Glossaire de la gouvernance de l’IA

Cadre réglementaire européen applicable aux systèmes et modèles d’intelligence artificielle.

Analyse des garanties applicables à un transfert de données vers un pays tiers, notamment au regard du droit local et des mesures complémentaires éventuellement nécessaires.

Analyse qui évalue les risques qu’un traitement de données personnelles peut faire peser sur les droits et libertés des personnes. Elle est requise lorsque le traitement est susceptible d’engendrer un risque élevé. PIA désigne, selon les outils, une analyse de même nature.

Analyse que certains déployeurs doivent réaliser avant l’utilisation de certains systèmes d’IA à haut risque.

Analyse documentant l’intérêt poursuivi, la nécessité du traitement et sa mise en balance avec les droits et libertés des personnes lorsque l’intérêt légitime est invoqué comme base légale.

Interface permettant à des applications ou outils distincts d’échanger automatiquement des données ou des fonctionnalités. Sa disponibilité conditionne souvent l’intégration du référentiel IA avec l’écosystème existant.

Vue structurée des systèmes d’IA et de leurs cas d’usage : finalités, entités, responsables, données mobilisées, fournisseurs, liens avec les traitements RGPD et principaux risques. L’inventaire en constitue le socle ; la cartographie en rend les liens lisibles.

Usage concret d’un système d’IA dans un contexte métier donné. Un même système peut couvrir plusieurs cas d’usage, qui doivent être appréciés séparément lorsque leur finalité, leurs données, les personnes concernées ou leur niveau de risque diffèrent.

Le cloud désigne la mise à disposition à distance de ressources informatiques par un prestataire. À l’inverse, une installation sur site repose sur une infrastructure installée et exploitée dans l’environnement de l’organisation. L’IaaS fournit principalement l’infrastructure technique. Le PaaS ajoute une plateforme permettant de développer ou d’exécuter des applications. La répartition des responsabilités varie selon le modèle retenu.

Demande d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité formulée par une personne concernée au titre du RGPD.

Organisation qui utilise un système d’IA sous sa propre autorité dans le cadre de ses activités professionnelles.

Organisation qui développe ou fait développer un système ou un modèle d’IA et le commercialise sous son nom.

Organisation des décisions, rôles, processus et outils permettant de piloter les systèmes d’IA tout au long de leur cycle de vie : recensement, qualification, évaluation, suivi des risques, documentation et reporting.

Organisation et outillage de la gouvernance, des risques et de la conformité. Certaines solutions de gouvernance de l’IA s’articulent avec des plateformes ou des référentiels GRC existants.

Éléments distincts à examiner : lieu d’hébergement et de stockage, accès à distance, sous-traitance ultérieure et transferts éventuels de données hors de l’Espace économique européen.

L’IA générative produit notamment du texte, des images ou du code. Un LLM est un grand modèle de langage. Le RAG consiste à interroger des sources documentaires avant de générer une réponse afin de l’ancrer dans un corpus défini.

Obligation prévue à l’article 4 de l’AI Act : les fournisseurs et les déployeurs prennent des mesures pour assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ou pilotent les systèmes concernés.

Ensemble de pratiques et d’outils organisant le développement, le déploiement, la surveillance et l’évolution des modèles d’IA. Dans une logique de gouvernance, les MLOps contribuent notamment à la traçabilité et au suivi du cycle de vie.

Modèle capable d’exécuter un large éventail de tâches et d’être intégré dans différents systèmes.

Analyse permettant de déterminer le rôle de l’organisation, la destination du système, ses cas d’usage, son niveau de risque et les exigences, preuves et contrôles applicables.

Qualifications, certifications, normes, cadres et rapports permettant d’apprécier différents aspects de la sécurité ou du management.

Registre prévu à l’article 30 du RGPD. Il recense les traitements de données à caractère personnel et peut être articulé avec le registre des systèmes d’IA lorsque ces systèmes mobilisent de telles données.

Registre opérationnel qui matérialise l’inventaire et centralise les informations utiles à la gouvernance. Selon les solutions, il peut être relié au registre des traitements, aux actifs, aux évaluations et aux référentiels de conformité.

Cadre européen applicable aux traitements de données à caractère personnel.

Logiciel fourni à distance, généralement accessible en ligne et exploité par son éditeur. Ce modèle implique notamment d’examiner l’hébergement, la localisation des données, les modalités d’accès et les conditions de réversibilité.

Accord formalisant les niveaux de service attendus, par exemple la disponibilité, les modalités de support et les délais de traitement des incidents. Une disponibilité annoncée par un éditeur ne constitue pas nécessairement un SLA contractuel.

Le SSO permet d’accéder à plusieurs applications avec un même compte. La MFA ajoute un ou plusieurs facteurs de vérification à la connexion.

Système automatisé produisant des résultats susceptibles d’influencer des environnements physiques ou virtuels.

Système relevant des catégories à haut risque prévues par l’AI Act et soumis à des exigences renforcées.