Si Microsoft 365 Copilot, des agents d'IA ou des outils d'IA générique externes sont déjà déployés dans votre environnement, la gouvernance n'est plus une option. Ce guide propose aux équipes informatiques un modèle de gouvernance clair et simple qui améliore la rapidité et réduit les risques.
Cet article a une vocation pédagogique et ne constitue pas un avis juridique. Si vous exercez votre activité dans un environnement réglementé, veuillez consulter un conseiller juridique et un spécialiste en protection des données pour valider votre politique d'IA et de gestion des données.
Ce que la gouvernance de l'IA signifie pour les équipes informatiques (en langage clair)
La gouvernance de l'IA est le système d'exploitation permettant de prendre des décisions. qui peut déployer l'IA, quelles données il peut toucher, comment les changements sont approuvés et comment vous le prouverez plus tardEn termes informatiques concrets, il s'agit d'un ensemble d'éléments et de flux de travail qui permettent une adoption rapide, contrôlée et auditable de l'IA.
Un programme de gouvernance efficace s'inspire de cadres éprouvés. Le NIST organise la gestion des risques liés à l'IA en quatre fonctions (gouverner, cartographier, mesurer, gérer) et considère la gouvernance comme un élément transversal tout au long du cycle de vie.1 La norme ISO/IEC 42001 définit un système de gestion de l'IA qui formalise la politique, les objectifs et l'amélioration continue pour une utilisation responsable de l'IA.2
La pile de gouvernance de l'IA minimale viable
Commencez par ces sept éléments. Vous pouvez tous les mettre en œuvre sans créer de bureaucratie.
- Politique en matière d'IA et utilisation acceptable : Ce qui est autorisé, ce qui ne l'est pas et comment gérer les données sensibles.
- Inventaire d'IA : un registre vivant d'outils, d'agents, de plugins, de connecteurs, d'ensembles de données et d'automatisations d'IA.
- RACI : Clarté des rôles pour les décisions, les approbations, les tests et les opérations courantes.
- Flux de travail d'approbation : un formulaire de demande d'admission et un parcours prévisible pour les modifications d'IA à risque faible, moyen et élevé.
- Changer le contrôle: un processus de mise en production sécurisé, aligné sur les concepts d'ITIL en matière de gestion des changements tels que l'évaluation des risques, l'autorisation et la planification.3
- Garde-fous techniques : Contrôles d'identité, classification des données et surveillance.
- Cadence de fonctionnement : Des revues de gouvernance hebdomadaires et mensuelles, avec des responsables et des indicateurs clairement définis.
Déploiement de Copilot ou d'agents IA ce trimestre ?
Réservez une consultation d'évaluation de votre préparation à Copilot. Nous analyserons l'exposition de vos données, vos contrôles de sécurité, vos licences et vos lacunes en matière de gouvernance, puis nous vous fournirons un plan de déploiement priorisé.
Étape 1 : Constituer un inventaire d’IA que le service informatique puisse réellement maintenir
La plupart des systèmes de gouvernance échouent parce que personne ne peut répondre à une question simple : Quelles IA sont actuellement en production ? Votre inventaire doit être concis, consultable et géré par votre propriétaire. Conservez-le au même endroit que vos systèmes de suivi habituels, comme votre CMDB, un catalogue de services ou une liste SharePoint sécurisée.
Champs d'inventaire à saisir (copier et utiliser)
- Nom : outil, modèle, agent, plugin, connecteur, automatisation.
- Des fins commerciales: quels résultats cela favorise-t-il et qui en bénéficie ?
- Données touchées : sources, destinations et capacité d'accès au contenu Microsoft Graph.
- Modèle d'accès : quelles identités peuvent l'utiliser, et si son utilisation est soumise au principe du moindre privilège.
- Niveau de risque : faible, moyen, élevé (voir section suivante).
- Propriétaire: Propriétaire d'entreprise et responsable technique.
- Contrôles : Étiquettes, DLP, journalisation, conservation, approbations requises.
