Cadre de gouvernance de l'IA : rôles, approbation, audit et réponse aux incidents

Gains :

• Définir les rôles de gouvernance avec une matrice RACI
• Établir un processus d’approbation équilibré et un programme d’audit régulier
• Mettre en œuvre un plan de réponse aux incidents d'IA et de violation de données avec une règle de 72 heures

Depuis la première unité jusqu’à présent, nous avons rédigé la politique, appris la législation et évalué les risques. Il est maintenant temps de connecter tout cela à un système fonctionnel. Quelle que soit la qualité de la rédaction d’une politique, si elle n’est accompagnée d’aucun rôle, flux d’approbation, audit et réponse aux incidents, elle reste sur les étagères en tant que document. Dans cette unité de clôture, nous combinons les quatre mécanismes qui maintiennent la gouvernance de l'IA en vie (rôles (RACI), processus d'approbation, audit régulier et réponse aux incidents) et complétons le cadre.

Clarifier les rôles : la matrice RACI

Première règle de gouvernance : chaque tâche doit avoir un propriétaire. L’outil classique pour clarifier cela est la matrice RACI. RACI vient des initiales de quatre rôles :

• R (Responsable / Acteur) : Celui qui exécute réellement le travail.
• A (Responsable) : Il ne devrait y avoir qu’une seule personne qui soit ultimement responsable.
• C (Consulté) : Celui dont l'avis est pris.
• Je (Informé) : Informé.

Quête

Fabriqué par (R)

Responsable (A)

Consulté (C)

Informé (je)

Rédaction de la politique

Officier de l'IA

responsable de la conformité

Juridique, informatique, RH

haute direction

Homologation de véhicule neuf

Informatique/sécurité

responsable de la conformité

loi

unité commerciale

Exécution de l'AIPD

Délégué à la protection des données

responsable de la conformité

Équipe associée

haute direction

réponse à une violation

équipe de sécurité

haute direction

droit, communication

établissement tout entier

Vérification

audit interne

responsable de la conformité

Unités

haute direction

Astuce : n'ayez qu'un seul « A » (Responsable) par ligne. Deux sont responsables en fin de compte, zéro est responsable ; C'est de là que vient l'expression « Je pensais que tu regardais » en temps de crise. Fixer la responsabilité sur un seul rôle est la règle générale de la gouvernance.

Processus d’approbation équilibré

Un nouvel outil d’IA ou son utilisation nécessite un processus d’approbation. Deux pièges sont évités : trop lâche (tout est gratuit, shadow AI) et trop rigide (tout attend l'approbation pendant des mois, personne ne s'en soucie). Le compromis est une approbation progressive basée sur le risque :

Niveau de risque

exemple

Chemin d'approbation

faible

Brouillon de texte avec données ouvertes

Aucune approbation requise, gratuit dans le cadre de la politique

moyen

Analyse avec des données internes

Chef d'unité + besoin véhicule homologué

haut

Données personnelles/privées, décision automatique

Conformité + approbation légale + DPIA

La publication d'usages à faible risque permet aux équipes de s'approprier le processus ; En contrôlant étroitement les activités à haut risque, on gère les risques réels. Ainsi, le processus est à la fois rapide et sûr.

Inspection régulière

La gouvernance est un système vivant ; Sans surveillance régulière, il meurt. Les contrôles d'audit : les véhicules utilisés sont-ils toujours sur la liste agréée, y a-t-il des signes d'IA fantôme, les délais de conservation sont-ils appliqués, les DPIA sont-elles à jour, les incidents ont-ils été enregistrés. La fréquence des audits est déterminée par le risque (par exemple trimestriel pour les systèmes à haut risque, tous les six mois pour les systèmes généraux).

Attention : L'audit n'est pas un outil pour « blâmer quelqu'un », mais un outil pour « améliorer le système ». Une culture d’audit axée sur les sanctions pousse les employés à cacher les problèmes et favorise l’IA fantôme. L’objectif est de détecter et de résoudre les problèmes le plus tôt possible.

