Comme l'exige le décret exécutif 30 du gouverneur Youngkin sur l'intelligence artificielle (IA), le Commonwealth a publié une politique d'utilisation de l'intelligence artificielle (IA) complète et une norme sur l'intelligence artificielle dans le cadre de la gouvernance de VITA. Ces politiques définissent la manière dont les agences doivent adopter, gérer et superviser l'IA de manière responsable, qu'elle soit autonome, intégrée, générative ou fournie par un fournisseur, à l'échelle de l'entreprise.
Les agences sont tenues d'enregistrer tous les systèmes d'IA internes et externes via le registre de l'IA (actuellement dans l'application Archer) et d'obtenir les approbations via l'application CTP Planview, en assurant l'alignement avec VITA, le chef d'agence et les équipes de gouvernance au niveau du secrétaire. La norme en matière d'IA impose une utilisation éthique et transparente de l'IA, couvrant la protection des données, le contrôle humain, l'équité et la divulgation ; elle s'applique aux déploiements d'IA nouveaux et existants.
Cette FAQ est conçue pour guider les agences du Commonwealth à travers :
- Le processus d'enregistrement et d'approbation de l'IA, y compris les définitions du champ d'application et des exemptions
- Politiques et normes techniques régissant l'acquisition, le déploiement et l'exploitation de l'IA
- Meilleures pratiques de gestion des risques, telles que la confidentialité des données, la surveillance des fournisseurs et la préparation aux audits
- Exigences en matière de documentation d'entreprise, y compris l'inventaire et le rapport d'architecture via Ardoq
Pour obtenir l'ensemble des documents de politique, des normes techniques et des ressources de gouvernance de l'IA, veuillez consulter la page Intelligence artificielle de VITA.
Foire aux questions (FAQ) sur l'IA
Démarrer avec l'IA
Toutes les agences, y compris les agences du pouvoir exécutif, de l'enseignement supérieur et les agences indépendantes, peuvent commencer par la page web VITA AI, que vous consultez actuellement ; la politique et les normes technologiques VITA AI, le responsable du portefeuille IA de leur agence et/ou l' équipe d'architecture d'entreprise (EA) du Commonwealth de VITA.
Pour toute question dépassant le cadre de cette FAQ, veuillez contacter votre partenaire stratégique technologique du Commonwealth (CTSP) de VITA, ou l' équipe EA de VITA.
Vous pouvez également envoyer des questions supplémentaires à l'adresse : vccc@vita.virginia.gov.
Pour toute question technique concernant des technologies d'IA spécifiques, veuillez contacter votre architecte d'entreprise VITA attitré.
Les capacités d'IA deviennent rapidement des fonctionnalités standard dans les logiciels et services du paysage IT, y compris dans de nombreux produits que votre agence utilise déjà. À mesure que les fournisseurs étendent ou mettent à jour leurs offres, les agences doivent rester attentives aux nouveaux composants ou fonctionnalités d'IA introduits dans les outils existants.
Les agences doivent surveiller attentivement les mises à jour des produits au sein de leurs portefeuilles afin d'identifier le moment où des fonctionnalités d'IA sont ajoutées. Il est tout aussi important d'évaluer les affirmations des fournisseurs de manière critique, car certains prestataires peuvent exagérer ou déformer la présence ou l'efficacité de l'IA dans leurs produits, une pratique communément appelée « AI washing ». Rester vigilant aide les agences à prendre des décisions éclairées et garantit la conformité avec les exigences de gouvernance de l'IA.
Les systèmes d'IA apprennent généralement à partir de données, font des prédictions, génèrent du contenu ou automatisent la prise de décision. Si le système effectue des tâches qui nécessitent normalement un jugement ou un raisonnement humain, il peut contenir de l'IA.
En cas de doute, demandez à votre responsable de solution ou à votre fournisseur.
Le registre de l'IA ne s'applique que lorsque l'IA modifie activement les données que vous fournissez ou prend des décisions, fait des prédictions, émet des recommandations ou génère du contenu. Le simple fait d'avoir une capacité d'IA intégrée dans un produit ne suffit pas à déclencher l'enregistrement. Ce qui compte, c'est de savoir si votre agence utilise réellement cette fonction d'IA.
