Guide pour accélérer l'adoption de l'IA : la sécurité sans risques inutiles

Au cours des 18 derniers mois, nos équipes sont passées du simple débat sur l'opportunité d'utiliser l'IA à la question de la rapidité de son déploiement. La difficulté majeure réside dans la manière de permettre aux équipes d'agir suffisamment vite pour maximiser les avantages de l'IA sans que le profil de risque de l'entreprise ne devienne trop complexe à gérer.

Jason Taylor

Directeur technique (CTO) et directeur de la sécurité des systèmes d'information (CISO) chez Entrata.

Ce dilemme est bien connu des responsables des technologies et de la cybersécurité, car l'intelligence artificielle soulève deux exigences apparemment contradictoires. D'une part, le service informatique d'une organisation recherche l'expérimentation, l'accessibilité, la rapidité et le potentiel de gains de productivité concrets. D'autre part, le service de sécurité a besoin de contrôle, de responsabilisation, de périmètres de données définis et de la certitude que le nouveau processus de travail n'entraînera pas de risques évitables.

Les deux approches sont valables, et c'est pourquoi les entreprises rencontrent des difficultés lorsqu'elles considèrent l'IA soit comme un projet purement innovant, soit comme un simple problème de sécurité. Il s'agit d'un changement de paradigme, et les organisations qui le gèrent efficacement sont celles qui mettent en place une infrastructure suffisante et des outils robustes pour permettre aux équipes d'avancer avec assurance, plutôt que de les contraindre à choisir entre rapidité et contrôle.

Commencez par le travail, pas par les outils.

Nombre d'entreprises abordent l'adoption de l'IA comme le lancement d'un logiciel classique. Elles choisissent un fournisseur, distribuent des licences, publient des recommandations et supposent que son utilisation se transformera naturellement. Cette approche peut certes générer de l'activité, mais elle conduit rarement à un changement opérationnel durable.

L'adoption véritable commence lorsque les dirigeants comprennent comment mettre en œuvre concrètement les outils d'IA. Les équipes finance, produit, marketing, support et ingénierie n'utiliseront pas ces outils de la même manière, car chacune a des besoins de connaissances différents, des sources de données diverses, des seuils de risque variables et une expertise unique. Chacune de ces équipes devra développer des compétences et des outils spécifiques à l'IA.

Les dirigeants devraient commencer par se demander quel est l'objectif de chaque poste, quelles connaissances sont nécessaires pour prendre de meilleures décisions, quelles compétences sont requises pour utiliser l'intelligence artificielle de manière responsable et quels outils ou sources de données sont nécessaires pour produire un résultat fiable.

Lorsque l'intelligence artificielle est liée à ces capacités, elle devient partie intégrante du fonctionnement d'une organisation ; lorsqu'elle est imposée à des processus sans lien avec ceux-ci, elle tend à produire un surplus de résultats sans nécessairement conduire à de meilleurs résultats.

Traiter l'accès aux données comme un problème de conception lié aux risques

L'accès aux données est l'un des domaines les plus importants où l'IA transforme le modèle opérationnel. Pour que l'IA soit véritablement bénéfique, les équipes ont souvent besoin d'accéder à des informations qu'elles n'ont jamais utilisées directement auparavant.

L'équipe marketing peut avoir besoin de documentation produit et d'informations sur les clients, tandis que l'équipe financière peut avoir besoin de données opérationnelles structurées et l'équipe de support peut avoir besoin de connaissances internes et d'un contexte historique, ainsi que de la capacité à comprendre les tendances à travers différents systèmes.

La tendance à ouvrir l'accès aux données est compréhensible ; l'intelligence artificielle tire profit d'un contexte plus large. Inversement, la tendance à restreindre l'accès l'est tout autant, car un accès plus étendu peut soulever des inquiétudes quant à la confidentialité, la conformité et la sécurité. La solution ne réside pas dans le choix d'une approche plutôt que de l'autre, mais dans l'élaboration d'un modèle plus systématique permettant de déterminer quelles données peuvent être utilisées, par qui et à quelles fins.

Dans un projet de déploiement en entreprise, par exemple, la solution pratique n'a pas consisté à donner à chaque équipe un accès complet aux données, ni à limiter l'IA à une fonction purement technique. Il s'agissait plutôt de séparer les données opérationnelles moins critiques des informations plus sensibles, puis d'accorder aux équipes un accès suffisant pour travailler différemment, tout en minimisant les risques de dommages en cas de dysfonctionnement d'un flux de travail.

