Making AI Safe in the Real World: From Governance Principles to Operational Tools

Thomas Schneider soutient que les principes de gouvernance couchés sur papier n'ont aucune valeur réelle sans outils et mécanismes concrets pour les mettre en œuvre. L'objectif central de la session est d'examiner si de tels outils existent désormais pour combler le fossé entre l'aspiration et la pratique.

Il a explicitement déclaré que « la convention met en avant un certain nombre de principes, mais bien entendu, des principes sans mise en œuvre ne sont que des aspirations » et a cadré la discussion comme portant sur « la distance entre les deux et la question de savoir si des outils existent maintenant pour combler l'écart entre les principes écrits sur papier et ceux effectivement mis en œuvre » .

Schneider explique que la Convention 225 du Conseil de l'Europe ne crée pas de nouvelles normes, mais veille plutôt à ce que les normes relatives aux droits de l'homme et à la démocratie développées au cours du siècle dernier soient applicables dans les contextes d'IA. Cette approche est décrite comme une logique simple mais intelligente qui évite les doublons tout en comblant un vide spécifique en matière de gouvernance.

Il a noté que la convention « fait référence à toutes les normes nationales et internationales » et « cherche à garantir que les normes existantes, quelle que soit la région du monde où l'on se trouve, en matière de protection des droits de l'homme, de démocratie et d'état de droit s'appliquent également aux environnements où l'IA entre en jeu » . Il a également souligné qu'il existe une demande des gouvernements, de la société civile, des développeurs et des entreprises en faveur de lignes directrices claires et fiables, citant même Brad Smith de Microsoft comme appelant à un cadre clair .

Schneider souligne que la Convention 225 est conçue comme un instrument mondial et non purement européen. Elle ne fait référence à rien d'explicitement européen, mais s'appuie sur l'ensemble des normes nationales et internationales, la rendant applicable à tout pays qui défend les droits de l'homme, la démocratie et l'état de droit.

Il a déclaré que la convention « ne fait référence à rien d'explicitement européen, elle fait référence à toutes les normes nationales et internationales, c'est donc un instrument mondial » et qu'elle est « accessible à tous les pays du monde qui respectent les droits de l'homme, la démocratie et l'état de droit » . La convention avait déjà recueilli 21 signatures à l'échelle mondiale, dont celle de l'UE au nom de ses 27 États membres .

La convention énonce des principes communs et exige que certains mécanismes remplissant les mêmes fonctions soient en place, mais laisse à chaque État le soin de déterminer comment les mettre en œuvre en fonction de ses propres traditions institutionnelles et juridiques. Cette approche crée une forme d'interopérabilité entre différents systèmes nationaux tout en respectant leur diversité.

Schneider a expliqué que la convention « ne dit pas aux gouvernements exactement comment ils doivent procéder » et que « c'est à chaque État de le faire en fonction de son histoire institutionnelle et juridique » . En « définissant les mêmes principes et en exigeant l'existence de mécanismes ayant la même fonction, elle crée un certain niveau d'interopérabilité entre différents systèmes » et « place tout le monde sur un pied d'égalité tout en permettant différentes façons de procéder » .

Schneider précise que si les principes de la convention s'appliquent directement aux acteurs publics et à ceux agissant pour le compte du public, les États s'engagent également à garantir une protection équivalente lorsque des acteurs privés utilisent l'IA. Cette différenciation des responsabilités est décrite comme logique mais inclusive.

Il a déclaré que « les États s'engagent également, et même de manière plus souple, mais ils s'engagent à veiller à ce que le même niveau de protection soit également appliqué lorsqu'il s'agit de... acteurs publics et privés utilisant l'IA » et que « cela implique aussi une responsabilité pour les États de s'assurer que les droits des personnes, la démocratie et l'état de droit sont également protégés en ce qui concerne les acteurs privés » .

Schneider décrit la méthodologie Huderia comme un outil structuré et à plusieurs niveaux, adapté aux utilisateurs disposant de degrés d'expertise et de besoins variés. Sa conception en trois niveaux lui permet de servir aussi bien ceux qui recherchent une vue d'ensemble que ceux qui ont besoin d'orientations opérationnelles détaillées.

