Partie 3 — Atténuer par catégorie
Que faire face à chacun des sept types de risque
L’atténuation n’est pas générique. Chaque catégorie échoue pour sa propre raison, chacune a donc ses propres contrôles — et appliquer le mauvais, c’est ainsi que des projets finissent par gérer soigneusement le risque qui n’allait pas les toucher.
Stratégique et business case
Liez le projet à un seul résultat business mesurable avant de le financer. Nommez un sponsor unique redevable. Acceptez de tuer le projet ou d’en changer l’orientation dès le premier jalon si le business case ne tient pas, parce que plus tôt vous arrêtez, moins cela coûte cher.
Données
Lancez un audit de préparation des données avant que la construction ne démarre. Désignez un responsable des données par source. Documentez la traçabilité, et la base de consentement pour toute donnée personnelle que le projet utilise.
Technique et modèle
Exigez une revue humaine dans la boucle pour les décisions à fort enjeu tant que la précision n’est pas prouvée. Mettez en place une supervision de la dérive et un plan de retour arrière avant la mise en service. Évitez l’enfermement chez un fournisseur unique sur l’infrastructure de modèle centrale quand c’est possible.
Gouvernance et conformité
Cartographiez le projet au regard des niveaux de risque de l’EU AI Act et du RGPD tôt, pas pendant un audit. Tenez un journal des décisions — qui a approuvé quoi, et pourquoi. Désignez un responsable redevable pour chaque modèle en production, pas seulement pour le projet. C’est là que la Série de playbooks gouvernance de l’IA fait le travail plus approfondi.
Organisationnel et changement
Budgétez la gestion du changement comme un chantier à part entière, pas comme une réflexion de dernière minute greffée au déploiement. Impliquez les utilisateurs finaux dans la conception, pas seulement dans les tests. Redéfinissez les rôles et communiquez-les avant la mise en service, pas après.
Fournisseurs et tiers
Négociez les clauses d’utilisation des données et de sortie avant de signer. Gardez un fournisseur de repli ou une option interne pour tout ce qui est critique. Évaluez la posture d’un fournisseur en matière de sécurité et de sûreté de l’IA, pas seulement son prix.
Éthique et réputation
Testez les résultats biaisés ou incohérents selon les segments d’utilisateurs avant le lancement. Publiez une politique interne simple d’usage de l’IA. Prévoyez un plan de réponse préapprouvé pour une défaillance visible de l’IA, afin que la première conversation à ce sujet ne soit pas improvisée en public.
Les contrôles qui comptent le plus sont souvent ceux que personne ne détient encore. La partie 4 les attribue.