Par exemple, Archer inclut un module d'IA, mais le Commonwealth ne l'active pas et ne l'utilise pas, et les utilisateurs finaux ne peuvent pas y accéder. Par conséquent, cela ne nécessite pas d'enregistrement.
Le registre de l'IA concerne l'enregistrement des technologies lorsque l'IA : A) modifie les données saisies, ou B) prend des décisions externes.
Lorsqu'un composant d'IA influence les résultats ou les décisions, il doit être évalué.
Si vous n'êtes pas sûr que les capacités d'IA d'un produit doivent être enregistrées, contactez le responsable du portefeuille d'IA de votre agence.
Exigences d'enregistrement et d'approbation de l'IA
Conformément à la politique d'utilisation de l'intelligence artificielle (IA), toutes les Executive Branch agencies (telles que définies dans le décret exécutif n° 30) doivent enregistrer leur utilisation de systèmes d'IA internes et externes pour supervision et approbation afin de garantir l'utilisation fiable, sûre et sécurisée de ces systèmes.
L'enregistrement et l'approbation de l'intelligence artificielle est actuellement un processus en plusieurs étapes qui nécessite l'enregistrement du cas d'utilisation dans l'application Archer, et qui, une fois approuvé, nécessite également une saisie dans l'application Planview CTP de VITA pour les approbations nécessaires (par exemple, votre directeur d'agence et votre secrétaire (IA externe uniquement)).
Si vous avez des questions sur la façon d'enregistrer votre technologie d'IA dans l'application Archer, veuillez contacter votre EA attitré au sein de l'agence qui se fera un plaisir de vous aider. Si vous avez des questions concernant CTP/Planview, contactez votre analyste ITIMD attitré au sein de l'agence.
Bien que le décret exécutif n° 30 ne prévoie pas d'exemption pour les utilisations déjà existantes de l'IA, il n'est pas nécessaire d'inclure toutes les utilisations dans le registre. En cas de doute, demandez à votre EA attitré de l'agence.
- Si la solution d'IA répond à tous les critères suivants, l'enregistrement n'est pas obligatoire :
- À usage interne
- N'utilise pas de données personnelles
- Non intégré dans un système de production (exemples de systèmes de non-production : bac à sable, systèmes de développement et de test utilisant uniquement des données synthétiques ou accessibles au public).
- Si la solution d'IA répond à l'un des critères suivants, l'enregistrement est obligatoire :
- À usage externe
- Utilise les données personnelles
- Utilisé dans un système de production
- Soutient les processus essentiels à la mission de l'agence
- Comprend les données sensibles telles que définies dans la norme de sécurité de l'information SEC530.
- Nécessite un examen pour l'évaluation des services cloud.
Oui.
Toute utilisation de l'IA pour les activités officielles du Commonwealth, même s'il s'agit d'outils gratuits largement disponibles, doit passer par la procédure formelle d'enregistrement et d'approbation définie dans les normes d'IA et le décret exécutif EO-30. Sans approbation officielle, les employés ne peuvent pas télécharger, accéder ou utiliser ces produits sur des appareils de l'État ou pour le travail de l'agence.
Cette exigence existe parce que les outils d'IA disponibles gratuitement présentent les mêmes risques que les solutions payantes ou d'entreprise. Le décret exécutif n° 30 et les normes d'IA garantissent que toute utilisation de l'IA protège les données des citoyens, évite les résultats biaisés ou nuisibles et soutient un objectif commercial valide. Des rapports publics récents ont montré que certains outils d'IA gratuits peuvent produire des résultats inexacts ou biaisés, soulignant la nécessité d'une évaluation minutieuse avant toute utilisation par une agence.
Les politiques, normes et exigences du registre en matière d'IA ne s'appliquent pas dans les situations suivantes :
- IA utilisée pour les systèmes de défense ou de sécurité du Commonwealth, tels que les outils de cybersécurité, les contrôles CVC ou les systèmes SCADA.