Il a décrit les trois niveaux : « Le premier propose des fonctions très générales. Le deuxième niveau est un document de 20 pages qui explique les différents éléments du modèle Huderia de manière également très générale, et si vous souhaitez approfondir, vous disposez d'un document d'environ 80 pages qui contient des questionnaires et entre dans le détail de la mise en œuvre possible » . Il a également souligné que l'outil a été développé non seulement par des juristes, mais aussi par des membres de la communauté de normalisation technique, des universitaires et des professionnels du monde des affaires, et qu'il a été testé sur des cas concrets .

Ayisha Piotti structure la discussion de la session autour de quatre dimensions distinctes mais interdépendantes du défi que représente la mise en œuvre des principes de gouvernance de l'IA. Elle soutient qu'il est insuffisant de n'aborder qu'une ou deux de ces dimensions ; les quatre doivent être prises en compte ensemble pour une mise en œuvre efficace.

Elle a explicitement décrit les quatre dimensions : la dimension normative (la Convention du Conseil de l'Europe et la méthodologie Huderia), la dimension de mise en œuvre nationale (le contexte national de l'Égypte), la dimension des normes (l'infrastructure technique pour l'évaluation d'impact et la gestion des risques), ainsi que la dimension du financement du développement et de l'assistance technique .

Piotti observe que, malgré son importance, le rôle du financement du développement dans la mise en œuvre de la gouvernance de l'IA est rarement abordé dans les grands forums de gouvernance. Elle appelle à accorder davantage d'attention à ce sujet et l'identifie comme un enseignement clé de la session.

Elle a noté que « j'ai participé à de très nombreuses discussions sur la gouvernance jusqu'à présent, et que toute la dimension du financement institutionnel du développement n'est pas vraiment couverte » , et dans ses remarques de clôture, elle a déclaré que « le financement du développement... il y a bien plus qui pourrait être fait dans ce domaine » et que « c'est un sujet que je ne vois pas beaucoup traité, et je pense qu'il serait très utile d'organiser davantage de sessions à ce sujet » .

Dans ses remarques de clôture, Piotti synthétise les messages clés de la session en affirmant qu'aucun élément isolé — cadres normatifs, ressources financières ou assistance technique — n'est suffisant à lui seul. Une mise en œuvre efficace requiert que les trois fonctionnent de concert, soutenus par une collaboration multipartite.

Elle a conclu que « pour que nous puissions vraiment bien y parvenir, nous aurons besoin du volet normatif. Nous aurons besoin, bien sûr, du volet financier, mais nous aurons également besoin du volet assistance technique. Et si nous faisons cela ensemble, en collaboration... essayons, et même si nous échouons, continuons d'essayer, prenons le risque. Je pense que c'est la voie à suivre » .

Baraka soutient que la gouvernance de l'IA doit être intégrée à chaque étape du cycle de vie des systèmes d'IA, de la conception jusqu'au suivi post-déploiement, plutôt que d'être traitée comme une réflexion après coup ou un ensemble de principes abstraits. Cela exige une intégration dans les institutions, les processus de passation de marchés et les décisions quotidiennes des agents publics.

Elle a déclaré que « la gouvernance de l'IA ne peut vraiment pas rester comme un simple ensemble de principes généraux ou un document de politique. Elle doit faire partie de la façon dont le gouvernement conçoit, acquiert, déploie, surveille et évalue » les systèmes d'IA, et doit être « intégrée également dans les institutions, dans nos processus de passation de marchés, dans notre mise en œuvre sectorielle, dans le renforcement des capacités et dans les décisions quotidiennes de nos agents publics » .

Le témoignage de Baraka sur le parcours de l'Égypte en matière de gouvernance démontre que la Convention du Conseil de l'Europe et la méthodologie Huderia ont une pertinence et une utilité pratiques pour des pays qui ne sont pas membres du Conseil de l'Europe. L'Égypte a utilisé ces instruments comme références clés lors de l'élaboration de son propre cadre national de gouvernance de l'IA.

