Pourquoi les cadres traditionnels de gestion des risques liés à l’IA s’effondrent

David Rice : Une dirigeante juridique d’une entreprise du Fortune 500 l’a exprimé ainsi : son entreprise n’était pas en feu, mais elle avait l’impression que tout le monde tenait un lance-flammes. C’est là où se trouvent la plupart des organisations aujourd’hui, conscientes du risque, incertaines de la direction à prendre, et le danger ne vient pas de l’extérieur. C’est un élan interne que personne ne sait comment ralentir.

Dans l’émission d’aujourd’hui, je discute avec Reid Blackman, auteur de « The Ethical Nightmare Challenge », de pourquoi les cadres de gouvernance traditionnels ne sont pas adaptés à ce qui se passe actuellement. Vos employés utilisent déjà l’IA de façons que vous n’aviez pas anticipées. Vous ne pouvez pas prédire comment ils utiliseront les agents IA, et le seul levier que la plupart des dirigeants savent actionner est de restreindre l’accès, ce qui n’est pas une vraie solution.

Reid souligne un point qui dissipe beaucoup de confusion à ce sujet. Avancer rapidement et prendre l’éthique de l’IA au sérieux ne sont pas incompatibles. Les entreprises qui considèrent cela comme un choix binaire créent exactement les échecs catastrophiques de confiance qu’elles cherchent à éviter. Et il n’est pas nécessaire de construire un programme complet d’éthique de l’IA du jour au lendemain.

Vous pouvez commencer au niveau du projet, avec deux ou trois équipes, un pilote de dix semaines, voire une seule conversation honnête sur l’origine potentielle des cauchemars. Alors, quelle est la première question à poser dans votre organisation ? Et si on commençait par : avons-nous pris le temps d’identifier quels pourraient être les cauchemars éthiques, réputationnels et juridiques liés à la façon dont nous adoptons l’IA ?

La plupart des organisations, si elles sont honnêtes, répondront non, et c’est là que vous commencez. Aujourd’hui, nous allons donc aborder pourquoi la gouvernance des risques traditionnelle n’est pas adaptée à l’IA générative ni aux agents. Ce qui fait des IA agentives un défi de gouvernance fondamentalement différent, pourquoi vitesse et éthique ne sont pas un compromis, quel est le véritable coût de la stratégie « avancer vite et casser des choses ». Et enfin, comment lancer le défi des cauchemars éthiques au niveau du projet.

Je suis David Rice, et voici People Managing People. Et si votre organisation n’a pas encore pris le temps de se demander ce qui pourrait mal tourner et qui pourrait être blessé, cette conversation vous explique pourquoi vous ne pouvez plus remettre cette question à plus tard. Entrons dans le vif du sujet.

Très bien, Reid. Bienvenue dans l’émission. Heureux de vous avoir.

Reid Blackman : Merci de m’accueillir.

David Rice : Oui, j’ai le livre ici. J’aime beaucoup. Je pense que c’est une bonne lecture pour tous ceux qui réfléchissent aux défis éthiques liés à l’IA.

Reid Blackman : Ce n’est pas trop mon truc, mais je suis content que ça vous plaise.

David Rice : Vous décrivez une dirigeante juridique dans le texte, dans le contexte d’une entreprise du Fortune 500, qui a dit que son entreprise n’était pas en feu, mais que tout le monde semblait tenir un lance-flammes, ce que j’aime beaucoup.

Reid Blackman : Oui, oui, c’est une citation. C’est une citation directe.

David Rice : C’est une image saisissante, n’est-ce pas ? Ça illustre exactement comment se sentent beaucoup de dirigeants aujourd’hui. Ils sont conscients du risque, mais ils ne savent pas vraiment où orienter la lance sur toute cette histoire d’IA. Donc je suis curieux, selon vous, quelle est la raison structurelle pour laquelle la plupart des organisations sont dans cette situation ?

Et pourquoi la gouvernance du risque traditionnelle ne comble-t-elle pas cet écart ?

Reid Blackman : C’est une grande question. Il y a beaucoup de raisons. L’une des principales est qu’ils ne savent pas de quel genre de bêtises leurs employés sont capables. Car le fait de choses comme l’IA générative puis les agents IA, dont nous pourrons parler, est qu’elles peuvent être utilisées dans une multitude de contextes par beaucoup de personnes pour maintes finalités impossible à anticiper.