- IA intégrée dans des produits commerciaux courants où le Commonwealth ne contrôle pas le logiciel ou les données qu'il utilise. Les exemples incluent les appareils grand public comme une Apple Watch ou un iPhone, les logiciels de bureau commerciaux tels qu'Adobe Photoshop, ou les applications SaaS gérées où l'IA sous-jacente ne peut pas être accédée ou invoquée indépendamment par l'utilisateur.
- IA utilisée dans les activités de recherche et développement (R&D) ou les programmes d'enseignement dans les établissements publics d'enseignement supérieur.
Bien que l'IA utilisée à des fins de recherche, d'expérimentation ou d'enseignement dans les établissements publics d'enseignement supérieur soit généralement exemptée, l'IA utilisée pour des fonctions administratives, opérationnelles ou commerciales impliquant des données du Commonwealth n'est pas exemptée. Tout système qui influence des décisions dans le monde réel, gère des opérations institutionnelles ou traite des données réglementées ou sensibles doit respecter les politiques, les normes et les exigences du registre de l'IA. Les exemples incluent :
- IA utilisée dans les admissions d'étudiants, y compris les systèmes qui filtrent, notent ou classent les candidats.
- IA utilisée pour déterminer les bourses, les subventions ou l'aide financière, ou pour automatiser les décisions d'éligibilité.
- IA utilisée dans la gestion du personnel, y compris les outils de recrutement, d'évaluation du personnel ou de soutien à la gestion des performances.
- IA utilisée pour gérer les opérations commerciales de base, telles que la gestion financière, les achats, l'administration immobilière, la supervision des installations ou les processus de services IT.
- IA qui accède ou traite des données institutionnelles sensibles, y compris les données protégées par la HIPAA, la FERPA, les réglementations de l'IRS ou d'autres exigences fédérales et étatiques.
En bref, tout système d'IA lié à des décisions opérationnelles, à la gouvernance institutionnelle ou à des données réglementées relève du décret exécutif EO-30 et doit être enregistré et approuvé avant toute utilisation.
La procédure d'enregistrement et d'approbation de l'IA et COV RAMP répondent à des objectifs liés mais distincts, et ils se déroulent dans un ordre spécifique afin de protéger les agences contre des coûts et des efforts inutiles.
Le processus d'enregistrement et d'approbation de l'IA évalue l'intention d'utiliser une technologie d'IA spécifique à des fins professionnelles particulières. Il garantit que l'utilisation proposée est conforme au décret exécutif n° 30 (EO-30) et à la politique d'utilisation de l'IA ; couvrant des questions telles que l'utilisation éthique, la protection des données, l'atténuation des biais et la justification commerciale.
COV RAMP, quant à lui, évalue la viabilité opérationnelle du fournisseur et la capacité du Commonwealth à acquérir et à utiliser le produit en toute sécurité. Il se concentre sur la sécurité des fournisseurs, la stabilité financière, les obligations contractuelles et la posture de risque.
Soumettre d'abord l'enregistrement et l'approbation de l'IA aide les agences à éviter des frais COV RAMP inutiles. Si une proposition d'IA est refusée au niveau politique par VITA ou le Secrétariat, l'agence n'aura pas besoin d'initier le filtrage COV RAMP, ce qui permet d'économiser du temps et d'éviter des coûts. Une fois qu'une utilisation proposée de l'IA est approuvée, l'agence peut procéder à COV RAMP avec l'assurance que l'investissement est approprié, justifié et conforme.
Cela dépend.
Le registre de l'IA est conçu pour promouvoir la transparence concernant l'utilisation de l'IA par le Commonwealth, conformément aux exigences de la politique d'utilisation de l'IA en matière de divulgations et de clauses de non-responsabilité obligatoires. Par conséquent, les informations contenues dans le registre sont généralement soumises à The Virginia Freedom of Information Act (FOIA).
Cependant, la FOIA inclut des exemptions en matière de cybersécurité et d'informations sensibles qui peuvent s'appliquer à certaines parties d'une entrée du registre. Ces exemptions, telles que celles décrites dans le Code Va. Code § 2.2-3705.2(2) et (14), permettent aux agences de retenir ou d'expurger des informations qui, si elles étaient divulguées, pourraient exposer des risques de sécurité ou des données protégées. La FOIA fournit également des mécanismes pour expurger des champs spécifiques ou extraire uniquement les parties divulguables d'un dossier (voir Code Va. §§ 2.2-3704(G) et 2.2-3704.01).