- Changer de chemin : Modification standard, examen du CAB ou procédure d'urgence.
- Cadence de révision : trimestriellement, semestriellement ou annuellement.
Étape 2 : Définir les niveaux de risque qui déterminent les approbations (et non les débats).
Les niveaux de risque permettent d'éviter les réunions interminables. Ils indiquent quelles modifications peuvent être mises en œuvre rapidement et lesquelles nécessitent une approbation formelle. Utilisez le tableau ci-dessous comme point de départ, puis adaptez-le à votre contexte.
| Niveau de risque | Exemples typiques d'IA | Exigence d'approbation | Contrôles minimaux |
|---|---|---|---|
| Low | Aide à la rédaction interne, comptes rendus de réunions, bibliothèque de modèles pour les données non sensibles | Approbation du propriétaire du service | Propriétaires désignés, politique d'utilisation acceptable, journalisation activée |
| Moyenne | Déploiement de Copilot dans un service, agent disposant de données métier limitées, automatisation des flux de travail | Validation informatique et sécurité | Principe du moindre privilège, étiquettes de sensibilité, scénario de référence DLP, plan de revue d'audit |
| Haute | Agents disposant d'un accès étendu aux fichiers, traitement des données clients, flux de travail réglementés, connecteurs externes | Sécurité + Confidentialité + Approbation du parrain exécutif | Classification des données appliquée, évaluation des risques, mécanismes de réponse aux incidents, fenêtre de changement formelle |
Si vous traitez des données sensibles, intégrez la gestion des incidents à votre gouvernance de l'IA dès le départ. Votre plan de réponse aux incidents doit définir les responsables, les procédures d'escalade, la gestion des preuves et les communications avant qu'un incident de divulgation de données ne survienne.4 MSP Corp propose également un guide pratique axé sur le Canada : Modèle de plan de réponse aux incidents (pour les PME).
Étape 3 : Créer une matrice RACI basée sur l’IA qui élimine l’ambiguïté
La matrice RACI est efficace car elle désigne un seul responsable par décision. Veillez à ce qu'elle reste concise et lisible. Si tout le monde est responsable, personne ne l'est vraiment.
ISACA note qu'une matrice RACI est un outil essentiel utilisé dans les boîtes à outils de gouvernance (y compris COBIT) pour clarifier les responsabilités et l'obligation de rendre des comptes à travers les différents rôles au sein de l'entreprise.5
RACI : intégration d’une nouvelle capacité d’IA (outil, agent ou connecteur)
| Activité | Propriétaire de l'entreprise | propriétaire de service informatique | Sécurité | Confidentialité / Mentions légales | Intendant des données | Service desk |
|---|---|---|---|---|---|---|
| Définir les cas d'utilisation et les indicateurs de succès | A | R | C | C | C | I |
| Étendue de l'accès aux données et conception du moindre privilège | C | R | A | C | R | I |
| sélection du niveau de risque et des contrôles | C | R | A | C | R | I |
| Décision d'approbation (accepter, refuser) | A | R | R | R | C | I |
| Exécution du projet pilote et formation des utilisateurs | R | A | C | I | C | R |
| Passez en direct et changez d'enregistrement | I | A | R | I | C | R |
| Suivi continu et examen trimestriel | A | R | R | C | R | I |
RACI : normes de bibliothèque et d’utilisation des invites
Les normes d'incitation relèvent de la gouvernance, et non de la simple formation. Elles réduisent les divulgations accidentelles de données et améliorent la reproductibilité.
| Activité | propriétaire de service informatique | Sécurité | Intendant des données | RH / Formation | Champions du département |
|---|---|---|---|---|---|
| Définir les types de données acceptables et interdits | R | A | R | C | I |
| Approuver une bibliothèque d'invites partagée | A | R | R | C | R |
| Créer des packs d'invites basés sur les rôles | R | C | C | C | A |
| Examen trimestriel et incitations à la retraite | A | R | R | I | R |
Étape 4 : Mettre en place un processus d’approbation réaliste
Les approbations échouent lorsqu'elles sont imprécises. Votre processus d'approbation doit répondre aux questions suivantes : qu'est-ce qui doit être approuvé, par qui, dans quel ordre et quelles preuves sont requises ? Utilisez les niveaux de risque pour acheminer automatiquement les demandes.
