7 min de lecture<\/p>\n
Qui int\u00e8gre un mod\u00e8le d\u2019IA dans son environnement de production en assume la responsabilit\u00e9 : son comportement, ses risques et sa maintenance. Qu\u2019il s\u2019agisse d\u2019un nouveau mod\u00e8le allemand issu d\u2019un consortium subventionn\u00e9 ne change rien \u00e0 l\u2019affaire. Le DSI (CIO) ne peut d\u00e9l\u00e9guer cette responsabilit\u00e9 ni \u00e0 l\u2019origine du mod\u00e8le ni \u00e0 sa licence open source. La souverainet\u00e9 se mesure \u00e0 la mani\u00e8re dont une organisation en contr\u00f4le le d\u00e9ploiement, en en garantit la tra\u00e7abilit\u00e9 et en en prouve la conformit\u00e9.<\/strong><\/p>\n En bref<\/p>\n \u00c0 lire aussi :<\/span>Cloud souverain : quand la prime se justifie<\/a> \/<\/span> Muse Spark force les DSI \u00e0 r\u00e9\u00e9valuer leur strat\u00e9gie<\/a><\/p>\n De nombreuses organisations entament l’\u00e9valuation d’un nouveau mod\u00e8le par ses performances. Pourtant, elles commencent ainsi par la mauvaise extr\u00e9mit\u00e9. Il faut d’abord \u00e9tablir ses propres structures de gouvernance. Un mod\u00e8le consortium, tel que celui r\u00e9cemment pr\u00e9sent\u00e9 par le projet Soofi, \u00e9merge de la collaboration entre plusieurs \u00e9tablissements de recherche et entreprises. Le choix de son d\u00e9ploiement ne concerne donc pas uniquement la direction informatique. Il impacte la conformit\u00e9, le service juridique et, en d\u00e9finitive, le comit\u00e9 de direction.<\/p>\n Le R\u00e8glement europ\u00e9en sur l’IA (EU AI Act) impose des obligations de transparence, de classification des risques et de supervision humaine. Ces exigences s’appliquent ind\u00e9pendamment de l’origine du mod\u00e8le, qu’il provienne d’un projet financ\u00e9 par des fonds publics ou non. Les politiques internes doivent d\u00e9finir les cas d’usage pour lesquels un mod\u00e8le \u00e0 maturit\u00e9 commerciale limit\u00e9e est autoris\u00e9 \u00e0 \u00eatre utilis\u00e9. En l’absence de cette d\u00e9finition, des conflits apparaissent ult\u00e9rieurement lorsque qu’un d\u00e9partement m\u00e9tier souhaite exploiter le mod\u00e8le en production sans base juridique clairement \u00e9tablie.<\/p>\n S’ajoute \u00e0 cela la question de la responsabilit\u00e9. Un fournisseur commercial encadre contractuellement les limites de sa responsabilit\u00e9. Dans le cadre d’un consortium, cette attribution est moins \u00e9vidente, car la responsabilit\u00e9 est r\u00e9partie entre plusieurs institutions. Un DSI (Directeur des Syst\u00e8mes d’Information) doit clarifier d\u00e8s le d\u00e9part quels risques l’organisation assume elle-m\u00eame et ceux qui peuvent \u00eatre couverts par des contrats.<\/p>\n Une licence ouverte r\u00e9duit la d\u00e9pendance. Elle ne l’\u00e9limine pas.<\/p><\/blockquote>\n L’int\u00e9gration dans un paysage informatique existant d\u00e9passe largement la simple question de la compatibilit\u00e9 technique. Il s’agit de d\u00e9terminer qui sera responsable de la disponibilit\u00e9, des correctifs de s\u00e9curit\u00e9 et de l’adaptation aux nouvelles r\u00e9glementations. Un consortium de recherche n’est pas con\u00e7u pour assurer un support op\u00e9rationnel \u00e0 long terme. Les financements du minist\u00e8re f\u00e9d\u00e9ral de l’\u00c9conomie (BMWK) et les fonds europ\u00e9ens prennent fin \u00e0 une date fixe. Apr\u00e8s quoi, quelqu’un devra reprendre la responsabilit\u00e9.