Si une agence soumet au registre de l'IA des informations susceptibles d'être sensibles ou confidentielles, elle doit clairement marquer ces informations lors de leur saisie. Cela permet de garantir que, si une demande FOIA est reçue, les examinateurs peuvent déterminer efficacement ce qui doit être divulgué et ce qui peut faire l'objet d'une exemption ou d'une occultation.
Non.
La feuille de route de la technologie de l'intelligence artificielle du COV est destinée à mettre en évidence les solutions d'IA qui ont déjà été examinées et à orienter les agences vers des technologies qu'elles pourraient souhaiter explorer.
Si un produit d'IA ne figure pas sur la feuille de route, votre agence peut toujours le poursuivre en soumettant l'utilisation proposée via le processus d'enregistrement et d'approbation de la supervision de l'IA. Toute utilisation de l'IA, qu'elle figure ou non sur la feuille de route, doit suivre les mêmes étapes d'enregistrement et d'évaluation décrites dans la politique d'utilisation de l'IA et la norme sur l'IA.
En bref, l'absence de la feuille de route n'interdit pas l'utilisation. Cela signifie simplement que la technologie n'a pas encore été évaluée ou incluse, et votre agence doit la soumettre via le processus d'approbation normal.
Cela dépend.
Comment le fournisseur utilise-t-il l'IA et cette utilisation affecte-t-elle le Commonwealth ?
Si un fournisseur utilise l'IA strictement à des fins internes, non liées au Commonwealth, par exemple un employé utilisant un outil d'IA comme Claude pour analyser un e-mail qui n'implique pas de données ou de services du Commonwealth, alors aucune divulgation ou enregistrement n'est requis.
Cependant, l'enregistrement est requis lorsque l'utilisation de l'IA par un fournisseur soutient directement un processus métier du Commonwealth, affecte la mission d'une agence ou a des implications vis-à-vis du public. Cela inclut toute fonctionnalité d'IA qui influence les décisions, les processus, le traitement des données ou les services fournis au Commonwealth ou à ses citoyens.
La responsabilité de l'enregistrement dépend également de l'origine de l'utilisation de l'IA :
Si VITA demande ou exige que le fournisseur utilise une capacité d'IA particulière, alors VITA est responsable de s'assurer que le cas d'utilisation de l'IA est inscrit dans le registre. Si le fournisseur propose d'utiliser l'IA dans le cadre de la prestation de services à VITA ou à toute autre agence, alors le fournisseur doit initier la procédure d'enregistrement et travailler avec VITA pour la mener à bien.
En bref, toute utilisation de l'IA par un fournisseur qui touche aux données, aux systèmes ou aux fonctions opérationnelles du Commonwealth doit être enregistrée, qu'elle soit initiée par le fournisseur ou dirigée par VITA.
Pas nécessairement.
Certaines utilisations internes et à faible risque de l'IA générative ne nécessitent pas d'enregistrement. En général, l'enregistrement n'est pas requis lorsque l'utilisation de l'IA :
- est à usage interne et ne prend en charge que la recherche informelle ou la génération d'idées,
- ne produit pas de décisions, de politiques ou de résultats qui guident les actions officielles,
- n'utilise pas de données du Commonwealth ni de données personnelles,
- n'est pas connecté aux processus opérationnels de base de l'agence,
- n'est pas intégré dans un système ou un flux de travail de production.
Si l'IA générative est utilisée strictement pour le brainstorming, la synthèse d'informations publiques, l'exploration d'idées ou le soutien à l'apprentissage sans toucher aux données du Commonwealth ni affecter les travaux essentiels à la mission, l'enregistrement n'est pas requis.
Si vous n'êtes pas certain que l'utilisation prévue répond à ces conditions, contactez le responsable du portefeuille d'IA de votre agence pour obtenir des conseils.
