Le problème de gouvernance des données liées à l’IA que les responsables des opérations ne peuvent ignorer
Demandez à cinq personnes de définir la « gouvernance des données » et vous obtiendrez cinq réponses différentes. Tim Fisher, vice-président de l’IA chez DPM, n’en est pas surpris. « Je ne sais pas s’il existe vraiment une définition établie que toutes les entreprises [utilisent] », dit-il. « Pour certains, cela signifie que l’équipe juridique leur dit ce qu’ils peuvent et ne peuvent pas faire, tandis que dans d’autres secteurs de l’organisation, cela signifie des choses très différentes. »
Pour les besoins de cet article, nous l’utilisons dans le sens que Fisher lui donne lorsqu’on lui demande de la définir précisément : la couche réglementaire et juridique qui détermine qui peut accéder aux données, avec quel consentement et sous quelles règles — et non la question de savoir si les données elles-mêmes sont exactes, à jour ou bien organisées. Cette deuxième question est bien réelle, mais elle relève d’une discipline différente, avec des solutions différentes ; nous la traitons séparément. Cet article porte sur la question réglementaire et sur les raisons pour lesquelles elle ne peut pas attendre.
Où se situe réellement le terme : à l’intersection du juridique et des opérations
Lorsque Fisher précise la définition, il la situe à un endroit précis de l’organigramme. « Je conçois davantage la gouvernance des données autour des politiques et des principes », explique-t-il — et dans une grande entreprise, il la localise précisément : « En quelque sorte, à l’intersection du diagramme de Venn entre le juridique et les opérations de données. »
Déverrouillez gratuitement
Créez un compte gratuit pour terminer la lecture de cet article et rejoindre une communauté de leaders innovants qui accèdent à des outils, des méthodes et des idées pour prospérer à l’ère de l’IA.
Have an account? Log In
Je conçois davantage la gouvernance des données autour des politiques et des principes. En quelque sorte, à l’intersection du diagramme de Venn entre le juridique et les opérations de données.
Cette intersection n’a rien d’abstrait. Fisher évoque une raison bien plus ancienne et très concrète pour laquelle les entreprises mettent en place ces structures : le droit des valeurs mobilières. « Aux États-Unis, la Commission américaine des valeurs mobilières et des changes fixe des règles très strictes sur ce qui peut ou ne peut pas être dit ou partagé, pour des raisons très évidentes, liées aux délits d’initiés et à ce genre de choses », explique-t-il.
« C’est donc une raison pour une entreprise de mettre en place une gouvernance des données. » Il relie directement cette question au stade de croissance de l’entreprise — le passage du statut privé au statut public est souvent le moment où la gouvernance cesse d’être facultative, lorsque des consultants externes sont engagés spécifiquement pour mettre en place les structures qu’une société cotée est légalement tenue d’avoir.
C’est le point sur lequel il vaut la peine de s’arrêter avant toute autre chose : la gouvernance existait comme exigence juridique stricte bien avant l’arrivée de l’IA. Ce qui a changé, c’est la vitesse et l’étendue des risques — et c’est ce qui rend la situation urgente pour toute personne qui dirige les opérations aujourd’hui.
Pourquoi l’IA rend cette question plus urgente pour les responsables des opérations
Les entreprises ont toujours détenu des données qu’elles n’étaient pas censées partager de manière imprudente. Ce qui est nouveau, c’est la facilité avec laquelle il est désormais possible de les partager sans que personne ne prenne cette décision. Fisher donne l’exemple le plus parlant d’un réglage devant lequel la plupart des employés sont passés sans le remarquer : « Le petit bouton qu’ils n’ont jamais vu, enfoui cinq niveaux plus bas dans la page des paramètres, qui donne à OpenAI ou Anthropic accès à toutes ces données pour entraîner leurs algorithmes », explique-t-il. Personne n’a besoin d’avoir l’intention de divulguer quoi que ce soit. Il suffit que le réglage par défaut ne soit pas modifié.
C’est le mécanisme à l’origine de la plupart des défaillances de gouvernance à l’ère de l’IA : des équipes « jettent » des informations propriétaires ou liées aux ressources humaines dans des LLM « sans comprendre » ce à quoi elles ont réellement consenti, parce que personne n’a mis en place la couche réglementaire qui aurait pu le signaler avant que cela ne se produise. Fisher est catégorique : il ne s’agit pas d’une erreur rare — « nous avons tous entendu des histoires terribles où du code source a été exposé aux mauvaises personnes. Cela peut arriver. »
La tension est structurelle, et non le résultat d’un manque de prudence. « Vous vous trouvez dans cette situation délicate où vous êtes en pleine croissance », explique Fisher. « Vous ressentez le besoin d’avoir certaines règles, mais vous ne voulez pas trop entraver vos équipes. » Tout responsable des opérations qui cherche à concilier l’adoption de l’IA et la sécurité se trouve exactement dans cet espace — et l’IA n’a pas créé le risque juridique sous-jacent ; elle a simplement rendu possible son déclenchement accidentel, à grande échelle, par l’intermédiaire d’un menu de paramètres que personne n’a lu.
Vous vous trouvez dans cette situation délicate où vous êtes en pleine croissance. Vous ressentez le besoin d’avoir certaines règles, mais vous ne voulez pas trop entraver vos équipes.
