Introduction
Classer correctement un système d'intelligence artificielle est essentiel pour déterminer les mesures de conformité, de sécurité et de gouvernance. Cet article propose une méthode pratique et réplicable pour les équipes juridiques et techniques afin d'évaluer le risque, définir des contrôles appropriés et documenter les décisions de façon traçable.
Pourquoi classer un système d'IA
- Déterminer les obligations réglementaires et procédures nécessaires.
- Identifier les contrôles techniques et organisationnels pour atténuer les risques.
- Attribuer et tracer les responsabilités internes et les critères de révision.
- Fournir des preuves en cas d'audit, d'enquête ou d'incident.
Facteurs clés pour l'évaluation des risques
L'évaluation du risque d'IA nécessite une approche multi‑couches. Les facteurs suivants doivent être pris en compte :
- Finalité et contexte d'utilisation : quelle est la vocation du système ? Les secteurs sensibles (sécurité publique, santé, finance, infrastructures critiques) augmentent le profil de risque.
- Type d'impact : les décisions susceptibles de causer des préjudices physiques, économiques ou des atteintes aux droits fondamentaux sont à haut risque.
- Niveau d'autonomie : les systèmes entièrement automatiques sans supervision humaine accroissent le risque.
- Sensibilité des données : les données sensibles, biométriques ou relatives aux mineurs exigent des mesures renforcées.
- Probabilité et ampleur de l'exposition : combien de personnes sont concernées et quelle est la probabilité d'un résultat dommageable ?
- Opacité et explicabilité : moins un modèle est explicable, plus le risque de responsabilité incontrôlable est élevé.
- Robustesse technique et sécurité : vulnérabilité à la manipulation, attaques adversariales ou entrées malveillantes.
- Usage détourné : facilité de réutilisation du système à des fins nuisibles.
Méthode pratique étape par étape
- Collecte d'informations
- Identifier le propriétaire du système, l'équipe de développement, les parties prenantes et les utilisateurs finaux.
- Documenter les entrées (types et sources de données), les sorties attendues et les modes de diffusion.
- Analyse contextuelle préliminaire
- Évaluer le secteur d'utilisation, la sensibilité des données, le niveau d'automatisation et l'impact potentiel.
- Classification initiale
- Appliquer des catégories de risque (par ex. faible/minime, limité/transparence, élevé, inacceptable) en se basant sur les facteurs ci‑dessus.
- Classer comme élevé ou inacceptable si l'impact potentiel sur les droits ou la santé est grave.
- Évaluation quantitative et qualitative
- Estimer la probabilité et la gravité des scénarios identifiés ; utiliser des niveaux simples (faible/moyen/élevé).
- Documenter les scénarios pires et les mesures correctives prévues.
- Définition des mesures d'atténuation
- Mesures techniques : robustesse, tests, validation, contrôles d'accès, journalisation, surveillance en temps réel.
- Mesures organisationnelles : processus d'approbation, formation des opérateurs, affectation claire des responsabilités.
- Revue juridique et décision finale
- Impliquer la fonction juridique ou conformité pour valider la classification et le dispositif de contrôles.
- Consigner le résultat, les approbations et le planning d'audit périodique.
Modèle de registre interne (registre de classification)
Chaque système d'IA devrait disposer d'un registre minimal contenant :
- Identifiant du système et version
- Responsable (fonctions ou personne)
- Description synthétique et finalité
- Principales entrées et sources de données
- Sorties et utilisateurs finaux
- Catégorie de risque assignée et justification
- Scénarios de préjudice identifiés et évaluation probabilité/gravité
- Mesures techniques et organisationnelles mises en place
- Plan de surveillance et métriques de performance/dérive
- Vérifications prévues (tests pré‑déploiement et contrôles périodiques)
- Date de l'évaluation et signatures (responsable technique et conformité/juridique)
Rôles et responsabilités en gouvernance
- Propriétaire du système : responsabilité opérationnelle et point de contact principal.
- Équipe technique : mise en œuvre des contrôles, tests et surveillance.
- Juridique/conformité : évaluation du risque réglementaire et approbation des classifications.
- Délégué à la protection des données (le cas échéant) : support sur la protection des données et analyses d'impact.
- Responsable sécurité (CISO) : évaluation de la sécurité et de la résilience.
Exemples pratiques (abstraits)
- Outil de présélection pour le recrutement : risque élevé si l'outil utilise des données sensibles ou prend des décisions automatisées influant sur l'emploi.
- Chatbot d'information fournissant des réponses non contraignantes : risque limité mais soumis aux obligations de transparence sur l'usage d'IA.
- Reconnaissance faciale pour contrôle d'accès : risque élevé pour les droits fondamentaux et la vie privée ; nécessite une évaluation approfondie.
Checklist opérationnelle rapide
- Ai‑je documenté l'objectif, les entrées/sorties et les parties prenantes ?
- Ai‑je évalué l'impact et la probabilité des scénarios dommageables ?
- Ai‑je attribué une catégorie de risque et obtenu l'approbation juridique/conformité ?
- Ai‑je défini des contrôles techniques et des processus opérationnels pour réduire les risques ?
- Existe‑t‑il un plan de surveillance et un registre des révisions ?
Conclusion
La classification est un processus continu : le risque évolue avec le modèle, les données et les usages. Mettre en place des procédures internes claires, un registre à jour et des responsabilités assignées permet de démontrer une gestion diligente du risque. En cas d'évaluations complexes ou d'incertitudes juridiques, consulter un conseil juridique spécialisé.
