Évaluation des risques et migration organisationnelle
Ce module permet de transposer les concepts abordés dans la formation en un outil pratique à l’usage du conseil d’administration. Il présente une taxonomie des risques permettant d’évaluer les documents non souverains, les indicateurs de préparation qui signalent qu’une organisation est en mesure d’entamer un véritable travail d’adoption, ainsi qu’une feuille de route de migration réaliste, par étapes. L'objectif n'est pas de déclarer du jour au lendemain que tous les documents sont souverains, mais d'aider le conseil d'administration à déterminer quels documents justifient ce changement et comment s'y prendre pour commencer.
8.1 Une taxonomie des risques au niveau du conseil d'administration
Tous les documents ne bénéficient pas de la même visibilité, et les traiter tous de la même manière représente un gaspillage d’efforts et occulte les documents qui comptent véritablement. Un conseil d’administration peut évaluer les archives non souveraines selon six critères : le risque juridictionnel (quelles lois et autorités s’appliquent aux données), le risque probatoire (l’authenticité et l’intégrité peuvent-elles être prouvées), le risque culturel / de confiance communautaire (la gestion des archives répond-elle aux attentes de la communauté), le risque de contournement par l’IA (la capacité des processus automatisés à agir sans contrainte humaine), le risque de portabilité (la capacité de l’organisation à partir en conservant son historique intact) et le risque de dépendance vis-à-vis de l’opérateur (la continuité dépendant d’un seul fournisseur ou d’un seul individu).
Points clés de l'enseignement
- Ces six dimensions constituent un outil de tri, et non une grille d'évaluation : elles aident le conseil d'administration à classer les dossiers en fonction de leur niveau d'exposition, et non à attribuer une note unique.
- Un dossier peut présenter un faible risque sur la plupart des critères et un risque extrêmement élevé sur un seul ; ce seul critère suffit à justifier un substrat souverain.
- Les risques liés à la défaillance de l'IA et à la dépendance vis-à-vis de l'opérateur sont souvent sous-estimés, car ils restent invisibles jusqu'au jour où ils sont mis à l'épreuve.
Sujets de discussion
- Pour laquelle de ces six dimensions votre organisation n'a-t-elle actuellement aucune réponse valable à apporter ?
- Dans quels cas la commodité et la visibilité s'opposent-elles, et qui décide du compromis à trouver ?
- Quels dossiers présentent un risque suffisamment faible pour ne pas être modifiés, et cette décision est-elle consignée quelque part ?
8.2 Indicateurs de préparation
La mise en œuvre de l’IA échoue lorsqu’elle est abordée comme un choix d’outils plutôt que comme une question de gouvernance. Les organisations sont prêtes à s’engager sérieusement dans un processus d’adoption lorsqu’elles sont capables de réaliser clairement quatre choses : recenser leurs données de gouvernance à forte valeur ajoutée, identifier leurs dépendances actuelles vis-à-vis des fournisseurs, décrire leurs flux de travail assistés par l’IA et préciser quelles décisions doivent rester explicitement du ressort de l’humain. Aucune de ces étapes ne nécessite de nouvelles technologies ; elles exigent simplement que le conseil d’administration ait examiné clairement ses propres pratiques.
Points clés de l'enseignement
- Le fait de désigner les documents de grande valeur oblige à faire la distinction entre ce qui semble important et ce qui s’avérerait réellement déterminant en cas de contestation.
- La cartographie des dépendances vis-à-vis des fournisseurs met concrètement en évidence les risques liés à la dépendance vis-à-vis des opérateurs et aux compétences juridictionnelles évoqués au point 8.1.
- C'est en précisant quelles décisions doivent rester du ressort de l'humain que l'on établit la limite qui permet d'étendre en toute sécurité les processus assistés par l'IA, plutôt que de les considérer comme dangereux à mettre en œuvre.
Sujets de discussion
- Votre conseil d'administration serait-il capable, aujourd'hui, de dresser la liste de ses documents de gouvernance les plus importants sans avoir à se réunir au préalable pour établir cette liste ?
- Quels sont les processus assistés par l'IA actuellement utilisés que le conseil d'administration n'a jamais officiellement décrits ni approuvés ?
- Quelles sont les décisions que l'organisation a implicitement déléguées à un outil alors qu'elle insisterait, à y réfléchir, pour qu'elles restent du ressort de l'humain ?