<\/p>\n En pratique, de nombreuses \u00e9quipes partent du principe que la licence ouverte leur permet de poursuivre le mod\u00e8le en interne. Sans ressources d\u00e9di\u00e9es pour l’optimisation fine, les audits de s\u00e9curit\u00e9 et la surveillance, cette approche cr\u00e9e rapidement une nouvelle d\u00e9pendance. Cette fois, elle ne vise pas un fournisseur sp\u00e9cifique, mais la p\u00e9rennit\u00e9 des institutions impliqu\u00e9es ou la volont\u00e9 d’une communaut\u00e9 de maintenir le mod\u00e8le.<\/p>\n L’angle mort<\/p>\n La disponibilit\u00e9 n’est pas le contr\u00f4le.<\/strong> Faire fonctionner un mod\u00e8le dans son propre centre de donn\u00e9es ne signifie pas pour autant le ma\u00eetriser. Sans surveillance des flux de donn\u00e9es, sans contr\u00f4le des versions et sans un processus d’escalade d\u00e9fini, la souverainet\u00e9 reste un concept th\u00e9orique.<\/p>\n<\/div>\n La souverainet\u00e9 implique que l’organisation d\u00e9cide elle-m\u00eame de l’utilisation du mod\u00e8le, des donn\u00e9es qu’il traite et du moment o\u00f9 il doit \u00eatre ajust\u00e9 ou remplac\u00e9. Pour cela, il faut des r\u00f4les et des processus qui portent ces d\u00e9cisions. Souvent, l’expertise se concentre entre les mains de quelques sp\u00e9cialistes en informatique. Le m\u00e9tier conna\u00eet les exigences, la direction g\u00e9n\u00e9rale les risques strat\u00e9giques. Sans r\u00e9partition claire des r\u00f4les, des lacunes apparaissent pr\u00e9cis\u00e9ment entre ces deux niveaux.<\/p>\n Les probl\u00e8mes structurels se manifestent lorsqu’aucune instance n’est d\u00e9finie pour trancher sur l’utilisation du mod\u00e8le dans un nouveau cas d’usage. Les probl\u00e8mes humains surviennent lorsqu’un expert unique tombe malade ou quitte l’entreprise et que personne ne peut reprendre le contr\u00f4le. Ces deux aspects doivent \u00eatre trait\u00e9s simultan\u00e9ment. La construction d’une capacit\u00e9 de gouvernance exige donc deux choses : des droits d\u00e9cisionnels clairement d\u00e9finis et un renforcement cibl\u00e9 des comp\u00e9tences au sein des \u00e9quipes qui portent le mod\u00e8le.<\/p>\n Le projet Soofi vise, quant \u00e0 lui, un contr\u00f4le total sur les donn\u00e9es, leur provenance et l’infrastructure. Pour l’utilisateur, cela signifie qu’il doit lui-m\u00eame v\u00e9rifier si ce contr\u00f4le est effectivement exerc\u00e9 au sein de son organisation. S’approvisionner en mod\u00e8les aupr\u00e8s d’un consortium sans mettre en place ses propres m\u00e9canismes de surveillance des flux de donn\u00e9es et des versions du mod\u00e8le ne fait que d\u00e9placer la d\u00e9pendance vers un autre acteur.<\/p>\n Les services de r\u00e9vision, les autorit\u00e9s de supervision et les clients exigent de plus en plus de savoir comment une organisation exerce effectivement le contr\u00f4le sur ses syst\u00e8mes d\u2019IA. Affirmer qu\u2019un mod\u00e8le est souverain parce qu\u2019il a \u00e9t\u00e9 d\u00e9velopp\u00e9 en Europe ne suffit pas lors d\u2019un audit. Le directeur des syst\u00e8mes d\u2019information (DSI) doit pouvoir d\u00e9montrer quelles donn\u00e9es ont \u00e9t\u00e9 utilis\u00e9es pour l\u2019entra\u00eenement, comment les modifications ont \u00e9t\u00e9 document\u00e9es et quels m\u00e9canismes de contr\u00f4le sont appliqu\u00e9s en cours d\u2019ex\u00e9cution.