L'Égypte a étudié 35 cadres de gouvernance différents, notamment « la Convention-cadre du Conseil de l'Europe sur l'IA, Huderia, la recommandation de l'UNESCO, les principes de l'OCDE sur l'IA, Hiroshima » , et Huderia a été décrite comme « particulièrement utile car elle aide à faire passer la discussion de valeurs très abstraites à une évaluation structurée » . L'Égypte a également intégré les principes Huderia dans ses lignes directrices sur les systèmes d'IA et ses directives de passation de marchés .

Baraka souligne que la contribution essentielle de Huderia réside dans sa capacité à traduire des valeurs de gouvernance abstraites en questions d'évaluation concrètes et structurées que les gouvernements peuvent réellement utiliser. En demandant qui sont les parties prenantes, quel est le contexte et comment l'impact peut être évalué, elle devient un outil opérationnel pratique.

Elle a déclaré que « Huderia a été particulièrement utile car elle aide à faire passer la discussion de valeurs très abstraites à une évaluation structurée. Et elle pose des questions pratiques. Quel est le contexte ? Qui sont les parties prenantes ? Comment peut-on réellement évaluer l'impact ? » .

Reconnaissant que les fonctionnaires avaient besoin d'orientations plus concrètes que celles que Huderia pouvait fournir à elle seule, l'Égypte a entrepris un exercice de cartographie reliant chaque processus Huderia aux normes ISO pertinentes. Cette cartographie a été intégrée dans les lignes directrices égyptiennes en matière de marchés publics afin de fournir aux fonctionnaires des étapes claires et applicables.

Baraka a expliqué que l'Égypte « a effectué ce type de cartographie entre chaque processus de la méthodologie Huderia et les normes ISO correspondantes, afin de pouvoir fournir aux fonctionnaires les normes qu'ils doivent respecter lors de l'acquisition de leur système d'IA » . Cette démarche était motivée par le constat qu'« il est bien d'avoir Huderia, c'est un cadre, mais comment le mettre en œuvre ? » .

Baraka présente l'approche globale et progressive de l'Égypte en matière de construction d'une infrastructure de gouvernance de l'IA, qu'elle décrit comme une « pile complète de gouvernance responsable de l'IA ». Cette pile a été développée de manière incrémentale sur plusieurs années, chaque élément s'appuyant sur le précédent.

Elle a décrit cette pile comme comprenant le Conseil national pour l'IA créé en 2019 , deux éditions de la stratégie nationale en matière d'IA, dont la deuxième lancée en janvier 2025 , la Charte égyptienne pour une IA responsable alignée sur les principes de l'OCDE et de l'UNESCO , ainsi que le Centre égyptien pour une IA responsable créé l'année précédente .

L'Égypte a adopté une approche comparative et fondée sur des données probantes pour élaborer son cadre national de gouvernance de l'IA, en étudiant systématiquement 35 cadres internationaux différents. L'objectif n'était pas de reproduire un modèle unique, mais de comprendre le paysage existant, puis de l'adapter au contexte culturel, institutionnel et juridique propre à l'Égypte.

Baraka a indiqué que l'Égypte a étudié « 35 cadres de gouvernance différents », notamment la Convention-cadre du Conseil de l'Europe, Huderia, la recommandation de l'UNESCO, les principes de l'OCDE sur l'IA et Hiroshima , avec pour objectif « non pas de copier, bien entendu, l'un de ces modèles, mais de tous les comprendre, puis de veiller à pouvoir les adapter et les contextualiser à notre culture, nos normes et nos institutions égyptiennes » .

Baraka soutient que les marchés publics ne sont pas simplement une fonction administrative, mais un levier de gouvernance essentiel pour ancrer les principes d'une IA responsable dans la pratique. L'Égypte a élaboré des lignes directrices spécifiques en matière de marchés publics et un laboratoire d'audit de l'IA pour aider les fonctionnaires à comprendre et à appliquer les exigences de gouvernance dans les décisions réelles d'acquisition.

Elle a expliqué que les fonctionnaires avaient du mal à traduire les lignes directrices relatives aux systèmes d'IA en pratique, ce qui a conduit l'Égypte à élaborer des lignes directrices en matière de marchés publics associant les processus Huderia aux normes ISO . L'Égypte est également en train de « mettre en place un bac à sable d'IA, un laboratoire d'audit de l'IA pour former les fonctionnaires aux outils permettant de comprendre ce que signifie la gouvernance et ce que signifie une IA responsable » .

