une politique en matière d'IA. Très peu d'entre elles sont en mesure de démontrer que celle-ci a été mise en œuvre dans un système précis, à une date précise, sous la responsabilité d'une personne bien identifiée. Ce guide explique comment combler cet écart.
Gouvernance vérifiable de l'IA :passer de «
» à « démontrer ce qui s'est produit ».
« Tous les modèles à haut risque font l'objet d'une évaluation avant leur mise en service. »
« Le modèle v3.2 a passé avec succès l'évaluation E-114 le 14 mars. Il a été approuvé par la responsable des risques. Empreinte 7f2a… : n'importe qui peut vérifier qu'il n'a pas changé. »
Jusqu'à récemment, une politique bien rédigée suffisait. Quatre changements surviennent simultanément et la rendent désormais insuffisante.
Des agents qui agissent
L'IA crée des tickets, exécute du code, transfère des données. Toute action pour laquelle il n'existe aucune preuve de l'autorisation est un risque opérationnel et juridique.
Des modèles en pleine évolution
Ce qui a été évalué en janvier peut ne plus correspondre à la situation en juin. En l'absence de données par version, l'évaluation perd de sa validité en quelques semaines.
Règles exigeant une preuve
L'EU AI Act et la norme ISO/IEC 42001 font l'objet d'audits fondés sur des faits concrets : registres, versions, supervision humaine. Et non sur des intentions.
Les clients qui posent des questions
Les grands comptes et le secteur public souhaitent savoir comment sont gérés les contrats qu’ils passent. Une réponse vérifiable met fin à la discussion.
Toutes les preuves ne vont pas dans le même sens.
Chaque niveau répond à une question.
Confondre les niveaux est l'erreur la plus courante lors de la conception d'un programme de gouvernance vérifiable. Chacun apporte une garantie et a une limite clairement définie.
Intégrité
Empreinte cryptographique de l'actif. Ce qui est examiné aujourd'hui correspond exactement à ce qui existait au moment de son enregistrement.
Il ne précise pas qui l'a fait ni si c'était justifié.
Identité et autorité
Qui a enregistré ces éléments de preuve, à quel titre et en vertu de quelle politique ?
Cela ne signifie pas que cette personne ait examiné le contenu en détail.
Supervision humaine
Ce qui a été examiné, ce qui a changé, ce qui a été approuvé ou rejeté. Ce que prévoit l'article 14 de l'EU AI Act.
Cela ne remplace pas la qualité de la révision ; cela permet simplement de la démontrer.
Météo
Lorsqu'il existait des éléments probants. Cela permet de démontrer qu'une évaluation a précédé un déploiement.
Le cachet d'enregistrement V-Seal™ n'est pas un cachet horodateur certifié eIDAS.
Cinq pièces qui évoluent à des rythmes différents.
Un même registre de preuves.
L'IA d'une organisation n'est pas un objet. La gouvernance vérifiable traite chaque élément séparément et les relie entre eux dans le registre V-Seal™.
Systèmes et modèles
- Inventaire et objectif
- Niveau de risque
- Versions et évaluations
- Autorisations
Agents
- Identité et autorité
- Limites et outils
- Mesures importantes
- Interventions humaines
Code
- Modifications et révision
- Rapport IA · Humain
- Déploiements
- Locaux
Données et documentation
- Base juridique et conservation
- Documentation technique
- Politiques dans des versions contrôlées
Décisions humaines
- Acceptations et refus
- Exceptions assorties d'un délai
- Incidents et fermeture
Comment fonctionne V-Seal™ : l'empreinte est enregistrée, le contenu ne sort pas de son périmètre.
Empreinte
SHA-256 de la ressource ou du manifeste. Le fichier n'est ni envoyé ni stocké sur V-PROOF.
Contexte
Système, version, politique, responsable, ratio IA/humain et supervision, liés à l'empreinte.
Cachet
Enregistrement avec référence unique et date. Toute modification ultérieure rompt la correspondance.
Vérification
Un tiers vérifie sur le portail public, sans compte : « Correspond » ou « Introuvable ».
Gouvernance vérifiable et conformité :
Chaque cadre impose des exigences, mais les preuves requises sont les mêmes.
Ce n'est pas un cadre comme les autres. C'est une façon de mettre en valeur ceux que vous possédez déjà ou que vous allez acquérir.
Il n'est pas nécessaire de tout diriger dès le premier jour.
Il faut d'abord faire ses preuves.
Les programmes échouent par excès d'ambition : ils veulent couvrir l'ensemble de l'IA avant même de disposer d'une seule preuve vérifiable. C'est en procédant à l'inverse que l'on y parvient.
Inventaire
Quels sont les systèmes d'IA existants, qui en est responsable et quel est leur niveau de risque ?
Diagnostic
Quelles obligations s'appliquent déjà, quelles sont les preuves existantes et lesquelles sont purement déclaratives ? Une semaine.
Un système
Celui qui présente le plus grand risque ou celui sur lequel les clients posent le plus de questions. Il est géré de A à Z.
Premiers éléments de preuve
Évaluation, validation, mise en production et suivi, certifiés et vérifiables. Puis, recommencer.
Ce que l'on vous demande généralement avant de commencer.
En quoi se distingue-t-il d'un outil GRC ou d'un SIEM ?
Un GRC organise les politiques, les risques et les contrôles ; un SIEM recense les événements de sécurité. Aucun des deux ne produit de preuves qu’un tiers puisse vérifier sans se fier à l’outil lui-même. La gouvernance vérifiable s’appuie sur ces deux éléments et y ajoute cette couche supplémentaire : empreinte, contexte et enregistrement indépendant.
Cela remplace-t-il l'audit ou la certification ?
Non. Cela modifie la durée et la fiabilité : au lieu de reconstituer les preuves à partir d'e-mails et de captures d'écran, l'auditeur vérifie les registres comportant une empreinte, une date et le nom du responsable.
Qu'est-ce qui sort du périmètre de mon organisation ?
L'empreinte et le contexte de gouvernance que vous choisissez d'enregistrer. Le contenu de l'actif, qu'il s'agisse d'un document, d'un modèle, de données ou d'un code, n'est ni transmis ni stocké sur V-PROOF. Vous pouvez le consulter partie par partie dans Confianza.
Que se passe-t-il si le document ou le modèle est modifié après avoir été tamponné ?
Toute modification génère une empreinte différente et la copie modifiée renvoie le message « Introuvable ». La version originale reste vérifiable ; une nouvelle version légitime est certifiée comme telle et la chaîne entre les deux est conservée.
Est-ce la même chose qu'une signature électronique ?
Non. La signature électronique qualifiée atteste de l’identité du signataire conformément à la directive eIDAS. Le cachet V-Seal™ atteste de l’intégrité d’une preuve, de son contexte de gouvernance et du moment où elle figurait dans le registre. Ces deux éléments sont complémentaires.
Est-ce que cela convient à l'IA que nous achetons auprès de tiers ?
Oui, et c'est le cas le plus fréquent. On réglemente l'utilisation que l'organisation fait du système : finalité, évaluation, validation, configuration, surveillance et incidents.