L'IA utilisée strictement à des fins de recherche, d'expérimentation ou d'enseignement et d'apprentissage dans les établissements publics d'enseignement supérieur est exemptée des politiques, normes et exigences d'enregistrement en matière d'IA du Commonwealth. Ces utilisations soutiennent l'exploration académique et n'impliquent pas de prise de décision opérationnelle ou de processus commerciaux du Commonwealth. Les exemples incluent :
- IA utilisée dans les initiatives de recherche, telles que les outils qui aident les personnes à effectuer des tâches ou qui soutiennent l'étude du comportement humain.
- Exploration assistée par l'IA de sujets académiques, où l'IA est utilisée pour examiner, résumer ou analyser des corpus de connaissances.
- Analyse des données de recherche assistée par l'IA, y compris l'expérimentation avec des modèles, des ensembles de données ou des méthodologies.
- Recherche axée sur l'IA elle-même, telle que le développement ou l'évaluation d'algorithmes, de méthodes ou de technologies émergentes.
- Utilisation de l'IA générative en classe par les étudiants, y compris pour les travaux où les étudiants utilisent des outils d'IA pour les aider à rédiger, coder ou résoudre des problèmes.
- Utilisation pédagogique par le corps enseignant, telle que la notation, l'évaluation des travaux des étudiants ou la démonstration de systèmes d'IA dans le cadre des cours.
VITA recommande que l'utilisation de l'IA dans la recherche impliquant des sujets humains soit supervisée par l'Institutional Review Board (IRB) de l'établissement afin de garantir un traitement éthique, des pratiques de données responsables et la protection de la vie privée des participants.
Pour les usages pédagogiques, VITA recommande de suivre les conseils du Département de l'Éducation de Virginia (pour le K–12) et du State Council of Higher Education for Virginia (SCHEV) (pour les collèges et universités).
Exigences de documentation Ardoq
En vertu de la politique en matière d'IA, les agences sont tenues de « documenter où et comment l'IA est utilisée dans l'ensemble de leur portefeuille IT » dans le cadre de leurs responsabilités de gouvernance.
Ardoq est la plateforme désignée pour maintenir un portefeuille d'agences centralisé et standardisé, permettant à VITA et au Commonwealth-CIO de surveiller l'utilisation, d'évaluer les risques et d'assurer la conformité dans l'ensemble du Commonwealth.
Tout système d'IA utilisé ou acquis par une agence du pouvoir exécutif, y compris l'IA autonome, intégrée ou générative, doit être enregistré dans les deux.
La documentation dans Ardoq doit commencer pendant la phase de planification, avant la soumission ITIM. Une documentation préalable garantit :
- Alignement avec les normes d'architecture d'entreprise
- Inclusion dans le processus d'examen des risques
- Visibilité pour VITA et les architectes d'entreprise assignés
Par la suite, des mises à jour doivent être effectuées tout au long du cycle de vie, de l'approvisionnement au déploiement et au déclassement.
Les agences doivent inclure :
Informations suffisantes dans tous les champs demandés pour définir complètement le cas d'utilisation soumis pour approbation.
Aucun champ ne doit être laissé vide.
Les agences doivent enregistrer les nouveaux systèmes d'IA dans le registre de l'IA du COV et soumettre les détails via Ardoq avant leur déploiement.
Les mises à jour ont lieu chaque année pour documenter tout changement et assurer un alignement continu avec les politiques et normes du COV.
Le représentant IT de l'agence (AITR) et le responsable de la sécurité de l'information (ISO) sont responsables de :
- Garantir que les entrées sont complètes et à jour,
- Suivi et rapport des indicateurs d'utilisation,
- Coordonner toute mise à jour ou tout changement avec VITA et le CIO.
Les agences doivent également nommer un responsable de la gouvernance des données d'IA pour superviser la documentation et effectuer des audits annuels.
Les agences doivent mener des audits annuels des systèmes d'IA à haut risque pour confirmer :
- Pratiques de minimisation des données
- Gestion du consentement
- Journaux et suivi des accès
- Conformité aux protocoles de désidentification, d'atténuation des biais et de sécurité
Les résultats d'audit doivent être soumis à VITA et au Secrétaire à l'Administration.