Vous ne pouvez tout simplement pas prédire toutes les façons dont l’outil sera utilisé. Et puis, vous savez, ah oui, ces technologies peuvent avoir des comportements qui violent la vie privée, être biaisées ou discriminatoires, produire des hallucinations ou carrément inventer des informations. Donc il y a de nombreux— Il y a eu des cabinets d’avocats, des grands cabinets comptables dans l’actualité, qui ont remis à des clients des travaux contenant du contenu généré par IA totalement inventé.

Donc, quand on met ensemble tous les moyens par lesquels les choses peuvent mal tourner avec l’IA, et le fait que vous ne pouvez pas prévoir comment tous vos employés vont l’utiliser, évidemment vous êtes nerveux à l’idée que tout le monde a un lance-flammes entre les mains. Est-ce que cela répond à pourquoi l’approche standard ne fonctionne pas ? Je vais marquer une pause là-dessus.

David Rice : Ce qui me frappe dans cette image, c’est que ça met le danger dans les mains de ceux qui sont censés diriger, n’est-ce pas ? Ce n’est pas une menace externe. C’est cet élan interne que personne ne sait comment ralentir à ce stade. Et je pense que c’est autant un problème de gouvernance qu’un problème de leadership et de culture.

Reid Blackman : Le seul moyen qu’ils connaissent pour ralentir, c’est de restreindre l’accès et de ne pas utiliser les outils, donc de les interdire—

David Rice : Ce qui n’est pas vraiment une solution.

Reid Blackman : Non. C’est au mieux une mesure provisoire. Et ça devient encore pire avec l’IA agentive. Quand vous demandez aux employés, « Allez, utilisez ces derniers systèmes agentifs, utilisez Claude Code » ou quelque chose du genre, « Construisez votre agent, votre assistant, votre tableau de bord », là les choses deviennent incontrôlables, car qui sait ce qu’ils vont créer, pourquoi ils vont l’utiliser et comment cela sera intégré à leur méthode de travail ?

Vont-ils intégrer les bonnes vérifications ? Sauront-ils quels sont les risques ? Comment vont-ils user de leur jugement professionnel dans un contexte aussi peu balisé ?

David Rice : C’est très difficile, n’est-ce pas ? L’agentif est peut-être un peu différent du fait de la façon dont il doit être conçu. Mais pour ce qui est des LLM et de l’IA générative dans l’entreprise, ce que je trouve aussi intéressant dans l’analogie du lance-flammes, c’est que les RH entrent dans la pièce et l’appareil est déjà allumé, tout part dans tous les sens.

Car tout le monde s’adapte déjà, l’utilise et l’intègre dans ses processus de travail de façons que l’on n’imagine même pas ou auxquelles on n’a pas pensé. Maintenant, essayer de reprendre la main est en soi un challenge. Et on arrive avec ce discours de « Bon, on va construire quoi exactement ? »

On vit des temps intéressants. Je suis aussi curieux de savoir, car à mon avis beaucoup de tout ça relève du choix. Nous l’implémentons de différentes façons, mais qui dans le comité exécutif peut ralentir la cadence ? Dire que la pression pour accélérer ne vient pas d’ici.

En ce moment, elle vient de partout : conseil d’administration, investisseurs, dirigeants, concurrents. Alors, qui va incarner ce moment de pause et demander qu’on se pose quelques questions éthiques ?

Reid Blackman : Oui, oui.

David Rice : Et cela peut sembler freiner sa carrière, mais nous voulons faire les choses de manière responsable.

Reid Blackman : Je vais rapidement définir les agents IA, car je pense que cela aidera le public, c’est là que nous allons.

Pour moi, un agent IA, et je ne pense pas être le seul, consiste généralement en un LLM au centre, comme un chatbot avec lequel on interagit, et il y a alors deux conditions pour qu’il soit un agent. Premièrement, il doit être connecté à d’autres outils : le LLM a accès à Internet, à des bases de données d’entreprise ou à des logiciels comme votre CRM.

