AI Governance - Fonctionnalité
Cotation dynamique du risque
Le risque IA n’est pas statique. OneTrust Dynamic Risk Scoring (cotation dynamique du risque) évalue en continu le comportement de l’IA, le contexte et les signaux de contrôle permettant de détecter quand le risque augmente et pourquoi. La fonctionnalité permet de surveiller la performance en production, d’expliquer le comportement du système, de générer des rapports et de relier le risque évalué à la gouvernance et à l’application en aval.
Surveiller en continu les systèmes d’IA, évaluer l’évolution du risque et générer un reporting
OneTrust associe les données télémétriques sur l’IA, le contexte des politiques et le contexte commercial pour évaluer en continu le risque en production. Les équipes peuvent ainsi surveiller les modèles et les agents, diagnostiquer les dérives et les comportements dangereux, expliquer pourquoi le risque a changé, générer des tableaux de bord et de la documentation sur les modèles, et diriger les problèmes évalués vers des revues ou des corrections. Explorez les capacités de surveillance et de reporting qui quantifient le risque avant que les contrôles à l’exécution ne s’actionnent.
Observer les modèles, les applications et les agents en production
On attend du suivi en production qu’il en dise plus que seulement la disponibilité et la latence. Les équipes ont besoin de visibilité sur la qualité des sorties, les indicateurs de sécurité et de dérive, les schémas de prompts et de réponses, les actions des agents, le contexte de sensibilité des données, ainsi que sur les changements dans les outils connectés ou les sources de récupération des informations.
C’est essentiel car les systèmes d’IA peuvent donner de mauvais résultats tout en restant techniquement disponibles. Un chatbot peut continuer à répondre tout en produisant des recommandations qui ne sont pas étayées. Un agent peut rester en ligne tout en empruntant le mauvais processus d’action. Un modèle peut rester réactif tandis que la qualité se dégrade dans un workflow soumis à réglementation.
OneTrust absorbe et organise ces signaux pour permettre de surveiller la situation de l’IA dans les différents systèmes dans le temps.
Évaluer le risque en utilisant le contexte technique et commercial
Une métrique seule ne suffit pas à expliquer le risque IA. Celui-ci n’est pas le même selon la finalité prévue, le type d’utilisateur, la sensibilité des données, l’action résultante, le périmètre réglementaire ou la gravité du comportement observé.
Un processus de cotation efficace suit quatre étapes :
- Enregistrement de l’événement ou de la tendance, telle qu’une dérive, une sortie non sûre, une violation de politique ou un échec de récupération d’informations.
- Ajout du contexte métier, tel que la finalité du système, le responsable, la région et le workflow concerné.
- Application de la logique de la politique et du cadre de référence en fonction des seuils de tolérance et des obligations.
- Attribution d’un score qui facilite le tri, la remontée et la comparaison dans le temps.
C’est ici que la surveillance de l’IA se distingue des outils classiques de conformité en continu. Les outils de conformité IT peuvent indiquer si une vérification a réussi, mais ne sont pas conçus pour expliquer pourquoi le comportement d’un modèle a changé, si une mauvaise utilisation des prompts augmente ou si une dérive est plus critique parce que le système étaye une décision soumise à réglementation.
Expliquer le comportement et diagnostiquer le changement
La surveillance n’a d’intérêt que si elle permet de comprendre ce qui a changé et pourquoi c’est important.
- Les data scientists peuvent avoir besoin de diagnostics concernant les prompts ou les modèles.
- Les équipes de risque, d’une explication claire sur la manière dont le comportement en production diffère du cas d’usage approuvé.
- Les auditeurs, d’un registre de ce qui a été détecté, comment cela a été évalué, et quelle action a suivi.
Le NIST AI RMF et l’ISO 42001 exigent plus qu’un tableau de bord : ils requièrent des signaux interprétables, un historique des tendances et des processus de réponse documentés. OneTrust donne aux équipes ce contexte pour que la surveillance facilite la revue technique, les décisions de gouvernance et les conversations d’audit dans le même modèle opérationnel.
Générer des rapports d’utilisation, des fiches modèles et des sorties adaptées à l’audit
Les données de surveillance ne doivent pas rester uniquement dans les outils d’ingénierie. Les équipes de gouvernance ont besoin d’un reporting clair qui transforme les signaux de production en sorties exploitables : fiches modèle, synthèses sur le système, historiques d’incidents et tableaux de bord lisibles par des publics non techniques.