1. Aux étapes charnières telles que la pré-planification, l'approvisionnement et la mise en service
2. Chaque fois que les attributs clés changent : propriétaire, classification des données, statut du cycle de vie
3. Lors des mises à jour trimestrielles de l'ITIM, pour garantir l'exactitude de l'architecture et la conformité
L'IA en environnement de test (bac à sable) ou utilisant uniquement des données synthétiques/publiques est exemptée d'enregistrement/documentation formel. Mais si le système :
- Est prévu pour une utilisation en production, ou
- Soutient les processus essentiels à la mission, ou
- Nécessite un examen des services cloud
Ensuite, l'enregistrement dans CTP/Archer et la documentation dans Ardoq sont requis.
Pas entièrement par lui-même. Conformément à la politique, les systèmes d'IA doivent également être :
- Enregistré dans CTP/Planview
- Connecté dans Archer pour l'inventaire des risques
- Approuvé par le directeur de l'agence (et le secrétaire, si IA externe) et reflété à la fois dans CTP et Archer
- Documenté dans Ardoq dans le cadre de la gouvernance de l'architecture au niveau de l'entreprise
La documentation d'Ardoq complète ces étapes, mais ne les remplace pas.
Protection des données, vie privée et utilisation responsable
Si votre solution d'IA implique toute forme de données personnelles, telles que des informations personnelles, sensibles ou identifiables, votre agence doit être en mesure d'expliquer clairement comment ces données sont collectées, utilisées, protégées et régies. Au minimum, votre documentation et votre demande d'approbation doivent inclure :
-
Une description des données utilisées. Identifiez les éléments de données spécifiques impliqués, la raison pour laquelle chacun est nécessaire et la valeur que le système d'IA est censé produire à partir de ceux-ci.
-
Comment les données seront sécurisées et qui peut y accéder. Décrivez les protections de stockage, les contrôles d'accès, le chiffrement, les pratiques de conservation, ainsi que les rôles ou les personnes autorisés à consulter ou à utiliser les données.
-
Comment le modèle d'IA fonctionne sur les données. Expliquez comment l'ensemble de données sera traité, comment le modèle génère ses résultats et tous les risques connus liés aux biais, aux inférences ou aux utilisations abusives.
-
Comment les résultats seront anonymisés ou protégés. Documentez la manière dont les résultats seront dé-identifiés, filtrés ou protégés afin d'empêcher l'exposition d'informations personnelles.
-
Une limite critique: Les données personnelles ne doivent pas être utilisées pour entraîner de nouveaux modèles d'IA, sauf autorisation expresse, ce qui inclut toutes les garanties prévues par la politique d'utilisation de l'IA et la législation applicable.
Remarque : Toute utilisation de données personnelles augmente considérablement les exigences de surveillance, et les agences doivent assurer la conformité avec le décret EO-30, les normes d'IA de VITA, les lois sur la protection de la vie privée et les attentes en matière de gouvernance des données.
Toute solution d'IA développée par une agence du Commonwealth doit clairement démontrer qu'elle a l'autorisation d'utiliser chaque ensemble de données impliqué dans l'entraînement, y compris les données provenant de sources accessibles au public. Les agences doivent être en mesure d'identifier et de documenter tous les ensembles de données utilisés, d'expliquer pourquoi chaque ensemble de données est approprié et de décrire comment les données contribuent au fonctionnement et aux résultats du système d'IA.
Tous les ensembles de données utilisés pour le développement de l'IA, la formation ou les solutions d'IA en général doivent être documentés dans l'outil d'architecture d'entreprise du Commonwealth. Cette documentation garantit la traçabilité, favorise la transparence et permet la supervision tout au long du cycle de vie de la solution d'IA.
Avant d'utiliser des données pour entraîner un modèle d'IA, en particulier des données pouvant inclure des informations personnelles, sensibles, protégées par la propriété intellectuelle ou soumises au droit d'auteur, les agences doivent consulter leur conseiller juridique ou le Bureau du procureur général. Ces examens aident à confirmer que l'agence dispose de l'autorisation appropriée, que les exigences en matière de propriété intellectuelle et de licence sont respectées et qu'aucune donnée interdite n'est utilisée dans l'entraînement du modèle.
