La conformité de l’IA expliquée : réglementations et mise en œuvre opérationnelle

La conformité de l’IA commence par une question d’une simplicité trompeuse : Pour ce modèle, cet assistant, ce système de notation ou ce processus automatisé, quelles sont les règles applicables et quelles preuves démontrent qu’elles ont été respectées ?

Il devient de plus en plus difficile de répondre à cette question à mesure que l’IA s’étend aux décisions de crédit, aux processus cliniques, à la sélection des candidats, à la détection des fraudes, au support client et aux outils de productivité interne. Un modèle peut s'appuyer sur des données d'entraînement issues d'un système, des dossiers clients provenant d'un autre, des sorties fournies par un prestataire de modèles de fondation et une étape de validation humaine gérée dans une application distincte. Chaque maillon de cette chaîne peut engendrer une obligation réglementaire, une exigence de politique interne ou une question d’audit à laquelle il faudra répondre ultérieurement.

Les programmes de conformité de l’IA offrent aux entreprises un moyen de gérer cette complexité avant qu’un audit ou l’analyse d’un incident ne les y contraigne. Ils associent les lois et les normes aux dispositifs de contrôle, lient ces dispositifs de contrôle aux preuves et maintiennent ces dernières à jour au gré de l'évolution des modèles, des données, des prestataires et des cas d'usage.

La conformité de l’IA est la discipline consistant à s’assurer que les systèmes d’IA, ainsi que le cycle de vie utilisé pour les développer et les exploiter, sont conformes aux lois, réglementations, normes sectorielles et politiques internes applicables. Elle englobe les contrôles qu’une entreprise met en œuvre pour prouver qu’un système d’IA a été conçu, testé, déployé, supervisé et examiné conformément à ses obligations réglementaires.

La conformité de l’IA est donc liée à plusieurs disciplines connexes, tout en s’en distinguant :

• La gouvernance de l’IA définit le modèle opérationnel : qui détient un cas d’usage d’IA, qui l’approuve, qui peut le suspendre et comment les décisions sont escaladées.
• L’éthique de l’IA définit les principes : équité, transparence, responsabilité, confidentialité, sécurité et supervision humaine.
• La gestion des risques liés à l’IA définit la méthodologie : comment l’entreprise identifie, mesure, hiérarchise et atténue les risques liés à l’IA.
• La conformité de l’IA apporte la preuve de cette conformité : quelles règles s’appliquent, quels contrôles y répondent et quelles preuves d’audit soutiennent l’attestation des contrôles.

Un programme de conformité de l'IA commence généralement par des éléments concrets plutôt que par des principes abstraits : un inventaire de l'IA, une fiche descriptive de modèle (model card), un résumé des données d'entraînement, un propriétaire de système, une politique d'accès, un tableau de bord de supervision et un registre des approbations. Ces éléments permettent de vérifier si un système a été correctement classé, si l'IA à haut risque a fait l'objet d'un examen approprié, si la supervision humaine est effective et si la supervision post-déploiement est réellement opérationnelle.

Les entreprises sont généralement confrontées à un environnement réglementaire complexe et multicouche : lois générales sur l'IA, règles de confidentialité, directives de supervision sectorielles, exigences de sécurité des produits, droit du travail, règles de protection des consommateurs et politiques de gestion des risques internes.

Règlement européen sur l'IA

Le règlement européen sur l’IA (EU AI Act) est largement considéré comme l’un des cadres réglementaires spécifiques à l’IA les plus complets actuellement en vigueur. Il repose sur une structure de classification des risques qui distingue les pratiques d’IA interdites, les systèmes d’IA à haut risque, les systèmes à risque limité, les modèles d’IA à usage général et les utilisations à faible risque. Ce règlement a également une portée extraterritoriale, ce qui signifie qu’il peut s’appliquer à des fournisseurs et déployeurs situés en dehors de l’UE dès lors que les systèmes d’IA ou leurs sorties sont mis sur le marché de l’UE ou utilisés au sein de celui-ci.

Le règlement s’applique par étapes : les interdictions et les exigences en matière de compétences en IA débutent en février 2025, les obligations relatives à l’IA à usage général en août 2025, et le déploiement global se poursuivra jusqu’au 2 août 2027.

