Contexte et enjeux
Les entreprises qui déploient l’IA à grande échelle constatent que les modèles sont tributaires de la solidité de l’infrastructure sous‑jacente. Dans les services financiers, où les flux de données sont massifs et les exigences de conformité élevées, une faiblesse dans les sauvegardes, les journaux ou les politiques d’accès peut rapidement entraîner une interruption du service. Rodrigo Rodrigues, CTO du groupe Experian, souligne que la vitesse d’innovation augmente le risque lorsque les bases techniques n’ont pas été conçues pour supporter l’IA.
Mise en œuvre du cadre NIST
Experian a intégré le NIST AI Risk Management Framework directement dans ses pipelines d’entraînement et de déploiement. Avant chaque exécution, le système vérifie automatiquement les sources de données, applique des règles de qualité et valide les politiques de sécurité. Si l’une de ces vérifications échoue, le pipeline s’arrête sans possibilité d’intervention manuelle, garantissant ainsi que seules les charges de travail conformes progressent. Cette automatisation transforme la gouvernance théorique en contrainte technique mesurable.
Gestion des agents IA et contrôle d’accès
Le groupe a créé un marché interne d’agents IA, fonctionnant comme un registre de micro‑services. Chaque agent est versionné, possède un propriétaire désigné et suit des politiques de cycle de vie, y compris des critères de retrait. L’identité des agents repose sur le principe du moindre privilège, similaire à celui appliqué aux utilisateurs humains : les identifiants sont régulièrement renouvelés et les accès sont surveillés en temps réel via des alertes automatisées. Cette approche empêche les fuites de données, car ce sont les permissions qui déterminent ce qui peut être exposé.
Approche de récupération et tests
Experian définit des objectifs de récupération spécifiques à l’IA, couvrant non seulement les applications mais aussi les modèles et les pipelines de données. Des exercices de récupération planifiés, analogues aux tests de continuité d’activité classiques, sont exécutés à intervalles réguliers. Les résultats sont quantifiés, ce qui élimine l’incertitude lors d’un incident réel. En combinant ces drills avec le cadre NIST, l’entreprise dispose d’un processus itératif qui mesure continuellement la capacité de restauration et ajuste les paramètres de sécurité en conséquence.