Ce reporting doit être suffisamment standardisé pour pouvoir comparer les systèmes, tout en restant assez flexible pour s’adapter aux différentes parties concernées. Les équipes juridiques, les ingénieurs, les auditeurs et les cadres dirigeants ont chacun besoin d’une visibilité propre. OneTrust traduit les données techniques de surveillance en rapports conviviaux tout en conservant tous les détails sous-jacents.
C’est là que le suivi de l’IA se distingue de la conformité IT classique. Il doit relier la performance à la finalité, au risque, à l’explicabilité et aux attentes réglementaires.
Associer la détection des risques à une action en temps réel
La cotation dynamique du risque et les contrôles à l’exécution fonctionnent de concert, mais ont chacun leur rôle. La cotation dynamique du risque détecte, mesure, explique et hiérarchise les risques. Les contrôles à l’exécution bloquent, occultent, réacheminent ou restreignent le comportement lorsque cela est nécessaire.
Le passage de l’un à l’autre doit se faire clairement. Lorsqu’une cotation dépasse un certain seuil, les équipes doivent pouvoir voir quel signal a changé, quelle politique ou quel seuil s’est appliqué, et quelle action est recommandée ou déclenchée automatiquement.
OneTrust désigné comme ‘Visionnaire’ dans le Magic Quadrant 2026 de Gartner pour les plateformes de gouvernance de l’IA
Découvrez pourquoi Gartner a reconnu OneTrust comme visionnaire dans le tout premier Magic Quadrant pour les plateformes de gouvernance de l’IA.
Questions fréquemment posées
La cotation dynamique du risque IA est une mesure continue du risque lié à l’IA. Elle change en fonction des signaux de production et du contexte de gouvernance. Elle combine des indicateurs techniques sur la dérive, les sorties non sûres ou les violations des politiques avec le contexte métier tel que la finalité du système, le type d’utilisateur, la sensibilité des données et le périmètre réglementaire. L’objectif n’est pas seulement de détecter un événement, mais de montrer à quel point il est grave et quelle action il devrait déclencher. Elle donne donc plus d’indications qu’une étiquette de risque statique.
OneTrust facilite la surveillance liée aux obligations de l’article 15 du Règlement européen sur l’IA en permettant d’observer le comportement en temps réel, de documenter la qualité du système et des signaux de risque et de relier ces signaux aux actions de gouvernance et de contrôle. Il est ainsi possible de tenir un registre de ce qui a changé, de comment cela a été évalué et des actions qui en ont découlé. La surveillance des systèmes d’IA qui nécessitent un examen continu après la mise en œuvre est rendue possible.
OneTrust AI Governance aide les organisations à passer de revues ponctuelles de l’IA à une surveillance en continu. La plateforme enregistre les signaux de production, suit les tendances et prend en charge les workflows de réponse. Elle conserve aussi des registres de surveillance et des performances dans le temps.
La cotation dynamique du risque intervient dans le cadre de la surveillance et du diagnostic. Elle permet de détecter les changements de comportements, explique la cote de risque et met en priorité ce qui nécessite une révision ou une action. Les contrôles à l’exécution (runtime controls en anglais) sont des actions qui bloquent, réacheminent, occultent ou restreignent le comportement en fonction de ces signaux et de la logique de la politique. La première mesure et interprète le risque. Les seconds agissent dessus.
Autres ressources pertinentes
Évaluer, expliquer et faire un reporting en continu sur le risque IA à mesure que les modèles, les agents et les cas d’usage évoluent en production.
Les organisations surveillent les systèmes d’IA en production en recueillant des signaux de qualité, de sécurité, de dérive, d’utilisation et de politique provenant des opérations en direct. Ces signaux doivent ensuite être enrichis avec le contexte commercial, comparés aux seuils de tolérance, et liés aux alertes, aux tableaux de bord et aux processus de réponse. Cela permet de déterminer quels problèmes sont mineurs et lesquels nécessitent une action rapide. La surveillance doit se positionner par rapport à la finalité prévue, pas seulement sur la disponibilité technique.