Pour les systèmes d’IA à haut risque, la conformité peut exiger une gestion des risques, une gouvernance des données, une documentation technique, la journalisation, la transparence, une supervision humaine, de la précision, de la robustesse, de la cybersécurité et, dans certains cas, une évaluation de la conformité par un organisme notifié.

Les entreprises qui conçoivent ou fournissent des systèmes d’IA à haut risque doivent généralement constituer un dossier technique démontrant comment le système a été conçu, testé et documenté. Les entreprises qui utilisent ces systèmes ont quant à elles besoin de preuves démontrant comment le système est déployé, qui examine ses résultats, comment il est surveillé et comment les incidents sont escaladés.

RGPD

Le RGPD s’applique déjà à de nombreux systèmes d’IA qui traitent des données personnelles, même lorsque ces systèmes ne sont pas régis par une loi spécifique à l’IA. L’article 22 traite de certains droits relatifs à la prise de décision automatisée, y compris le profilage, lorsque les décisions produisent des effets juridiques ou similairement significatifs. L’article 35 impose la réalisation d’une analyse d’impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes, ce qui peut inclure le profilage à grande échelle, le traitement de données sensibles ou l’utilisation de technologies innovantes.

En pratique, la conformité au RGPD va souvent de pair avec la conformité spécifique à l’IA. Une banque utilisant l'IA pour l'octroi de crédits devra évaluer ce cas d'usage au regard des dispositions relatives au haut risque du règlement européen sur l'IA, tout en réalisant une AIPD, en documentant la base légale, en appliquant des dispositifs de contrôle d'accès et en prouvant que les données personnelles sont traitées conformément aux exigences de limitation des finalités, de minimisation et de conservation.

Règles fédérales et étatiques aux États-Unis

Aux États-unis, le paysage de la conformité de l’IA aux États-Unis reste un ensemble fragmenté de lois et de réglementations. Au niveau fédéral, la politique a évolué depuis le décret de 2023 sur une IA sûre, sécurisée et digne de confiance. En janvier 2025, le décret présidentiel 14179, intitulé « Removing Barriers to American Leadership in Artificial Intelligence », a révoqué certaines politiques antérieures en matière d’IA et a ordonné à l’administration de réexaminer et de réviser les mesures en contradiction avec ses objectifs de politique publique dans ce domaine.

Cette réorientation fédérale n’a cependant pas allégé la pression en matière de conformité. Les entreprises doivent en effet continuer à gérer les directives des agences fédérales, les activités d'application de la loi et les exigences au niveau des États. Le cadre de gestion des risques liés à l’IA du NIST (AI RMF) reste un cadre volontaire très utilisé pour gérer les risques liés à l’IA, et les régulateurs sectoriels continuent d’appliquer les réglementations existantes aux systèmes dotés d’IA.

Au niveau des États et des collectivités locales, plusieurs réglementations sont devenues des points de référence importants :

• Loi sur l’IA du Colorado / ADMT : La loi sur l’IA de 2024 du Colorado a été abrogée et remplacée par la loi SB26-189, promulguée le 14 mai 2026. Cette nouvelle loi limite le cadre aux technologies de prise de décision automatisée (ADMT) utilisées pour influencer de manière significative des décisions importantes, tout en continuant à traiter les préoccupations liées aux biais algorithmiques par le biais d’obligations de transparence, de notification, de correction, de recours et d’examen humain. Les obligations visées devraient généralement entrer en vigueur le 1er janvier 2027, des détails de mise en œuvre supplémentaires devant être apportés par la réglementation du procureur général du Colorado.
• Loi locale 144 de New York : La ville de New York réglemente les outils automatisés d’aide à la décision en matière d’emploi, imposant notamment des audits de biais et des obligations de notification pour les usages liés à l’emploi.
• Règles californiennes relatives à la prise de décision automatisée : La Californie a finalisé les réglementations de la CCPA concernant les technologies de prise de décision automatisée, les évaluations des risques et les audits de cybersécurité. Ces réglementations entreront en vigueur le 1er janvier 2026, avec un calendrier de conformité progressif pour certaines exigences.