Réponse aux incidents et règle des 72 heures

Quelle que soit la qualité de la gestion, un incident surviendra un jour : fuite de données, mauvaise décision d'IA, données confidentielles introduites dans le mauvais outil. Un plan de réponse aux incidents prescrit ce qu'il faut faire :

1. Détection et confinement : Reconnaître l’incident, stopper sa propagation (par exemple couper l’accès).
2. Évaluation : quelles données, combien de personnes, dans quelle mesure ont été concernées ?
3. Notification : en cas de violation de données personnelles, informez l'autorité compétente (conseil du KVKK) et les personnes concernées si nécessaire. Le RGPD exige une notification à l'autorité dans les 72 heures suivant la connaissance de la violation ; Le KVKK attend également une notification « dans les plus brefs délais ».
4. Correction et apprentissage : Corrigez la cause première, prenez des mesures pour éviter qu'une cause similaire ne se reproduise, documentez l'incident.

Attention : Le délai de préavis de 72 heures court à compter du moment où vous avez connaissance de l'incident ; L'approche consistant à « résoudre le problème en interne d'abord, puis nous vous le ferons savoir » ne respectera pas la date limite. Avoir un plan de réponse aux incidents et une chaîne de communication prêts à l’avance permet de gagner du temps en cas de crise.

trois mini-cases

Cas 1 — Tâche non réclamée. Une entreprise a une politique en matière d'IA, mais il n'est pas clair « qui met à jour la liste des outils approuvés ». La liste n'est pas mise à jour depuis 8 mois, les équipes commencent à utiliser des outils qui ne figurent pas sur la liste. Si une matrice RACI associait cette tâche à un rôle, l’écart ne se produirait pas.

Cas 2 : 72 heures manquées. Un employé saisit une liste de clients mystères dans le mauvais outil. L'équipe tente de résoudre ce problème en interne et informe la loi trois jours plus tard. D’ailleurs, le délai de notification est passé. Un plan de réponse aux incidents préparé et une chaîne de communication claire auraient permis de déplacer l'incident vers le bon canal dans la première heure.

Cas 3 — Shadow AI détecté par l'audit. Une organisation détecte trois outils d'IA non approuvés dans le trafic réseau lors d'un audit semestriel de routine. Au lieu de punir, il parle aux équipes, comprend pourquoi elles ont besoin de ces outils, évalue les deux et les ajoute à la liste approuvée. L’audit permet à la fois de clôturer le risque et de rendre visible le besoin réel.

Modèles copiables

MODÈLE 1 — Aperçu de la matrice RACI : "Rédiger la matrice RACI pour la gouvernance de l'IA de notre organisation. Tâches : rédaction de politiques, approbation d'outils, DPIA, réponse aux violations, audit, formation. Rôles : responsable de l'IA, responsable de la conformité, juridique, informatique, RH, haute direction. Un seul « A » dans chaque rôle. »

MODÈLE 2 — Flux d'approbation à plusieurs niveaux : "Concevez un processus d'approbation d'IA à plusieurs niveaux en fonction du risque : des chemins d'approbation séparés pour les risques faibles/moyens/élevés. Rédigez un exemple d'utilisation, le rôle de l'approbateur et le document requis (DPIA, etc.) pour chaque niveau. Rendre le processus à la fois rapide et sécurisé."

MODÈLE 3 — Liste de contrôle d'audit : « Préparer une liste de contrôle pour un audit de gouvernance de l'IA de six mois : conformité des outils approuvés, indications de l'IA fantôme, périodes de conservation, monnaie DPIA, journaux d'événements, taux d'achèvement de la formation. Ajoutez la méthode « comment vérifier » à chaque élément.

MODÈLE 4 — Carte de flux de réponse aux incidents : « Rédigez une carte de flux de réponse aux incidents d'une page pour une violation d'IA/de données : étape par étape (détection, confinement, évaluation, notification, remédiation), rôle responsable et coordonnées à chaque étape, alerte de notification de 72 heures. Gardez les choses suffisamment simples pour s'asseoir sur la table en cas de crise.