Baraka soutient que la gouvernance de l'IA et les systèmes d'IA eux-mêmes doivent être localisés pour refléter les valeurs culturelles, les normes et les langues des communautés qu'ils servent. Le développement par l'Égypte du LLM en langue arabe Karnak est présenté comme un exemple concret de ce principe en action.

Elle a décrit comment le Centre d'innovation appliquée de l'Égypte a développé « un LLM en arabe, Ozkarnak » pour fournir un modèle de langage aligné sur les valeurs culturelles égyptiennes et arabes , et a noté que l'Égypte « discute actuellement avec un certain nombre de pays africains de la manière de déployer Karnak dans le monde africain » afin de contextualiser les modèles fondamentaux pour différentes régions .

Baraka présente la position géographique et culturelle de l'Égypte comme un atout stratégique dans la coopération internationale en matière de gouvernance de l'IA. L'Égypte se perçoit comme un pont entre l'Afrique, le monde arabe et la Méditerranée/l'UE, et œuvre activement à partager son expérience en matière de gouvernance dans ces régions.

Elle a déclaré que « l'Égypte est toujours prête à jouer le rôle de pont entre l'Afrique, la région arabe et également la Méditerranée, l'UE. Je pense que notre situation géographique est vraiment au cœur de tout. Nous sommes donc heureux de contribuer, d'apporter et d'échanger notre expérience dans cette importante technologie émergente » .

Baraka reconnaît que si l'Égypte a pu réaliser des progrès significatifs en matière de politique, de lignes directrices et de renforcement des capacités grâce à des fonds nationaux, l'infrastructure de calcul représente un obstacle financier majeur. L'impossibilité de financer un environnement sandbox complet basé sur le cloud illustre le défi plus large auquel font face les pays du Sud global.

Elle a expliqué que « l'infrastructure de calcul représente pour nous un défi de taille » et que si les travaux liés aux politiques et au renforcement des capacités « peuvent véritablement être réalisés grâce à nos fonds nationaux », le matériel informatique et l'infrastructure de calcul nécessitent des financements différents . L'Égypte n'a pu mettre en place qu'« un laboratoire équipé de quelques ordinateurs de bureau dotés de GPU » plutôt qu'« un environnement sandbox IA complet basé sur le cloud, en raison, bien entendu, des contraintes de financement » .

Baraka établit une distinction claire entre ce que l'assistance technique multilatérale peut et ne peut pas financer. Si des organisations comme la Banque mondiale et la GIZ sont utiles pour les travaux de politique et de renforcement des capacités, elles ne répondent pas aux besoins en matériel informatique et en infrastructure de calcul, pourtant essentiels à une mise en œuvre complète de la gouvernance de l'IA.

Elle a souligné qu'« avec l'assistance technique, il est possible de réaliser certains travaux liés au renforcement des capacités, à l'élaboration des programmes, à la définition des normes nationales et à la mise en place des politiques », et que des organisations comme la Banque mondiale et la GIZ peuvent contribuer à « l'examen et à la révision » . Toutefois, pour ce qui est du matériel, l'Égypte « explore différentes modalités de financement et mécanismes de financement » afin de permettre la mise en œuvre intégrale de la stratégie .

Peter Deussen soutient que l'une des fonctions les plus importantes des normes internationales est qu'elles parlent le langage de l'industrie. Cela en fait un pont essentiel entre les principes de gouvernance de haut niveau et les réalités pratiques des organisations qui développent et déploient des systèmes d'IA.

Il a déclaré que les documents ISO « vous fournissent un langage que l'industrie comprend. Ils vous fournissent les meilleures pratiques du secteur. Donc, si vous voulez parler d'entreprises qui, vous savez, développent ou, vous savez, mettent de l'IA sur le marché, c'est le langage qu'elles comprennent » .

Deussen soutient qu'Huderia et les normes ISO ne sont pas des cadres concurrents, mais complémentaires, qui traitent de différents aspects du défi de mise en œuvre. Huderia se concentre sur le fond des impacts sur les droits de l'homme et la démocratie, tandis que les normes ISO fournissent l'infrastructure de processus organisationnels nécessaire pour donner suite à ces évaluations.