Règles d’IA spécifiques à chaque secteur

La conformité de l’IA dépend également fortement du contexte sectoriel. Dans les secteurs réglementés, les systèmes d’IA sont souvent évalués à travers les cadres de supervision existants plutôt que par des lois dédiées à l’IA.

• Dans le secteur bancaire, les directives sur la gestion des risques liés aux modèles structurent depuis longtemps la manière dont les institutions valident les modèles, documentent les hypothèses et maintiennent la gouvernance. Les directives de la Réserve fédérale sur le risque lié aux modèles mettent l'accent sur le développement, la mise en œuvre, l'utilisation, la validation, les dispositifs de contrôle, la conformité et la supervision par le conseil d'administration et la direction générale. En 2026, les agences bancaires fédérales ont également publié des directives révisées sur la gestion des risques liés aux modèles, privilégiant une approche basée sur le risque.
• Dans le secteur de la santé, la loi HIPAA peut s’appliquer lorsque des systèmes d’IA traitent des informations de santé protégées, tandis que la supervision de la FDA peut s’imposer lorsque l’IA est intégrée à un logiciel en tant que dispositif médical (SaMD) ou à un dispositif médical doté d’IA. La FDA tient à jour une liste des dispositifs médicaux dotés d’IA dont la commercialisation est autorisée aux États-Unis, illustrant le rôle croissant de l’IA dans les produits médicaux réglementés.
• Dans le secteur des assurances, le bulletin modèle de la National Association of Insurance Commissioners définit les attentes concernant la manière dont les assureurs gouvernent les systèmes d’IA, et décrit les informations que les régulateurs peuvent demander lors d’une enquête ou d’un examen.
• Dans les services financiers et les publications des sociétés cotées, la SEC a clairement indiqué que les affirmations relatives à l’IA doivent être exactes et vérifiables. En 2024, la SEC a sanctionné deux conseillers en investissement pour avoir fait des déclarations fausses et trompeuses sur leur utilisation de l’IA, rappelant ainsi que la conformité de l’IA englobe également le marketing, la communication financière et les déclarations destinées aux clients.

Directives internationales sur l’IA

En dehors de l’UE et des États-Unis, les entreprises doivent également prendre en compte l’approche britannique de réglementation de l’IA basée sur des principes, les mesures de la Chine sur l’IA générative et le Model AI Governance Framework de Singapour. Bien que ces régimes diffèrent par leur force juridique, leur portée et leur maturité d’application, ils tendent à converger vers des attentes communes : classification des risques, responsabilité, transparence, supervision humaine, gouvernance des données, supervision et documentation.

Les instruments non contraignants ont également leur importance, car ils inspirent souvent les lois, les normes et les exigences d’achat. Les Principes de l’OCDE sur l’IA encouragent la sécurité de l'IA par le biais d’une IA digne de confiance qui respecte les droits de l’homme et les valeurs démocratiques, tandis que la Recommandation de l’UNESCO sur l’éthique de l’intelligence artificielle s’applique aux 194 États membres de l’UNESCO et met l’accent sur les droits de l’homme, l’équité, la transparence et la supervision humaine.

Les lois définissent les obligations, mais les cadres aident les entreprises à traduire ces obligations en pratiques opérationnelles reproductibles. Ils offrent aux équipes chargées de la conformité, du juridique, des données, de la sécurité et de l'IA un langage commun pour classer les systèmes, attribuer des dispositifs de contrôle, collecter des preuves et attester de l'efficacité des dispositifs de contrôle.

NIST AI RMF

Le NIST AI Risk Management Framework est un cadre volontaire conçu pour gérer les risques liés à l’IA pour les individus, les organisations et la société. Le NIST structure ce framework autour de quatre fonctions clés : Gouverner, Cartographier, Mesurer et Gérer.

Pour les équipes de conformité, le NIST AI RMF est précieux car il fournit une structure de gestion des risques qui peut être directement associée aux obligations légales et internes.

• Gouverner définit les rôles, les politiques et la responsabilité.
• Cartographier cerne le contexte et l’utilisation prévue.
• Mesurer évalue les risques et les performances du système.
• Gérer hiérarchise les réponses, la supervision et les mesures correctives.

