Gouvernance et conformité de l'IA
Gouverner les données et les processus d'IA : stratégies de gouvernance, cadres comme la Generative AI Security Scoping Matrix et les services de conformité AWS.
Un système d'IA parfaitement sécurisé peut quand même violer une règle. Les données restent stockées trois ans après l'échéance parce que personne n'a fixé de durée de rétention, l'inférence part dans une Région que le service juridique n'a jamais approuvée, et le comité qui devait relire les prompts chaque trimestre ne s'est jamais réuni. Ce sujet couvre l'autre moitié du domaine : les règles au-dessus des contrôles, et les services qui prouvent que les règles ont été tenues.
Ce que couvre ce sujet
- la différence entre gouvernance et sécurité des données, et la question à laquelle chacune répond
- le cycle de vie des données dans un système d'IA, et les copies supplémentaires que le RAG, le fine-tuning et les logs créent
- la rétention en pratique : les valeurs par défaut de S3, CloudWatch Logs et CloudTrail, et comment les changer
- la résidence des données face à l'inférence multi-Région d'Amazon Bedrock, avec la distinction entre inference profile géographique et global
- la surveillance et l'observation d'un système d'IA déployé, et pourquoi une dérive ne déclenche aucune alarme de disponibilité
- les cinq scopes de la Generative AI Security Scoping Matrix et la séparation entre perspective acheteur et perspective constructeur
- les composants d'un protocole de gouvernance : politiques, cadence de revue, stratégies de revue, transparence, formation
- la place d'ISO/IEC 42001, du NIST AI Risk Management Framework et de l'EU AI Act
- les six services de gouvernance de l'examen : CloudTrail, AWS Config, Audit Manager, Artifact, Inspector et Trusted Advisor
Pourquoi c'est important
Les questions de gouvernance se reconnaissent à leur formulation. Un énoncé de sécurité dit « empêcher l'accès » ; un énoncé de gouvernance dit « ne doit pas être conservé au-delà de », « doit rester à l'intérieur de », « doit pouvoir démontrer ». Le vocabulaire vous oriente déjà vers la bonne famille de réponses, et ce sujet vous donne la seconde étape : quel service produit précisément la preuve demandée.
C'est aussi le sujet qui fait la différence entre un prototype et une mise en production dans une entreprise régulée. Vous savez déjà construire une application sur un modèle de fondation et la sécuriser. Reste à savoir sous quelles règles elle vit, qui les écrit, à quelle fréquence elles sont relues, et où se trouve le dossier qu'un auditeur demandera.