Flux d'approbation (copier et adapter)
- Admission: Le demandeur soumet une demande de modification d'IA (nouvel outil, nouveau connecteur, accès étendu, nouvel agent ou nouvel ensemble de données).
- Triage: Le responsable des services informatiques attribue un niveau de risque préliminaire et confirme la décision du responsable métier.
- Évaluation: Les parties prenantes en matière de sécurité et de données confirment le périmètre des données, les contrôles et le plan de surveillance.
- Approbation: approbations consignées dans un ticket, y compris les conditions de déblocage.
- Télécommande: Déploiement limité avec journalisation, indicateurs de succès et formation des utilisateurs.
- Passez en direct : Le dossier de modification a été clôturé avec les preuves et le plan de restauration.
- Review: Évaluation à 30 jours, puis évaluations trimestrielles ou semestrielles.
Formulaire de demande de modification d'IA (champs empêchant les reprises)
- Cas d'utilisation: quelle tâche elle améliore et à quoi ressemble le résultat « terminé ».
- Qui l'utilise : rôles, groupes et licences.
- Données consultées : Sites SharePoint, canaux Teams, boîtes aux lettres, systèmes métiers.
- Partage externe : toutes les données quittant votre locataire, y compris les connecteurs ou les agents tiers.
- Commandes demandées : Étiquettes, règles DLP, accès conditionnel, conservation, sites restreints.
- Plan de gestion des données : où les données d'audit seront examinées et par qui.
- Retour en arrière : Comment désactiver rapidement cette fonctionnalité et révoquer les autorisations ?
- Impact: temps d'arrêt, perturbation pour les utilisateurs et plan de communication.
La gouvernance est également un choix de modèle de support. Si votre équipe a besoin d'une couverture permanente pour l'adoption de Copilot, les incidents d'identité ou les modifications de terminaux, consultez la documentation. Ce qui est inclus (et ce qui ne l'est pas) dans l'assistance informatique 24h/24 et 7j/7 Ainsi, vos attentes, vos SLA et vos procédures d'escalade sont réalistes.
Étape 5 : Traiter les modifications apportées à l’IA comme de véritables modifications (contrôle des modifications aligné sur ITIL)
Les évolutions liées à l'IA peuvent impacter l'exposition des données, les autorisations des utilisateurs et la conformité. Elles relèvent donc d'une démarche d'accompagnement du changement, et non de simples ajustements informels. ITIL définit l'accompagnement du changement comme l'optimisation des processus visant à garantir la réussite des changements en veillant à l'évaluation des risques, à l'autorisation des changements et à la gestion des calendriers.3
Classer les changements d'IA en utilisant trois voies
- Changement standard de l'IA : modifications pré-approuvées à faible risque avec des étapes documentées (exemple : ajout d'utilisateurs à un groupe pilote Copilot approuvé).
- Changement normal de l'IA : nécessite un examen et une autorisation (exemple : étendre l’accès d’un agent à une nouvelle collection de sites SharePoint).
- Changement d'IA d'urgence : modifications urgentes pour réduire les risques (exemple : désactivation d’un connecteur après une suspicion de fuite de données).
Quelles preuves un registre de modifications doit-il contenir ?
- Étendue de l'accès avant et après (groupes, sites, ensembles de données).
- Niveau de risque et ensemble de contrôles appliqués.
- Preuves issues des essais (résultats pilotes et limitations connues).
- Traçabilité des approbations (qui a approuvé et quand).
- Étapes de rétablissement qu'une deuxième personne peut suivre.