Invite faible/Invite forte

FAIBLE : « Que devons-nous faire pour la gouvernance de l'IA ? » -> Le modèle donne une liste générale ; les rôles, les voies d’approbation et le plan d’incident ne seraient pas spécifiques à l’institution et ne seraient pas applicables. FORT : "Nous sommes une organisation de 60 personnes. Pour faire fonctionner la gouvernance de l'IA : (1) Produire une matrice RACI à 5 tâches, (2) un flux d'approbation à plusieurs niveaux pour les risques faibles/moyens/élevés, (3) une carte de réponse aux incidents d'une page avec une règle de 72 heures. Qu'il y ait un seul « A » dans chaque tâche ; simple et applicable. » -> Le modèle produit des outils de gouvernance spécifiques à l'organisation et immédiatement utilisables.

Erreurs courantes

• Ne pas fixer les tâches au rôle ; Créer un fossé selon lequel « le travail de chacun n’est l’affaire de personne ».
• Définir plus d'un « A » (responsable ultime) sur une tâche.
• Rendre le processus d'approbation soit trop laxiste, soit trop strict ; sans stratification selon le risque.
• Ne pas procéder à l’inspection du tout ou en faire un outil de punition et cacher les problèmes.
• Considérant le plan de réponse à l'incident après que l'incident se soit produit.
• Manquer le délai de préavis de 72 heures juste pour « réparons-le d'abord en interne ».
• Établir la gouvernance une fois et ne pas la revoir à nouveau ; Cependant, c'est un système vivant.

En résumé

• Quatre mécanismes assurent le fonctionnement de la gouvernance : les rôles (RACI), l'approbation à plusieurs niveaux, les audits réguliers et la réponse aux incidents.
• Dans la matrice RACI, chaque tâche doit avoir une seule personne responsable ultime (A).
• Le processus d'approbation doit être organisé en fonction du risque ; contrôle strict sans risque et à haut risque.
• Des audits réguliers maintiennent la gouvernance en vie ; Il est utilisé comme moyen de guérison et non comme punition.
• Le plan de réponse aux incidents doit être préparé à l'avance ; La règle de notification des 72 heures ne doit pas être oubliée en cas de violation de données personnelles.

Tâche de candidature

Rassemblez un cadre de gouvernance complet pour votre organisation dans un seul document. Établissez d’abord une matrice RACI d’au moins cinq tâches ; Assurez-vous qu'il n'y a qu'un seul « A » dans chaque tâche. Concevez ensuite un flux d'approbation à plusieurs niveaux pour les risques faibles, moyens et élevés, et ajoutez des exemples d'utilisation, un rôle d'approbation et la documentation requise à chaque niveau. Créez ensuite une liste de contrôle d’audit de six mois. Enfin, rédigez une carte de réponse à un incident d'une page pour une violation d'IA/de données ; Inclut une alerte de notification de 72 heures et une chaîne de communication. Ces quatre éléments constitueront le document qui transformera ce que vous avez appris tout au long du module en un système fonctionnel.

liste de contrôle

• [ ] J'ai mis en place la matrice RACI ; Il n'y a qu'un seul "A" dans chaque mission.
• [ ] J'ai conçu un flux d'approbation progressif en fonction du risque.
• [ ] J'ai laissé les usages à faible risque raisonnablement libéraux.
• [ ] J'ai préparé une liste de contrôle d'audit de six mois.
• [ ] J'ai positionné l'audit comme un outil d'amélioration.
• [ ] J'ai rédigé une carte de réponse aux incidents d'une page.
• [ ] J'ai inclus la règle du préavis de 72 heures et la chaîne de communication.

Examen de module

1. Quel est le concept qui fait référence à l'utilisation non approuvée de l'IA par les employés qui se produit lorsque les organisations n'ont pas de politique écrite en matière d'IA ?

• A) IA fantôme (IA fantôme) ✔
• B) IA à poids ouvert
• C) IA multimodale
• D) IA supervisée

Description : L'utilisation de l'IA à l'insu et sans l'approbation de l'institution est appelée « IA fantôme » et présente de graves risques tels que des fuites de données.

2. Quelle devrait être l’approche de base d’une bonne politique d’entreprise en matière d’IA ?

• A) Interdire le plus complètement possible l’utilisation de l’IA
• B) Être un cadre qui permet une utilisation responsable et apporte clarté et confiance ✔
• C) Être un document technique connu uniquement du service informatique
• D) Être le plus long possible et rédigé uniquement dans un langage juridique

Explication : Une bonne politique n'est pas une liste d'interdictions, mais un cadre qui permet une utilisation responsable. L’interdire complètement n’éliminera pas son utilisation ; Cela le rend simplement invisible et incontrôlé.