Il a décrit les deux comme « les deux faces d'une même chose. L'ISO vous donne plutôt le lien avec ce qu'il faut faire concrètement au sein de votre organisation... tandis qu'Hedaria se concentre davantage sur la matière en tant que telle, sur les impacts ou les risques pour les droits de l'homme, la démocratie et l'état de droit » . Il a conclu que « réunir ces deux éléments... pourrait être une très bonne approche... pour faciliter la mise en œuvre d'Huderia par les organisations » .

Deussen présente l'ensemble des normes relatives à l'IA développées par le Comité conjoint ISO/IEC SC42, en expliquant comment chacune aborde un aspect différent de la gouvernance responsable de l'IA. Ensemble, ces normes forment un cadre complet pour les organisations souhaitant gérer l'IA de manière responsable.

Il a décrit l'élaboration d'un document sur la gestion des risques liés à l'IA , la norme de système de management de l'IA ISO 42001 fournissant « des exigences générales sur la manière de mettre en place des processus au sein d'une organisation pour traiter de manière responsable l'intelligence artificielle » , ainsi qu'une norme sur l'évaluation de l'impact des systèmes d'IA « explicitement axée sur l'impact des systèmes d'IA sur les personnes, les individus, les groupes d'individus et la société en général » .

Deussen identifie une lacune spécifique que comblent les normes ISO et qu'Huderia n'aborde pas : les processus organisationnels internes nécessaires pour donner suite aux évaluations d'impact. Les normes ISO précisent les cycles de révision, les processus d'approbation et la documentation requis pour intégrer la gouvernance de l'IA au sein d'une organisation.

Il a expliqué que la norme d'évaluation d'impact de l'ISO « traite du type de cycle de révision dont vous avez besoin, du type de processus d'approbation dont vous avez besoin, du type de documentation qui serait approprié pour comprendre cela » , offrant « le lien avec ce qu'il faut faire concrètement au sein de votre organisation », ce qu'Huderia ne propose pas .

Deussen identifie une lacune importante qui subsiste : bien que l'ISO ait élaboré des normes complètes à l'intention de l'industrie, celles-ci n'ont pas encore été traduites en orientations directement utilisables par les décideurs politiques et les régulateurs. Un document de liaison ou une correspondance entre ces deux univers est nécessaire.

Il a déclaré qu'ISO « n'a pas encore fait... le nécessaire pour décrire comment ces documents peuvent être utilisés dans un contexte réglementaire, comment ces documents peuvent être utilisés par les décideurs politiques » , et a suggéré qu'« un document d'orientation quelconque, une forme de cartographie permettant de faire le lien entre ces documents et le monde réglementaire... pourrait s'avérer très utile » .

En réponse à une question du public sur l'absence d'informations structurées concernant le déploiement de l'IA, Deussen soutient que les organismes de normalisation peuvent jouer un rôle utile dans la définition de la structure et des exigences de contenu d'une base de données d'informations sur l'IA, même s'ils ne sont pas en mesure d'alimenter eux-mêmes une telle base de données.

Il a déclaré que « ce qu'ISO peut fournir, c'est la structure d'une telle base de données, en précisant quel type d'informations y intégrer, comment la maintenir et comment l'organiser » , tout en reconnaissant que « la normalisation ne peut pas vous fournir un catalogue de toutes les applications industrielles de l'intelligence artificielle » .

Un membre du public soutient que le principal obstacle à une gouvernance efficace de l'IA n'est pas l'absence de lignes directrices, mais le manque d'informations standardisées et accessibles sur les lieux et les modalités de déploiement réel de l'IA. Sans ces informations fondamentales, les cadres de gouvernance ne peuvent pas être appliqués efficacement.

Le membre du public a déclaré que « nous ne disposons pas d'informations sur les secteurs et les entreprises où l'IA est utilisée, sur la manière dont elle est utilisée concrètement, ni sur la nature de l'interaction entre la supervision humaine et l'IA en tant que niveau d'autonomie » , et a demandé si « ce type d'informations, présentées de manière standardisée... peut combler le vide fondamental en matière de gouvernance et de prise de décision » .