在政府中的公司中，人工智能的展开速度比控制的速度快。在专业的支持下，实验是通过SaaS工具，集成的CO -PILOTES或开源模型繁殖的，而无需IT或法律验证。这种无形的扩散使组织面临只有严格治理可以包含的主要风险（道德，法律，运营）。一种务实的方法是建立 风险映射IA。
扩散用途，可见性不完整
今天，人力资源经理可以在不参考CIO的情况下将AI助手集成到他的招聘工具中，市场总监可以将客户数据委托给无需RGPD影响分析的对话代理。在大型分发组中，内部审核因此被发现 17 IA未参考的用例，其中一些未经加密处理了敏感数据。
这些倡议通常是合理的，因此逃脱了通常的验证电路。该现象随着平台（Microsoft Copilot，AI概念，Mistral，Claude …）的速度加速，而无需进行技术部署而融合。
这种不透明度本身就是第一级的风险，因为没有可见性，就无法控制。如果没有控制，事件的可能性会大大增加，无论数据泄漏，决定错误还是违反部门标准。
一个四步方法
要重新控制控制，结构化方法至关重要，它基于 四个支柱，原则上很简单，但要求实施。
1。 识别活性或潜在用例
第一步：绘制 功能清单 在所有倡议中，无论是在生产还是测试中，内部或外部。这包括：
- SaaS工具（Chatgpt，Claude，Midjourney…），
- 有关业务功能（财务，人力资源，客户支持等），
- 模型供应商（Openai，拥抱面，Mistral等）。
2。 对操纵数据进行分类
每个用例必须根据处理的数据的性质进行分析：
- 个人（GDPR），
- 敏感（健康，种族），
- 战略（法律文件，专利），
- 机密（路线图，源代码）。
目标是 跨越数据的敏感性，并具有法规要求和技术保护能力 （加密，化名，可审核性）。
3。 评估与模型相关的风险
复杂性不仅存在于使用中，还存在于 甚至部署模型的本质 ::
- LLM开放或关闭，是否进行微调；
- 自治程度（建议，决定，执行）；
- 暴露于特定的攻击（提示注射，幻觉，偏见，对供应商的依赖）。
标准如 OWASP前10名LLM 或者 Atlas Miter 允许您客观化这些漏洞。
4。 正式化风险矩阵
这是一个结构一个问题 矩阵交叉临界，概率，影响和缓解措施。该转向框架必须活着，对项目进行更新，并与利益相关者共享。
合成矩阵示例
| 用法案例 | 数据 | IA模型 | 批判性 | 可能性 | 建议的控制 |
|---|---|---|---|---|---|
| 人力资源电子邮件生成 | 个人数据 | GPT-4通过SaaS | 高的 | 平均的 | 培训 +匿名化 |
| 营销报告 | 内部数据 | Mistral开源 | 平均的 | 虚弱的 | 确保本地部署 |
| 客户支持代理 | 客户数据 | 所有者API | 高的 | 高的 | 日志化 +监视 |
横向治理，合格证明
风险制图不再是一项服务，涉及 CIO，法律局，合规，网络安全和交易。使其具有共同的治理至关重要。
在收紧监管义务的时候，这种方法变得至关重要：
- 人工智能欧洲 ：评估影响，可追溯性，对某些风险风险案例的解释性的义务。
- ISO/IEC 42001 ：IA系统治理标准，具有文档，人类监督，事件管理。
- 部门要求 （银行，健康，保险）：试点算法系统的义务。
c的想法在其组织中启动IA制图的Heck-List
- 您是否确定了包括POC和Trades Pilots在内的AI项目？
- 您是否按灵敏度级别对数据类型进行了分类？
- 您是否确定了使用的模型特定的漏洞？
- 您有风险 /影响 /责任矩阵吗？
- 治理是否意味着所有利益相关者？
- 您的设备是由B2B调节器还是客户可审核的？
制图风险IA是 给它一个持久的基础。在监管机构比以往任何时候都更快的环境中，客户变得更加要求更高，并且声誉受到校准不良的影响，拥有清晰的框架是战略性的必要性。管理AI，首先是 知道它在哪里，利用这个夏季的优势来执行您的业务IA地图。