ISO/IEC 42001

La norme ISO/IEC 42001 est une norme certifiable relative aux systèmes de management de l’IA. L’ISO la présente comme la première norme mondiale de système de management de l’IA, conçue pour aider les entreprises à gérer les risques et opportunités liés à l’IA grâce à un système structuré de politiques, de processus, de rôles et d’amélioration continue.

Pour la conformité de l'IA, la norme ISO/IEC 42001 est particulièrement utile car elle prend en charge les preuves formelles du système de gestion : périmètre, gouvernance, évaluation des risques, évaluation d'impact, dispositifs de contrôle du cycle de vie, gestion des fournisseurs, supervision, audit interne et revue de direction. Les entreprises qui recherchent un cadre certifiable associent souvent la norme ISO/IEC 42001 à des directives de gestion des risques ou sectorielles plus détaillées.

ISO/IEC 23894

La norme ISO/IEC 23894 fournit des recommandations pour la gestion des risques liés à l’IA. Elle aide les organisations qui développent, produisent, déploient ou utilisent des systèmes d’IA à intégrer la gestion des risques spécifiques à l’IA dans leurs activités et fonctions.

Contrairement à la norme ISO/IEC 42001, qui spécifie les exigences d’un système de management de l’IA, la norme ISO/IEC 23894 est un guide d’orientation. Elle aide les équipes à définir les sources de risques, à analyser les impacts potentiels et à structurer le traitement des risques tout au long du cycle de vie de l’IA.

Série IEEE 7000

La série de normes IEEE 7000 se concentre sur la conception éthique et responsable des technologies. Dans le cadre d’un programme de conformité de l’IA, ces normes aident à structurer des sujets tels que la transparence, les biais, la responsabilité, la confidentialité et les valeurs humaines. Elles ne constituent généralement pas la seule base de conformité, mais elles aident à traduire des engagements éthiques en pratiques de conception et de documentation.

OCDE et UNESCO

Les Principes de l'OCDE sur l'IA et la Recommandation de l'UNESCO ne sont pas contraignants, mais ils influencent les lois, les politiques et les attentes des régulateurs. Ils servent de références normatives lorsque les entreprises doivent justifier pourquoi leurs politiques internes d'IA mettent l'accent sur l'équité, la transparence, la responsabilité, la supervision humaine et le respect des droits, même en l'absence de loi contraignante spécifique.

En savoir plus sur l’IA responsable

Les dispositifs de contrôle de la conformité de l'IA offrent aux entreprises un moyen d'intégrer les cadres et les pratiques de conformité dans leurs processus et systèmes quotidiens. Une politique peut stipuler que l'IA à haut risque requiert une supervision humaine, mais un dispositif de contrôle précise qui examine le système, où cette approbation est enregistrée, comment l'examinateur accède aux sorties pertinentes du modèle et ce qui se passe si la supervision révèle une dérive, un biais ou un comportement dangereux.

Dispositifs de contrôle de la gouvernance

Les dispositifs de contrôle de la gouvernance définissent qui est responsable des systèmes d'IA et comment les décisions sont prises. Ils comprennent généralement une supervision par la direction, une politique d’IA, des critères de classification des risques, des attributions de rôles et des processus d’escalade.

Un modèle de crédit à haut risque, par exemple, doit avoir un propriétaire de modèle, un propriétaire métier, un propriétaire technique et un réviseur de conformité désignés. L'entreprise doit être en mesure de démontrer qui a approuvé le cas d'usage, quel niveau de risque a été attribué, quel ensemble de dispositifs de contrôle a été appliqué et qui peut exiger une correction, une suspension ou un retour à une version antérieure.

Les contrôles de gouvernance courants comprennent :

• La politique d’IA et les normes d’utilisation acceptable
• La propriété de l’inventaire de l’IA
• La méthodologie de classification des risques
• L’attribution des rôles de responsable de l’IA, de propriétaire de modèle et de propriétaire de données
• L’approbation du comité de révision ou du conseil de gouvernance
• La gestion des exceptions avec dates d’expiration
• L’attestation des contrôles et l’examen par l’audit interne

Contrôles de documentation

Les dispositifs de contrôle de la documentation créent l'historique écrit que les régulateurs, les auditeurs, les clients et les réviseurs internes peuvent inspecter. Dans le domaine de la conformité de l’IA, la documentation n’est pas une tâche ponctuelle réalisée lors du lancement ; elle doit suivre le système à mesure que les données évoluent, que les versions des modèles sont mises à jour, que les prestataires changent et que les cas d’usage s’étendent.

