Quels sont les cas d’usage de l’IA dans la Gouvernance de l’Information et quelles seront les règles à respecter en regard de l’IA ACT et du RGPD ?

Les types d’IA et leur performance

L’usage de l’IA dans la Gouvernance de l’Information va se développer avec des niveaux de performance exceptionnels grâce à la combinaison de plusieurs types d’IA : IA à base de règles, machine learning, deep learning, IA générative. Selon le cas d’usage, on combinera une ou plusieurs de ces IA pour atteindre des résultats avec un niveau de véracité supérieur à 90%.

Certaines de ces IA existent depuis 50 ans (IA à base de règles, extraction d’entités nommées) ou le machine learning. D’autres plus récentes, tel le deep learning avec des technologies comme les vecteurs de sens, pour finir par l’usage de l’IA générative qui est un type de deep learning particulier, existent depuis 10 à 25 ans. C’est la combinaison de ces techniques qui va apporter une capacité à automatiser les traitements jamais atteinte auparavant. Il faut cependant bien comprendre que si une IA à base de règles est 100% juste, les IA à base de deep learning, machine learning, IA générative ne font que supposer la réponse, mais avec un taux de fiabilité très élevé.  Dans ce contexte, il s’agira de définir le niveau de confiance en dessous duquel on demandera une vérification manuelle et ce en fonction de la sensibilité des documents.

Quels cas d’usage de l’IA dans la Gouvernance de l’Information ?

Les cas d’usage vont apporter des gains en matière d’amélioration de la productivité, de conformité ou de facilité d’usage :

• Cas d’usage avec un fort gain de productivité :
  • l’autoclassification des contenus  
  • l’enrichissement de métadonnées
  • la réponse automatisée à des courriers
  • la création de résumés

• Cas d’usage facilitant la conformité réglementaire 
  • l’autoclassification des contenus 
  • l’enrichissement de métadonnées

• Cas d’usage facilitant l’usage
  • le chat sur un document
  • l’interrogation en langage naturel d’une base de documents
  • la création de résumés

Que ce soit dans le cadre du traitement global de contenus de leurs lieux de création (SharePoint, messageries, documents sur des files systems…) jusqu’à la destruction ou l’archivage à valeur légale ou simplement patrimoniale, l’usage de l’IA composite va permettre d’automatiser fortement et d’apporter un ROI important. La classification automatisée des documents avec un pourcentage de confiance en dessous duquel on fera un contrôle manuel, mais avec des préconisations, permettra de traiter facilement le tout venant des contenus tout en portant une attention renforcée sur les contenus sensibles.  De même l’enrichissement de métadonnées participera à ce mouvement. 

Ainsi, le Saint Graal des archivistes visant à gérer de bout en bout l’information malgré des volumes de données gigantesques et en augmentation deviendra plus facilement réalité.    

La volonté des RSSI / des départements juridiques d’identifier la sensibilité des documents ou les données personnelles ou contractuelles pertinentes deviendra faisable.

Quelles sont les règles applicables liées à l’IA Act et au RGPD ?

Pour autant, utiliser l’IA dans la gestion de contenus électroniques doit respecter l’IA Act européen et le RGPD. 

L’IA Act, entré en vigueur le 1er août 2024, sera sanctionnable en cas de non-respect dès 2026 avec des amendes allant jusqu’à 4% du chiffre d’affaires ou un maximum de 30 millions d’euros d’amende.  L’IA Act introduit comme préalable le respect du RGPD. Lequel aussi est assorti de sanctions. La CNIL sera l’organisme de tutelle en la matière en France. Dans l’Union européenne les différentes autorités nationales de protection des données en seront les garants. Ces entités se coordonnent au sein de l’EDPB (European Data Protection Board)  

L’IA Act, introduit une classification des systèmes d’IA en fonction de leur niveau de risque, et impose des exigences particulières par niveau de risque. Ceux-ci sont au nombre de 4 :

• inacceptable : donc interdit. Scoring social, identification biométrique, police prédictive, reconnaissance des émotions en public ou au travail

• élevé : identification biométrique à distance, évaluation dans l’éducation, recrutement, processus, RH, justice, évaluation de la crédibilité des informations

• modéré : chatbot vis-à-vis de clients, génération de contenus, systèmes de recommandations, filtrage de contenus en ligne, publicité ciblée, systèmes de notation

• minimal : tout le reste. On peut citer les outils d’automatisation bureautique, assistance à l’écriture, jeux vidéo…

La gestion de contenu entre dans les catégories modérées et minimales.

Dans le cadre minimal, il n’y a aucune obligation particulière. En regard des cas d’usages cités on peut y mettre : l’enrichissement de métadonnées, chat sur un document, l’interrogation d’une base en langage naturel… tant que l’on est sur des cas d’usage en interne de l’entreprise.

Dans le cadre modéré, on peut y trouver l’autoclassification de contenus, les réponses automatisées ou l’usage de résumés pour l’extérieur de l’entreprise. L’autoclassification de contenus peut, selon les catégories créées, relever du niveau modéré ou minimal. En effet est considéré comme risque modéré les systèmes qui peuvent néanmoins influencer les droits et les intérêts des individus sans avoir de conséquences graves sur les droits fondamentaux, la sécurité ou la santé des utilisateurs.

Quelles sont les règles pour les IA à risque modéré ?

Les systèmes à risque modéré doivent répondre à des critères stricts tels que la transparence, la fiabilité et la sécurité. 

Il est crucial de procéder à une évaluation des risques liés à l’IA et d’établir une documentation technique détaillée sur les algorithmes utilisés, leur fonctionnement, et les données traitées.

Le préalable de la conformité au RGPD

D’autre part, l’IA Act exige comme préalable la conformité au RGPD.  

Le RGPD demande que l’utilisation de l’IA respecte les principes de protection des données : limitation de la collecte au strict nécessaire, anonymisation ou pseudonymisation des données sensibles, et consentement explicite des utilisateurs lorsque des données personnelles sont impliquées.

Quelles conséquences organisationnelles ? 

Les entreprises doivent documenter les fonctionnalités et les mécanismes de prise de décision de systèmes d’IA de manière à pouvoir le présenter en cas de demande des autorités ou d’un client/usager. 

Des mesures doivent être instaurées pour fournir des explications claires aux utilisateurs concernant les décisions prises par l’IA, en leur permettant de contester des décisions automatisées si nécessaire. 

En pratique, cela signifie que chaque système d’IA doit être documenté avec des preuves de conformité aux exigences de transparence, de sécurité et de non-discrimination. 

Un point particulier : les systèmes d’IA utilisant des données personnelles se connectant à des IA en ligne non conformes au RGPD seront en infraction. On pense à OpenIA, Meta, Copilot qui sont tous détenus par des sociétés américaines qui ne sont pas conformes au RGPD car soumis aux contraintes de l’executive order 13 333 et au corruption Act américain. 

Les sociétés doivent, idéalement, mettre en place des mécanismes de contrôle et d’audit pour détecter et corriger d’éventuels biais ou dérives dans les systèmes d’IA. Le risque est faible sur les IA à risque modéré et par ailleurs les technologies d’explicabilité des IA ne sont pas au point.

Enfin, il est impératif de désigner un responsable de la protection des données (DPO) pour superviser et gérer les questions de conformité RGPD, ainsi qu’un comité de suivi pour les exigences spécifiques de l’IA Act, garantissant une supervision régulière et une mise à jour continue des pratiques en fonction des évolutions réglementaires.