3. Qu'est-ce qui détermine la classification des données, l'élément le plus critique d'une politique d'IA d'entreprise ?

• A) Le prix symbolique du modèle IA
• B) Le budget annuel IA de l'entreprise
• C) Quel type de données peut être saisi dans quel outil d'IA ✔
• D) Quel employé recevra quel salaire ?

Description : Classification des données ; Il stipule des règles claires sur les types de données ouvertes, internes, confidentielles et propriétaires qui peuvent et ne peuvent pas être saisies dans quel outil d'IA.

4. Que signifie le principe de « minimisation des données » (pertinence, limitée et proportionnée) du KVKK dans l'utilisation de l'IA ?

• A) Saisir uniquement les données nécessaires dans l'IA et pas plus ✔
• B) Obtenez de meilleurs résultats en saisissant autant de données que possible dans l'IA
• C) Stockage des données indéfiniment
• D) Assurez-vous de transférer toutes les données à l'étranger

Explication : La minimisation des données consiste à saisir dans l'IA uniquement les données nécessaires à l'objectif et pas plus. Si possible, les données sont saisies de manière anonyme ou masquée.

5. Qu'est-ce qui est pris en compte en termes de KVKK lors de la saisie d'un texte contenant des données personnelles dans un outil d'IA qui traite les données sur le serveur du fournisseur ?

• A) Une transaction ordinaire sans conséquences juridiques
• B) Une action strictement interdite en toutes circonstances
• C) Une opération qui n'a de sens que si les données sont ouvertes
• D) Une transaction et souvent un transfert ; Nécessite une base juridique et une assurance ✔

Explication : Il s'agit d'un « traitement » et souvent d'un « transfert » puisque les données sont traitées sur le serveur du prestataire (souvent à l'étranger) ; Cela nécessite une base juridique valide et un contrat/garantie approprié.

6. Quelle est l’approche de base de la loi européenne sur l’IA ?

• A) Soumettre tous les systèmes d’IA aux mêmes règles strictes
• B) Classer les systèmes d'IA en fonction de leur risque potentiel et appliquer les règles en conséquence ✔
• C) Interdire complètement l’utilisation de l’IA dans l’UE
• D) Contrôler uniquement le prix symbolique du modèle

Explication : La loi européenne sur l’IA ne regroupe pas toutes les IA ; Il divise les systèmes en quatre classes de risque (interdit, élevé, limité, minime) en fonction de leur préjudice potentiel et resserre les règles à mesure que le risque augmente.

7. Selon la loi européenne sur l’IA, à quelle classe de risque un système d’IA qui élimine les candidats lors des décisions d’embauche serait-il le plus susceptible d’appartenir ?

• A) Risque élevé ✔
• B) Risque minime
• C) Risque limité
• D) Sans risque

Description : Les domaines qui affectent gravement la vie des gens, tels que le recrutement, le crédit et les soins de santé, entrent généralement dans la catégorie « à haut risque » et sont soumis à des obligations strictes (enregistrement, surveillance humaine, qualité des données).

8. En vertu de la loi européenne sur l’IA, à quelle catégorie appartiennent les systèmes de « notation sociale » parrainés par l’État, qui évaluent les personnes en fonction de leur comportement ou de leurs caractéristiques et les désavantagent socialement ?

• A) Risque limité
• B) Risque élevé
• C) Pratique interdite (risque inacceptable) ✔
• D) Risque minime

Description : Le scoring social, la manipulation subliminale et certaines pratiques de surveillance biométrique font partie des « pratiques interdites » ; Ceux-ci ne peuvent être lâchés même si le risque est réduit, ils sont totalement interdits.

9. Contre quoi l’article 22 du RGPD protège-t-il les individus ?

• A) Contre les prix élevés des outils d’IA
• B) Uniquement contre les emails publicitaires
• C) Contre l’utilisation de modèles pondérés par le déficit
• D) Contre les décisions qui affectent de manière significative la personne et qui ne sont prises que automatiquement ✔

Explication : L'article 22 du RGPD protège la personne contre les décisions qui l'affectent dans une mesure juridique ou tout aussi significative et qui sont fondées uniquement sur un traitement automatisé (y compris l'IA) ; Il donne le droit de demander une intervention humaine et de s’y opposer.