<\/p>\n Dans le cas des mod\u00e8les issus de contextes de recherche, la documentation des donn\u00e9es d\u2019entra\u00eenement et des proc\u00e9dures est souvent insuffisante pour r\u00e9pondre aux exigences d\u2019un audit. Cette lacune a \u00e9galement \u00e9t\u00e9 soulign\u00e9e par la communaut\u00e9 sp\u00e9cialis\u00e9e dans le rapport Soofi. Pour l\u2019utilisateur, la question reste enti\u00e8re : peut-il v\u00e9rifier de mani\u00e8re ind\u00e9pendante les informations fournies par le consortium, et quelles conclusions en tirer pour sa propre \u00e9valuation des risques ?<\/p>\n Sans preuves tangibles \u00e0 pr\u00e9senter aux auditeurs internes ou externes, la souverainet\u00e9 reste une simple assertion. La mise en place de pistes d\u2019audit et la capacit\u00e9 \u00e0 fournir des informations d\u00e9taill\u00e9es sur demande doivent donc figurer d\u00e8s le d\u00e9part dans la planification de l\u2019int\u00e9gration. Dans les secteurs r\u00e9glement\u00e9s, o\u00f9 les autorit\u00e9s exigent des preuves concr\u00e8tes, ce point d\u00e9termine l\u2019obtention de l\u2019autorisation.<\/p>\n Qu\u2019est-ce que la gouvernance de l\u2019IA ?<\/strong> La gouvernance de l\u2019IA d\u00e9signe le cadre contraignant compos\u00e9 de droits d\u00e9cisionnels, de crit\u00e8res de risque, d\u2019obligations de documentation et de points de contr\u00f4le, qui d\u00e9finit qui d\u00e9cide du choix, du d\u00e9ploiement et du retrait d\u2019un mod\u00e8le, ainsi que qui en assume la responsabilit\u00e9 en cas de d\u00e9faillance. Sans ce cadre, l\u2019utilisation n\u2019est ni ma\u00eetrisable ni pr\u00e9sentable lors d\u2019un audit. Cette exigence s\u2019applique aussi bien aux mod\u00e8les d\u00e9velopp\u00e9s en consortium qu\u2019\u00e0 ceux propos\u00e9s par des fournisseurs commerciaux.<\/p>\n<\/div>\n L\u2019argument le plus fort en opposition p\u00e8se lourd : un mod\u00e8le financ\u00e9 publiquement, sous licence permissive, issu d\u2019un large consortium europ\u00e9en repr\u00e9sente d\u00e9j\u00e0 un progr\u00e8s par rapport aux alternatives propri\u00e9taires. Il r\u00e9duit la d\u00e9pendance \u00e0 l\u2019\u00e9gard de fournisseurs \u00e9trangers uniques et ouvre la voie \u00e0 des adaptations internes. Cet argument reste valable tant que l\u2019alternative offre effectivement moins de contr\u00f4le. Il oublie simplement un point : la disponibilit\u00e9 formelle d\u2019un mod\u00e8le ne garantit pas un contr\u00f4le op\u00e9rationnel au sein de sa propre organisation. C\u2019est pr\u00e9cis\u00e9ment ce contr\u00f4le que le DSI doit instaurer.<\/p>\n Dans les 30 premiers jours, une \u00e9quipe compos\u00e9e de repr\u00e9sentants des services informatique, juridique, conformit\u00e9 et d’un expert m\u00e9tier \u00e9tablit un catalogue de crit\u00e8res. Celui-ci d\u00e9finit les exigences applicables en mati\u00e8re de tra\u00e7abilit\u00e9 des donn\u00e9es, de processus de mise \u00e0 jour, de voies d’escalade et de preuves au sein de l’organisation. Le CIO (Chief Information Officer) en assure le parrainage, tandis que la direction op\u00e9rationnelle revient au RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d’Information).