Étape 6 : Utiliser les contrôles Microsoft 365 pour appliquer la gouvernance (Copilot inclus)
Pour Microsoft 365 Copilot, la gouvernance est aussi efficace que vos identités et autorisations d'accès aux données existantes. Microsoft précise que Copilot n'affiche que les données organisationnelles auxquelles un utilisateur a déjà accès en lecture seule ; par conséquent, tout contenu partagé de manière excessive peut exposer l'IA à des risques.6
Quatre contrôles qui permettent une réduction des risques plus rapide
- Hygiène des autorisations : Corriger les sites SharePoint sur-partagés, les équipes Teams publiques et le partage excessif de liens.
- Étiquettes de sensibilité : Les étiquettes de sensibilité Purview sont reconnues par Microsoft 365 Copilot et les agents Copilot, et peuvent faire respecter les droits d'utilisation lorsque le chiffrement est appliqué.7
- Audit Les journaux d'audit de Purview enregistrent les interactions avec les applications Copilot et AI ainsi que les activités d'administration à des fins de traçabilité.8
- DLP et rétention : Politiques DLP de base, ainsi que préparation à la conservation des données et à la découverte électronique pour les enquêtes.
Vérification de la réalité de la gouvernance de Copilot
- L'importance des limites de propriété des locataires : Microsoft précise que les invites, les réponses et les données accessibles via Microsoft Graph ne sont pas utilisées pour entraîner les modèles de base de Microsoft 365 Copilot.6
- L'extensibilité accroît les risques : Les agents et les connecteurs peuvent introduire de nouveaux flux de données. Chaque nouveau connecteur doit être traité comme une demande de modification à forte visibilité.
Pour un ordre de mise en œuvre pratique, commencez par le Liste de vérification de préparation à Microsoft 365 Copilot (Données, Sécurité, Licences), puis aligner les opérations en cours sur le Liste de contrôle d'administration de Microsoft 365 : tâches hebdomadaires, mensuelles et trimestrielles.
Rythme opérationnel : maintenir une gouvernance active (sans réunions interminables)
La gouvernance échoue lorsqu'elle se réduit à un document ponctuel. Donnez-lui un rythme.
Hebdomadaire (15 à 30 minutes)
- Examiner les nouvelles demandes d'IA, attribuer des niveaux de risque et confirmer les propriétaires.
- Examiner les signaux d'audit pour détecter toute utilisation inhabituelle ou tout nouveau schéma d'accès à haut risque.
- Confirmer les changements à venir et les communications avec les utilisateurs.
Mensuel (45 à 60 minutes)
- Analyse de l'adoption de Copilot et des principaux cas d'utilisation par département.
- Examiner les lacunes en matière de DLP et d'étiquetage, puis attribuer les correctifs.
- Examiner les tickets d'assistance et mettre à jour les packs d'invites et les guides d'utilisation.
Trimestriel (90 minutes)
- Examiner les éléments d'inventaire IA à haut risque et revalider le périmètre d'accès.
- Organisez un exercice de simulation sur table portant sur un scénario d'incident lié à l'IA.
- Mettre à jour les politiques, les contrôles et les modèles de modification en fonction des enseignements tirés.
Modes de défaillance courants de la gouvernance de l'IA (et comment les éviter)
- Aucun propriétaire unique responsable : Réglez le problème avec la matrice RACI et responsabilisez le chef d'entreprise en matière de valeur et d'acceptation des risques.
- Les autorisations sont un vrai casse-tête : Copilot ne résoudra pas le problème du partage excessif de données. Votre gouvernance doit inclure un processus de correction des problèmes d'autorisation.
- Les autorisations ne correspondent pas aux risques : Utilisez des niveaux pour réduire les frictions liées aux changements à faible risque et accroître la rigueur pour ceux à haut risque.
- Le soutien est insuffisant : évaluer s’il est temps d’opter pour un modèle de soutien ou un partenaire différent. Voir Quand changer de fournisseur de services gérés : 12 signaux d’alerte et une liste de vérification pour la transition.