Où les responsables des opérations sont réellement exposés
Les principaux sujets de préoccupation des responsables des opérations sont les suivants :
- Données personnelles des employés. Plans de recrutement, dossiers RH et informations sur les performances qui peuvent se retrouver dans le contexte d’un outil d’IA sans que personne ait réellement consenti à leur présence.
- Informations financières et sensibles sur le plan des obligations de divulgation. Informations importantes non publiques, données sur les résultats et tout élément susceptible de déclencher des préoccupations en matière de divulgation auprès de la SEC s’il venait à être divulgué ou transmis à la mauvaise personne au mauvais moment.
- Informations propriétaires et sensibles sur le plan de la propriété intellectuelle (y compris le code source). Un pur risque de contrôle des accès et de confidentialité — distinct de la réglementation des valeurs mobilières — mais fondé sur le même mécanisme que tout autre paramètre par défaut d’une IA non surveillé.
- Données des projets clients. Les informations propriétaires de clients traitées par des outils d’IA sans clarté contractuelle ni consentement présentent le même niveau d’exposition, même si aucune violation précise n’a encore été constatée.
La plupart des entreprises ne disposent d’aucun de ces éléments
Malgré l’importance des enjeux, Fisher affirme clairement que de nombreuses organisations fonctionnent sans aucune politique. « De nombreuses organisations n’ont absolument aucune gouvernance des données », explique-t-il.
Il a vu cette situation se jouer des deux côtés. Dans une entreprise plus grande et mieux établie, il a constaté que la gouvernance était « prise très au sérieux sur une longue période », au point de devenir de plus en plus conservatrice — et de plus en plus difficile à assouplir. Les entreprises plus petites et en croissance rapide rencontrent le problème inverse : non pas trop de prudence, mais aucune prudence, le tout sur fond de pression pour avancer rapidement.
Ce qu’il faut retenir pour les responsables de la livraison
Vous n’avez pas besoin de mettre en place un cadre complet de gouvernance pour faire le premier pas. Commencez par quelque chose de simple et de concret : allez vérifier un menu de paramètres. L’exemple de bascule donné par Fisher est réel et facile à trouver : vérifiez si les outils d’IA de votre organisation sont configurés par défaut pour entraîner leurs modèles sur vos données, et qui a approuvé ce choix. C’est une conversation que vous pouvez avoir cette semaine, pas un projet.
Il convient toutefois de garder à l’esprit une véritable tension soulevée par Fisher : le contrôle des accès n’est pas automatiquement le choix le plus sûr. « Même dans les organisations où les données sont facilement accessibles, elles sont souvent encore considérées comme propriétaires alors qu’elles ne devraient pas l’être », explique-t-il — et verrouiller les données par défaut peut coûter discrètement à une entreprise autant que de les laisser complètement ouvertes, avec une visibilité moindre. « Vous ne parviendrez pas à faire évoluer les choses si vous ne changez pas les personnes qui ont accès à vos données dans votre organisation. » Une bonne gouvernance ne consiste pas seulement à réduire le nombre de personnes qui manipulent les données : il s’agit de faire en sorte que les bonnes personnes accèdent aux bonnes données, intentionnellement.
Même dans les organisations où les données sont facilement accessibles, elles sont souvent encore considérées comme propriétaires alors qu’elles ne devraient pas l’être.
En pratique, cela signifie prendre quelques mesures concrètes, et non rédiger un classeur de politiques :
- Engagez la conversation dès maintenant, avant qu’un incident ne vous y oblige. Demandez quelles équipes utilisent déjà des outils d’IA et de quelle manière — la plupart des responsables des opérations sont simplement en retard sur ce sujet parce que personne ne l’a demandé.
- Commencez par les outils utilisés à l’échelle de l’organisation. Pour toutes les plateformes d’IA approuvées dans l’ensemble de l’entreprise, vérifiez le paramètre par défaut concernant les données d’entraînement et qui peut voir ce qui y circule.
- N’ignorez pas l’utilisation d’outils personnels ou non officiels. Le risque le plus important vient souvent de l’outil d’IA que personne n’a approuvé — quelqu’un colle des notes client dans son compte ChatGPT personnel parce que l’outil approuvé est plus lent. Mettre cela au jour ne vise pas à punir, mais à savoir où se situe réellement votre exposition.
- Intégrez l’examen des accès à la même conversation, et non à une conversation distincte. Pendant que vous vérifiez les paramètres par défaut et l’utilisation des outils d’IA, demandez qui contrôle l’accès à des données qui n’ont pas besoin de l’être. Renforcer une porte tout en en laissant une autre grande ouverte, ce n’est pas de la gouvernance — c’est du théâtre.
- Formez les équipes à reconnaître les données sensibles, et pas seulement à suivre des règles. La plupart des employés n’ont jamais été invités à réfléchir à ce qui constitue une donnée sensible — informations sur les clients, dossiers RH, informations financières — ni à ce qui pourrait mal tourner si ces données se retrouvaient dans un outil non réglementé. Une politique qui indique aux employés ce qu’il ne faut pas faire est moins importante que leur capacité à reconnaître réellement le risque qui se présente à eux.
Rien de tout cela ne nécessite de ralentir les équipes pour bien faire les choses. Il faut savoir où vont vos données, qui en a décidé ainsi et si la réponse est toujours oui.
Vous souhaitez découvrir d’autres analyses de ce type ? Inscrivez-vous gratuitement sur DPM pour écouter davantage d’experts comme ceux-ci.