Les éléments de documentation habituels comprennent les fiches descriptives de modèles, les fiches de données, les résumés des données d'entraînement, les résultats d'évaluation, la documentation des systèmes, les diagrammes d'architecture et les dossiers techniques. Dans le cadre du règlement européen sur l'IA, l'annexe IV décrit les exigences en matière de documentation technique pour les systèmes d'IA à haut risque, qui peuvent inclure des informations sur la finalité, la conception, le développement, les données, la supervision, la validation et la gestion des risques du système.

Pour les systèmes d’IA générative, la documentation peut également devoir couvrir les prompts, les sources de récupération, les filtres de sécurité, l'examen humain, les utilisations interdites et les attestations des prestataires. L'objectif n'est pas de produire davantage de documents pour le simple fait de le faire, mais de conserver le contexte nécessaire pour comprendre ce que fait le système, comment il a été testé et quelles preuves étayent son utilisation approuvée.

Contrôles d’évaluation

Les contrôles d’évaluation permettent de vérifier si un système d’IA est adapté à l’usage auquel il est destiné. Ces dispositifs de contrôle peuvent comprendre des évaluations d'impact de l'IA, des AIPD, des audits de biais, des rapports de red-teaming, des tests adversariaux, des examens de confidentialité, des examens de sécurité de l'IA et des tests avant déploiement.

Un outil de présélection des candidats, par exemple, peut nécessiter un audit de biais et une notification aux candidats en vertu d'une loi, une AIPD en vertu d'une autre, et une évaluation interne portant sur la pertinence pour le poste, l'explicabilité, la documentation du prestataire et l'examen humain. Un système d'IA clinique peut nécessiter une validation par rapport à l'utilisation prévue, un examen de la sécurité des patients et une supervision des évolutions de performance entre les populations.

Les dispositifs de contrôle de l'évaluation doivent produire des preuves durables : résultats de tests, notes d'évaluation, plans de remédiation, registres d'approbation et tout risque non résolu accepté par les propriétaires responsables.

Dispositifs de contrôle opérationnels

Les dispositifs de contrôle opérationnels régissent le comportement des systèmes d'IA après leur déploiement. Ils comprennent la gestion des accès, les journaux d’audit, la supervision, le signalement des incidents, la supervision humaine et la supervision post-commercialisation.

Ces dispositifs de contrôle sont essentiels car la conformité de l’IA ne s’arrête pas au moment de la mise en production d’un modèle. Un modèle peut dériver, un modèle de prompt peut changer, un fournisseur de modèles de fondation peut mettre à jour un modèle sous-jacent, un pipeline de données peut commencer à injecter des valeurs différentes ou une politique d’accès peut exposer des champs sensibles à un groupe d’utilisateurs plus large. La conformité repose sur la capacité à détecter ces changements et à conserver les preuves nécessaires pour les expliquer.

Les dispositifs de contrôles opérationnels courants comprennent :

• Le contrôle d’accès basé sur les rôles (RBAC)
• Les journaux d’audit pour l’activité des données, des modèles et des applications
• La supervision des performances et de la dérive des modèles
• La journalisation des prompts et des réponses, le cas échéant
• L’examen humain dans la boucle (human-in-the-loop) pour les décisions importantes
• Les procédures de signalement et d’escalade des incidents
• La supervision post-commercialisation ou post-déploiement
• L’attestation périodique des contrôles

Contrôles tiers

De nombreux systèmes d’IA dépendent de prestataires, de fournisseurs de modèles de fondation, d’outils SaaS, de fournisseurs de données ou de fonctionnalités d’IA intégrées que l’entreprise n’a pas développés elle-même. Les contrôles tiers aident les équipes à évaluer ces dépendances avant le déploiement et à les surveiller au fil du temps.