<\/p>\n Durant les 30 jours suivants, une matrice de d\u00e9pendances des d\u00e9ploiements d’IA en cours est \u00e9labor\u00e9e. Pour chaque syst\u00e8me, elle identifie le propri\u00e9taire fonctionnel, le niveau d’escalade en cas d’incident et l’existence ou l’absence de preuves concernant l’origine des donn\u00e9es et leur contr\u00f4le. Cette matrice r\u00e9v\u00e8le les lacunes actuelles, notamment l’absence de d\u00e9signation de responsables en cas de doute.<\/p>\n Lors des 30 derniers jours, les premi\u00e8res mesures contractuelles et organisationnelles sont d\u00e9finies pour un sc\u00e9nario pilote s\u00e9lectionn\u00e9. Cela inclut notamment la clarification des responsabilit\u00e9s en cas de changement de mod\u00e8le ou de faille de s\u00e9curit\u00e9, avec une capacit\u00e9 d’action garantie sous 48 heures, ainsi que les modalit\u00e9s de preuve de cette r\u00e9activit\u00e9.<\/p>\n Dans un mod\u00e8le issu d\u2019un consortium de recherche, les questions de responsabilit\u00e9 sont g\u00e9n\u00e9ralement moins clairement d\u00e9finies que chez les prestataires commerciaux. L\u2019organisation doit \u00e9valuer dans quelle mesure elle engage sa propre responsabilit\u00e9 en cas de dommages li\u00e9s au comportement du mod\u00e8le. Les contrats conclus avec les diff\u00e9rents partenaires du consortium n\u2019offrent qu\u2019une protection limit\u00e9e, car la responsabilit\u00e9 est r\u00e9partie entre plusieurs institutions.<\/p>\n<\/details>\n Ce processus commence par la d\u00e9finition des r\u00f4les et des processus d\u00e9cisionnels, et peut s\u2019\u00e9tendre, selon la situation de d\u00e9part, sur plusieurs mois, voire jusqu\u2019\u00e0 un an. L\u2019int\u00e9gration technique, elle, est plus rapide. La capacit\u00e9 \u00e0 \u00e9valuer, surveiller et, si n\u00e9cessaire, remplacer un mod\u00e8le de mani\u00e8re autonome exige un d\u00e9veloppement cibl\u00e9 des comp\u00e9tences et une exp\u00e9rience pratique.<\/p>\n<\/details>\n Une phase b\u00eata ferm\u00e9e indique que le mod\u00e8le n\u2019est pas encore lib\u00e9r\u00e9 pour une utilisation g\u00e9n\u00e9rale et que son architecture, son comportement ainsi que son support peuvent encore \u00e9voluer. Les entreprises qui \u00e9valuent le mod\u00e8le \u00e0 ce stade doivent clarifier quelles garanties sont pr\u00e9vues pour son d\u00e9veloppement futur et son support apr\u00e8s la phase b\u00eata. Sans ces engagements, l\u2019utilisation en production reste associ\u00e9e \u00e0 un niveau d\u2019incertitude \u00e9lev\u00e9.<\/p>\n<\/details>\n Autres articles du r\u00e9seau MBF Media<\/p>\n\n
La gouvernance prime sur le choix du mod\u00e8le<\/h2>\n
Clarifier les responsabilit\u00e9s d’exploitation et d’int\u00e9gration<\/h2>\n
Construire une capacit\u00e9 de gouvernance interne<\/h2>\n
Obligation de preuve et auditabilit\u00e9 dans la pratique<\/h2>\n
La position oppos\u00e9e<\/h2>\n
L’impulsion d’action sur 90 jours<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quels sont les risques de responsabilit\u00e9 li\u00e9s \u00e0 l\u2019utilisation d\u2019un mod\u00e8le consortial ?<\/strong><\/summary>\n
Combien de temps faut-il pour acqu\u00e9rir une capacit\u00e9 de gouvernance interne suffisante ?<\/strong><\/summary>\n
Que signifie la phase b\u00eata ferm\u00e9e pour une utilisation en production ?<\/strong><\/summary>\n