Une approche utile pour appréhender cette question consiste à envisager l’impact des données. Tous les ensembles de données ne présentent pas le même niveau de risque, et tous les cas d’utilisation de l’IA ne justifient pas le même niveau de restriction. Certaines informations peuvent être rendues plus accessibles car les dommages potentiels en cas de problème sont limités, tandis que d’autres, notamment les données personnelles ou les données clients sensibles, exigent des contrôles beaucoup plus stricts.

Cette approche permet aux équipes d'expérimenter dans des domaines à faible risque, tout en maintenant une gouvernance renforcée là où l'entreprise en a réellement besoin. L'objectif n'est pas d'affaiblir la sécurité, mais de la rendre plus précise, permettant ainsi à l'entreprise d'avancer plus vite sans perdre le contrôle de ses environnements, données et flux de travail les plus critiques.

Intégrer la vérification dans le flux de travail

La validation est une étape cruciale qui détermine la réussite ou l'échec des stratégies d'IA à grande échelle. Les systèmes d'IA peuvent produire un travail d'apparence soignée, mais potentiellement incomplet, inexact, sans marque ou non conforme aux normes. Si la vérification humaine permet d'atténuer certains de ces risques dans un premier temps, elle s'avère inefficace à grande échelle une fois l'IA intégrée aux opérations quotidiennes.

J'ai pu le constater très clairement au sein d'équipes techniques : l'IA ne peut accélérer le développement logiciel que s'il existe un moyen fiable d'évaluer la qualité, la sécurité et l'exactitude des produits. Sans ce niveau de validation, les équipes peuvent avoir l'impression d'être rapides à court terme, mais elles alourdissent insidieusement la charge de travail liée aux revues, augmentent le nombre de corrections et accroissent les risques par la suite.

Les entreprises ont besoin de modèles de vérification conçus pour être intégrés à leur flux de travail. Cela peut inclure des contrôles automatisés, des contrôles de qualité des données, des circuits d'approbation, la journalisation, la visibilité et des règles d'escalade claires pour les résultats qui ne doivent pas être considérés comme fiables sans examen approfondi.

Les dirigeants ne doivent pas considérer ces mécanismes comme une routine supplémentaire et tardive. Au contraire, ce sont eux qui permettent à l'IA de passer du statut de simple outil de productivité individuel à celui de capacité globale à l'échelle de l'entreprise, car les équipes ne peuvent généraliser son adoption que si elles disposent d'une méthode régulière pour vérifier que le travail produit est précis, approprié et sûr.

L'adoption de l'intelligence artificielle est devenue une responsabilité des dirigeants.

L'adoption de l'intelligence artificielle ne peut être déléguée à une seule équipe d'innovation ou à un seul responsable IA, tandis que le reste de la direction observe à distance. Chaque responsable fonctionnel doit comprendre comment l'IA transformera le travail de son équipe, comment les employés collaboreront avec les agents et les modèles, et où les risques sont susceptibles d'apparaître.

Cela ne signifie pas que chaque dirigeant doive devenir un expert en apprentissage automatique, mais plutôt qu'il lui faut des compétences suffisantes pour orienter la prise de décision, définir les attentes et montrer l'exemple à ses équipes. Il est peu probable que les employés modifient leurs pratiques de travail si leurs dirigeants considèrent l'IA comme une technologie que tous doivent adopter.

Le contexte culturel est également important, car si les employés perçoivent l'adoption de l'IA comme un euphémisme pour la suppression d'emplois, ils s'accrocheront à leur poste actuel plutôt que d'envisager son évolution future. Les dirigeants doivent faire preuve de transparence quant aux changements de rôles, à la disparition de certains processus et à l'émergence de nouvelles responsabilités, tout en soulignant que l'objectif immédiat est d'aider les employés à être plus performants et plus efficaces, garantissant ainsi un retour sur investissement.

Dans de nombreux cas, le travail évolue : on passe de l’exécution manuelle de chaque tâche à la coordination de systèmes qui facilitent son accomplissement. Cela exige une capacité à gérer l’ambiguïté, une compétence qui devient de plus en plus importante à mesure que les capacités de l’intelligence artificielle se développent.

Les entreprises qui réussissent l'adoption de l'intelligence artificielle ne sont ni celles qui privilégient l'innovation au détriment de la sécurité, ni celles qui attendent d'éliminer tout risque potentiel à l'avance. Ce sont plutôt celles qui établissent des bases solides en matière de gouvernance, de vérification et de rigueur dans le traitement des données, permettant ainsi à leurs équipes d'avancer en toute confiance. Dans un environnement d'IA d'entreprise, le contrôle est la pierre angulaire d'une progression durable, soulignant l'importance de la prudence à chaque étape, notamment lors de la manipulation de composants d'IA d'entreprise sensibles.