L'audit préalable des prestataires doit analyser l'usage prévu, le traitement des données, la documentation des modèles, les dispositifs de contrôle de sécurité, les sous-traitants, les politiques de conservation, les engagements relatifs aux données d'entraînement, les conditions de notification des incidents et toutes les attestations disponibles. Pour les modèles de fondation, les entreprises peuvent également demander la documentation du fournisseur, les évaluations de sécurité et les informations étayant une nomenclature de l'IA (AIBOM), qui répertorie les modèles, les sources de données, les bibliothèques, les API et les prestataires impliqués dans un système d'IA.

La conformité de l’IA n’est gérable que si les équipes mettent en œuvre la traçabilité : chaque système d'IA correspond à un niveau de risque, chaque niveau de risque correspond à des obligations, chaque obligation correspond à des dispositifs de contrôle et chaque dispositif de contrôle correspond à des preuves.

Inventorier chaque système d’IA

Un inventaire de l’IA doit inclure les modèles de ML traditionnels, les applications d’IA générative, les assistants internes, l’IA intégrée aux plateformes SaaS et les fonctionnalités d’IA fournies par des prestataires. Les équipes ne peuvent pas classifier, superviser ou attester des systèmes qu’elles n’ont pas cartographiés.

Un inventaire d’IA efficace enregistre généralement le nom du système, son propriétaire, sa finalité métier, ses utilisateurs, ses sources de données, le type de modèle, les dépendances vis-à-vis des prestataires, les juridictions concernées, le niveau de risque, les populations affectées, le statut d’approbation et la fréquence d’examen. Pour l’IA intégrée, l’inventaire doit également indiquer quelle fonctionnalité SaaS utilise l’IA, quelles données elle traite et si le prestataire utilise les données clients pour l’entraînement ou l’amélioration de ses modèles.

Classer les systèmes par niveau de risque

Chaque système doit être classé selon les critères légaux et internes applicables. Dans le cadre du règlement européen sur l’IA, cela consiste à déterminer si un cas d’usage est interdit, à haut risque, à risque limité ou à faible risque. Selon la politique interne, cela peut signifier classer les systèmes en fonction de leur impact potentiel sur les droits, la sécurité, les résultats financiers, l’emploi, la santé, l’accès aux services ou l’exposition réglementaire.

La classification des risques doit reposer sur des preuves. Un chatbot répondant à des questions de politique générale ne crée pas les mêmes obligations qu’un modèle recommandant un traitement médical ou classant des candidats à un emploi. Le dossier de classification doit expliquer le raisonnement suivi, et non se contenter d’attribuer une étiquette.

Associer les obligations aux contrôles et aux preuves

Une fois que les équipes ont identifié les obligations applicables, elles doivent établir une cartographie des dispositifs de contrôle. Pour chaque obligation, cette cartographie doit identifier le dispositif de contrôle concerné, le propriétaire du dispositif de contrôle, la source de la preuve et la fréquence d'examen.

Par exemple :

Automatiser la collecte des preuves

La collecte manuelle des preuves devient impossible à gérer à mesure que le nombre de systèmes d’IA augmente. Les systèmes à haut risque peuvent nécessiter des examens trimestriels, des réévaluations annuelles, des rapports d'incidents et une supervision continue ; même les systèmes à risque limité peuvent requérir des avis de transparence, des registres d'accès et des mises à jour de documentation.

L'automatisation des preuves simplifie cette tâche en capturant les signaux directement depuis les systèmes où l'IA est active : historique des accès, traçabilité, métadonnées du registre de modèles (Model Registry), tableaux de bord de supervision, processus d'approbation, systèmes d'incidents et moteurs de politiques. L’objectif est de réduire l’écart entre le comportement réel du système et le registre de conformité. Lorsqu'un auditeur demande à quelles données un modèle a accédé, qui a modifié une politique ou quelle version du modèle était déployée pendant la fenêtre d'un incident, les preuves doivent déjà exister.

Établir un rythme d’examen

Les systèmes d’IA doivent être examinés à une fréquence qui reflète leur niveau de risque. Les systèmes à haut risque justifient souvent un examen trimestriel, en particulier lorsqu’ils ont un impact sur les droits, la sécurité, l’éligibilité, la tarification, l’emploi ou des décisions réglementées. Les systèmes à risque limité peuvent être examinés annuellement, sauf modification majeure.