Un plan de déploiement sur 90 jours que vous pouvez mettre en œuvre
Jours 1 à 15 : établir le contrôle
- Publier la liste des données acceptables et la liste des données « à ne jamais inclure ».
- Mettre en place un inventaire d'IA avec des propriétaires et des niveaux de risque.
- Activez l'audit et confirmez qui le vérifie chaque semaine.8
Jours 16 à 45 : mettre en place des garde-fous
- Nettoyage des autorisations pour les contenus trop partagés.
- Déployez des étiquettes de sensibilité pour les données critiques et validez le comportement de Copilot avec les éléments étiquetés.7
- Mettre en place des modifications standardisées de l'IA et des pré-approbations pour les actions à faible risque.
Jours 46 à 90 : peser en toute sécurité
- Étendez Copilot à davantage d'équipes en utilisant le flux de travail d'approbation et les fenêtres de modification.
- Formaliser des revues de gouvernance trimestrielles et un comité consultatif allégé pour les éléments à haut risque.
- Organisez un exercice de simulation d'incident avec une IA et mettez à jour votre plan de réponse aux incidents. Utilisez le modèle de MSP Corp si nécessaire. Modèle de plan de réponse aux incidents (pour les PME).
Vous souhaitez appliquer ce modèle de gouvernance à votre locataire ?
MSP Corp peut vous aider à établir la gouvernance de Copilot, à cartographier l'exposition des données, à mettre en œuvre les contrôles Purview et à opérationnaliser les approbations et le contrôle des changements afin que l'adoption soit rapide et justifiée.
QFP
Avons-nous besoin d'un nouveau comité de gouvernance pour l'IA ?
Généralement non. Commencez par étendre vos conseils en matière de changement et votre gouvernance de sécurité existants. N'ajoutez la protection de la vie privée et la gestion des données que pour les éléments d'IA présentant un risque moyen ou élevé.
Copilot est-il sûr si les autorisations Microsoft 365 sont correctement configurées ?
La gestion rigoureuse des permissions est essentielle. Microsoft précise que Copilot n'affiche que les données organisationnelles pour lesquelles un utilisateur dispose au moins d'autorisations de consultation ; par conséquent, un contenu trop partagé augmente son exposition.6 La gouvernance ajoute des étiquettes, la protection contre la perte de données (DLP), l'audit et un plan de déploiement contrôlé.
Quel est le premier succès le plus rapide à obtenir en matière de gouvernance de l'IA ?
Créez l'inventaire des IA, désignez les responsables, activez l'audit pour Copilot et les applications d'IA, et corrigez le contenu partagé de manière excessive. Mettez ensuite en place un processus simple de routage des approbations basé sur le niveau de risque.
Comment éviter que la gouvernance de l'IA ne freine les progrès ?
Utilisez des niveaux de risque et des modifications standard préapprouvées. Les modifications à faible risque doivent être rapides. Les modifications à risque élevé doivent être réfléchies, documentées et réversibles.
Références
- Institut national de la statistique. Cadre de gestion des risques liés à l'intelligence artificielle (AI RMF 1.0). PDF.
- ISO. ISO/IEC 42001:2023 Technologies de l'information – Intelligence artificielle – Système de management. Aperçu de l'ISO.
- AXELOS. Praticien ITIL 4 : Accompagnement du changement. page AXELOS.
- Institut national de la statistique. SP 800-61 Rév. 3, Directives d'intervention en cas d'incident. CSRC.
- ISACA. Améliorations apportées à la boîte à outils COBIT. ISACA.
- Microsoft Apprendre. Données, confidentialité et sécurité pour Microsoft 365 Copilot. Microsoft Apprendre.
- Microsoft Apprendre. Découvrez les étiquettes de sensibilité. Microsoft Apprendre.
- Microsoft Apprendre. Journaux d'audit pour les applications Copilot et IA. Microsoft Apprendre.