Il est peut-être connecté à d’autres IA. Donc, condition une, votre LLM a accès à ces bases de données, logiciels, autres IA, etc. Condition deux, il fait preuve d’une certaine autonomie ; cela signifie qu’on lui donne un objectif. Donc, plutôt que de dire « Fais ceci, puis cela, puis va dans cette base, utilise cette IA restreinte, fais cette recherche Internet, etc. », vous voulez simplement dire « Envoie un e-mail à mes cinq meilleurs clients pour dire ceci, sur la base de cela », par exemple. Et il va, en quelque sorte, « déterminer » lui-même quels outils solliciter, quelles recherches effectuer, quelles bases interroger, quelles autres IA utiliser ou à quels logiciels se connecter.

Et parce qu’il décide seul comment atteindre les buts fixés, il est autonome quant aux moyens utilisés. S’il remplit ces deux conditions (connecté à des outils et libre quant à l’approche), alors vous avez un agent IA entre les mains.

Vous voyez alors toute la complexité : l’agent prend une forme très contextuelle. Qui l’utilise ? À quoi est-il connecté ? À quelles données a-t-il accès ? Dans quel ordre utilise-t-il les outils ? Quelles décisions a-t-il le droit de prendre ? Etc. Donc non seulement il y a l’imprévisibilité de l’usage de l’IA générative, mais l’utilisation des agents IA est encore plus imprévisible. J’ai dit cela et j’ai oublié votre question initiale.

David Rice : L’autre question portait sur pourquoi la gouvernance des risques traditionnelle ne comble pas ce fossé. Et je pense que vous touchez à la complexité…

Reid Blackman : Oui…

David Rice : Les agents IA, on ne leur donne pas toujours de véritables descriptions de poste, et il y a du « drift » : on les voit faire des choses inédites ou inattendues.

La complexité et la compréhension technologique vont encore devoir évoluer. Mais je ne sais pas… Qu’en pensez-vous ?

Reid Blackman : C’est tout cela à la fois. Quand je pense à ce à quoi ressemble la gouvernance IA traditionnelle — et je le dis en tant que praticien, quelqu’un qui a mis en œuvre cette gouvernance — j’ai passé huit ans à conseiller de grandes organisations sur la gestion responsable de l’IA ou l’éthique de l’IA. J’en ai vu les failles. Et ce n’est pas que moi, mes collègues, compétiteurs, mon premier livre a défendu cette approche standard de gouvernance de l’IA.

Plusieurs choses ne fonctionnent plus. Cette approche est cassée. Premièrement, elle est descendante (top-down), axée sur les politiques. Dans une grande entreprise, le passage d’une politique prend un temps fou, surtout en conseil d’administration : un an minimum, parfois deux. Le plus rapide que j’ai vu, c’est neuf mois — et c’était de la part de décideurs d’excellence. Pendant ce temps, la technologie bondit en avant. La société du lance-flammes dont vous parliez, une entreprise CPG du Fortune 500, a réécrit sa politique, etc.

C’était la politique la plus solide jamais adoptée par nos clients. J’en étais très satisfait. Puis on l’a mise en œuvre, parce que, une fois publiée, personne ne s’en soucie. Personne ne saute de joie le matin pour lire la nouvelle politique. Il faut donc mener une campagne de sensibilisation, adapter la politique à chaque service, à chaque rôle.

C’est un processus de plusieurs mois, voire années, et alors l’IA agentive sort — maintenant on applique une politique déjà dépassée, et il faut tout recommencer auprès de la direction et du conseil d’administration, etc. Vous voyez, c’est un éternel casse-tête. Et ça n’est que pour l’IA.

Je pourrais aussi parler de l’arrivée des ordinateurs quantiques ou de la blockchain : le paysage technologique devient extrêmement complexe, alors que l’approche descendante par politique est très, très lente. Sur la complexité des agents IA, un document lié à la politique comportera toute une liste de procédures. Peut-être avons-nous 20 procédures à respecter. Avec les agents IA, vu leur complexité et spécificité contextuelle, la moitié seulement seront pertinentes ; dix autres ne le seront pas du tout, et dix encore, absentes de la liste, seront cruciales.

Donc, supposer que tous les contrôles sont connus à l’avance, que toutes les procédures requises sont identifiées pour garantir la conformité, ce modèle est cassé face à la complexité de l’IA agentive.

David Rice : Vous venez de soulever quelque chose d’intéressant.

Supposer que l’on connaît tous les risques, toutes les complexités et tous les rôles… On sait que ce n’est pas le cas, non ?

...