Les examens doivent évaluer si la finalité du système, ses données, son modèle, son prestataire, son groupe d’utilisateurs, sa juridiction ou son profil de risque ont changé. Un cas d’usage qui a débuté comme un assistant de productivité interne peut devenir un outil de support client ; un modèle entraîné pour une région peut être réutilisé dans une autre ; une fonctionnalité SaaS peut intégrer de l’IA générative sans passer par un cycle d’achat complet. Un rythme d’examen régulier permet de détecter ces changements avant que le registre de conformité ne devienne obsolète.

La conformité de l'IA repose sur des preuves : quelles données ont été utilisées, qui y a accédé, comment elles ont circulé, quelle version du modèle a été déployée, quelles politiques ont été appliquées et quels dispositifs de contrôle étaient actifs au moment de l'examen.

Snowflake Horizon Catalog prend en charge les processus de gouvernance, de découverte et de conformité en mettant en lumière des éléments de contexte tels que l’historique des accès, la traçabilité, la classification et l’application des politiques. La vue ACCESS_HISTORY de Snowflake fournit un historique des données consultées, du moment de l'accès et de la circulation des données depuis les objets sources vers les objets cibles, ce qui aide les équipes à produire des preuves d'audit pour les dispositifs de contrôle d'accès, de traçabilité et d'utilisation des données.

Pour les systèmes de ML, Snowflake ML Model Registry stocke et gère les versions, les métriques et les métadonnées des modèles, prend en charge la gestion du cycle de vie des modèles et permet de surveiller les performances et la dérive des modèles grâce à Snowflake ML Observability. Il prend également en charge le contrôle d’accès basé sur les rôles (RBAC) pour l’accès aux modèles, aidant ainsi les équipes à lier la gouvernance des modèles aux mêmes types de dispositifs de contrôle que ceux utilisés pour l’accès aux données.

Pour les cas d’usage d’IA générative, Cortex Guard est conçu pour aider à identifier et filtrer les réponses potentiellement dangereuses ou inappropriées avant que le résultat du modèle ne soit renvoyé à l’application. Selon l’architecture, les équipes peuvent associer ces protections à des journaux de prompts, de réponses, d’accès et d’applications afin de générer des pistes d’audit pour l’IA générative.

Snowflake Compliance Center permet aux clients d’accéder à des ressources de sécurité et de conformité, notamment des certifications et des rapports qui facilitent l’audit préalable des prestataires et les audits des clients ou des régulateurs. Snowflake a également obtenu la certification ISO/IEC 42001 pour son système de management de l’IA, soumis à des audits de supervision réguliers, ce qui illustre concrètement comment organiser les pratiques de gouvernance, de gestion des risques et de conformité de l’IA selon une norme de système de management certifiable.

Ensemble, ces fonctionnalités aident les entreprises à associer les preuves de conformité aux systèmes qui les génèrent : chemins de traçabilité, journaux d’accès, métadonnées de modèles, métriques d’évaluation, enregistrements d’application des politiques et éléments de dispositifs de contrôle. Cela ne remplace pas l’examen juridique, la classification des risques ou la responsabilité humaine, mais cela réduit considérablement le travail manuel requis pour prouver l’efficacité des dispositifs de contrôle d’IA.

La conformité de l’IA est plus facile à prouver lorsqu’elle est intégrée dès le départ au cycle de vie. Un système d’IA doit être inscrit à l’inventaire dès que le cas d’usage est proposé, recevoir un niveau de risque avant le début du développement, faire l’objet d’une documentation tout au long des phases de test et de déploiement, et conserver ses preuves au gré de l’évolution des utilisateurs, des données, des modèles et des prestataires.

Ce modèle opérationnel est crucial car les systèmes d’IA sont en constante évolution. Les équipes de conformité ne peuvent gérer cette dynamique que si elles sont capables de tracer le système depuis l’obligation jusqu’au contrôle, puis jusqu’à la preuve.

Les entreprises qui maîtriseront le mieux la conformité de l’IA ne seront pas celles qui disposeront des documents de politique les plus volumineux. Ce seront celles capables de répondre rapidement à des questions précises, telles que : quels systèmes d’IA sont utilisés, lesquels présentent un risque élevé, quelles données ils touchent, quels dispositifs de contrôle s’appliquent, quand ils ont été examinés pour la dernière fois et quelles preuves démontrent leur conformité.