10. Quelles sont les exigences du KVKK/RGPD lorsque vous souhaitez traiter des données personnelles sur le serveur d'un fournisseur d'IA à l'étranger ?

• A) Aucune condition supplémentaire ; les données peuvent être transférées librement
• B) Assurance appropriée (lettre d'engagement/clauses contractuelles types) ou mécanisme tel qu'un consentement exprès ✔
• C) Seul le cryptage des données suffit
• D) Seule l'approbation verbale du salarié est suffisante

Explication : Les transferts transfrontaliers nécessitent, en règle générale, des mécanismes qui incluent un consentement explicite ou un engagement adéquat de protection (garanties appropriées telles qu'une lettre d'engagement, des clauses contractuelles types) ; les données ne peuvent pas être transférées de manière aléatoire.

11. Qu’est-ce qui détermine si un résultat généré par l’IA est protégé par le droit d’auteur dans la plupart des systèmes juridiques ?

• A) Niveau de créativité humaine et contribution au contenu ✔
• B) Prix symbolique du modèle utilisé
• C) Seule la longueur de la sortie
• D) Pays d'origine de l'outil d'IA

Description : Dans de nombreux systèmes juridiques, la protection du droit d’auteur requiert la créativité humaine. Plus la direction humaine, la sélection, la régulation et la contribution unique sont importantes, plus grandes sont les chances de préserver la production.

12. À quoi fait référence le « contrôle humain », le principe le plus critique du cadre de gouvernance de l’IA ?

• A) L'IA prend toutes les décisions seule et automatiquement
• B) Les gens arrêtent complètement d’utiliser l’IA
• C) L'IA est un outil ; Le dernier mot et la responsabilité dans les décisions importantes appartiennent toujours à la personne ✔
• D) Utilisez uniquement le modèle le plus cher

Description : Le principe du contrôle humain souligne que l’IA est un outil et que la responsabilité incombe toujours à l’humain. Une personne autorisée a le dernier mot dans les décisions importantes ; « AI l'a dit » n'est pas une excuse.

13. Quand une analyse d’impact sur la protection des données (DPIA) doit-elle généralement être réalisée ?

• A) Après une violation de données
• B) Dès la conception, avant de démarrer les traitements à risque ✔
• C) Uniquement si l'auditeur le demande
• D) Régulièrement, des années après le projet

Description : L'AIPD doit être réalisée au stade de la conception AVANT de démarrer une activité de traitement de l'IA qui utilise une nouvelle technologie, implique une surveillance systématique ou à grande échelle, ou présente un risque élevé pour les individus.

14. Conformément aux principes de « limitation des finalités » et de conservation du KVKK, que doit-on faire pour les données personnelles dans l'historique de discussion d'un outil d'IA ?

• A) Il doit être conservé pour toujours
• B) Aucune règle requise, c'est le problème du fournisseur
• C) Il est révisé annuellement seulement à la demande du gestionnaire.
• D) Il doit être lié à une politique de stockage et de destruction, et doit être supprimé ou anonymisé lorsque la finalité est atteinte ✔

Explication : Les données personnelles ne peuvent être conservées plus longtemps que nécessaire au regard de la finalité pour laquelle elles sont traitées. Les historiques de discussions de l’IA devraient également être liés à une politique de conservation et de destruction ; Lorsque la finalité n’est plus là, elle doit être supprimée ou anonymisée.

15. Quel registre est requis pour les responsables du traitement qui dépassent certains seuils pour enregistrer leurs activités de traitement de données personnelles en Turquie ?

• A) VERBIS (Système d'information du registre des contrôleurs de données) ✔
• B) Registre du commerce MERSIS
• C) Base de données sur le droit européen de l'IA
• D) REGISTRE DES CONTRIBUABLES

Description : VERBIS (Data Controllers Registry Information System) est le registre officiel dans lequel les responsables du traitement enregistrent leurs inventaires de traitement ; Une nouvelle activité de traitement basée sur l'IA doit être reflétée dans l'inventaire et, si nécessaire, dans l'enregistrement VERBIS.