8.3 Le parcours de migration
La souveraineté numérique est un parcours, et non un saut « tout ou rien ». Une approche par étapes réaliste permet à une organisation d’avancer de manière réfléchie, de tirer les leçons d’une première étape délimitée et de ne s’étendre que là où la valeur est avérée. Les étapes sont les suivantes : (1) identifier les dossiers de délibération présentant le plus grand risque ; (2) cartographier les dépendances juridictionnelles et vis-à-vis des fournisseurs ; (3) distinguer les flux de travail de commodité des flux de travail relevant de la mémoire constitutionnelle ; (4) mettre en place un enregistrement plus rigoureux de la provenance et des validations ; (5) tester un environnement souverain pour une fonction de gouvernance bien délimitée ; et (6) étendre cette approche à l’aide à la décision assistée par l’IA et aux processus sensibles en contact avec la communauté.
Points clés de l'enseignement
- Les étapes 1 à 3 sont des étapes de diagnostic et ne coûtent pratiquement rien ; elles permettent d'affiner le jugement avant toute décision technologique.
- Le fait de distinguer les flux de travail liés à la commodité de ceux liés à la mémoire constitutionnelle permet d'éviter une conception trop complexe des dossiers qui n'en ont pas besoin.
- Un projet pilote bien délimité permet d'obtenir les données probantes et la confiance nécessaires pour justifier l'extension à des processus assistés par l'IA et orientés vers la communauté — l'ordre des étapes est important.
Sujets de discussion
- Quel est le projet pilote le plus restreint possible qui permette néanmoins de démontrer l'intérêt, en matière de gouvernance, des comptes rendus des délibérations souveraines ?
- Quel processus est véritablement synonyme de « commodité » et lequel n’est qu’un souvenir constitutionnel déguisé en commodité ?
- Quelles conditions devraient être remplies à l'issue d'un épisode pilote pour que le conseil d'administration donne son feu vert à la sixième saison ?
8.4 Compromis et ce à quoi vous renoncez
Une décision souveraine a un coût, et un conseil d'administration ne se rend pas service en agissant comme si ce n'était pas le cas. Un processus d'adoption rigoureux consiste à mettre en balance les coûts et les avantages, et la même rigueur en matière de gestion des risques, telle que décrite au point 8.1, s'applique à la décision souveraine elle-même.
Points clés de l'enseignement
- Coût d'exploitation — les infrastructures publiques doivent être financées, entretenues et exploitées ; ce coût est réel et récurrent, et non ponctuel.
- Commodité et intégrations — on renonce à une partie de la commodité, du raffinement et des intégrations prêtes à l'emploi offertes par les outils grand public, et cette difficulté se fait sentir au quotidien.
- Continuité du fournisseur — un fournisseur plus petit ou plus récent présente des risques liés à la continuité et à la maturité qu’un grand opérateur historique ne présente pas nécessairement, et ces risques doivent être évalués avec rigueur.
- Une plateforme souveraine constitue en soi une dépendance vis-à-vis d'un opérateur: l'adoption d'une plateforme souveraine unique engendre un risque de dépendance vis-à-vis d'un opérateur et doit donc être soumise à la taxonomie du module 8.1, sans en être exemptée.
Sujet de discussion
- Si vous évaluiez l’option souveraine elle-même à l’aune de la taxonomie des risques 8.1, sur quels points obtiendrait-elle un score inférieur à celui de votre dispositif actuel ? Et s’agit-il d’un compromis que votre conseil d’administration serait prêt à accepter en toute connaissance de cause ?
Auto-évaluation
1. Quel est l'objectif de la taxonomie des risques à six dimensions présentée au paragraphe 8.1 ?
La taxonomie classe les dossiers en fonction de leur exposition selon différentes dimensions — une seule dimension aiguë peut suffire à justifier un changement.
2. Selon le paragraphe 8.2, la capacité à s'engager dans un processus d'adoption sérieux dépend avant tout de…
La préparation repose sur une connaissance claire de soi, et non sur le budget ou les outils : un conseil d’administration incapable de retrouver sa mémoire statutaire n’est pas prêt à la transférer.
3. Sur quoi devrait porter le premier projet pilote de migration ?
Le premier cas d'utilisation doit mettre clairement en évidence la valeur ajoutée : un atelier doit permettre au comité de se doter d'une hypothèse pilote, et non pas se contenter d'une prise de conscience abstraite.