En résumé, les agences ne peuvent utiliser que les données qu'elles sont explicitement autorisées à utiliser, et elles doivent documenter, justifier et gouverner pleinement ces données tout au long du développement du système d'IA.
Oui.
Le code généré par l'IA peut être utilisé, mais uniquement sous une surveillance humaine stricte. Tout code produit par un outil d'IA doit être minutieusement examiné, validé et testé avant d'être intégré dans un système d'agence.
Un développeur qualifié doit examiner le code généré par l'IA avant de l'ajouter à toute branche de développement, en s'assurant qu'il répond aux exigences de sécurité, de qualité et d'architecture. La solution résultante doit faire l'objet de tests complets, incluant des analyses de sécurité, une vérification fonctionnelle et une évaluation des performances avant d'être mise en production.
En bref, l'IA peut aider à la génération de code, mais les personnes doivent rester pleinement responsables de l'examen, de l'approbation et de la validation de tout code avant son déploiement.
Actualisation de l'enregistrement et maintenance continue
La mise à jour du registre signifie que le registre de l'IA du Commonwealth doit toujours refléter un inventaire précis et à jour de chaque système d'IA utilisé par une agence, y compris les solutions nouvellement déployées, les systèmes existants de longue date, les capacités intégrées et les outils génératifs. Il s'agit d'un registre vivant qui reflète à tout moment le portefeuille IT réel de l'agence.
Pourquoi :
Parce que la politique d'utilisation de l'IA exige une documentation complète sur la manière dont l'IA est utilisée par les agences, garantissant ainsi la transparence, la supervision, la validation humaine et un déploiement éthique. Un registre à jour est fondamental pour ces obligations.
Non.
Tout système d'IA existant prenant en charge des fonctions essentielles à la mission ou critiques pour l'entreprise, traitant des données de citoyens/entreprises ou nécessitant un examen du cloud doit être enregistré, même s'il a été déployé il y a des années.
Pourquoi :
Le processus d'approbation s'applique à toute utilisation de système d'IA interne ou externe, et la politique précise que les agences doivent documenter où et comment l'IA est utilisée dans l'ensemble de leur portefeuille IT, sans exception pour les technologies plus anciennes.
Les mises à jour doivent être effectuées en continu, chaque fois qu'un système d'IA est identifié, modifié, remplacé ou nouvellement utilisé.
Pourquoi :
Les exigences de gouvernance des agences imposent que les entrées du registre restent complètes et à jour, et les audits annuels dépendent d'une documentation précise. Une maintenance continue permet d'éviter les lacunes qui pourraient affaiblir la surveillance.
Limiter l'enregistrement aux systèmes entièrement nouveaux laisse l'IA intégrée, héritée ou existante sans suivi. Cela crée des angles morts en matière de conformité, d'examen du contrôle humain, de gestion des risques et de transparence envers les citoyens.
Pourquoi :
La politique met l'accent sur la documentation de toute utilisation de l'IA, garantissant un déploiement responsable et éthique, quelle que soit l'origine du système. Les responsabilités liées à l'IA s'appliquent de la même manière à l'IA autonome, intégrée ou générative.
Enregistrez-le rapidement dans le registre de l'IA, obtenez les approbations requises et mettez à jour la documentation de gouvernance associée.
Pourquoi :
Tous les systèmes d'IA doivent passer par le flux de travail d'approbation et être enregistrés afin que les examinateurs de VITA et du Secrétariat puissent évaluer l'équité, le contrôle humain, la gestion des données et les risques.
Les représentants IT des agences (AITR), les responsables de la sécurité de l'information (ISO), le personnel de gouvernance désigné de l'agence et la division d'architecture d'entreprise de VITA jouent tous un rôle partagé dans la découverte, la documentation, l'examen et la maintenance des entrées d'IA.
Pourquoi :
La politique attribue aux agences la responsabilité de documenter l'utilisation de l'IA, d'obtenir les approbations et de maintenir à jour les entrées du registre, tandis que VITA conserve les dossiers et assure la supervision.
Les audits vérifient que les entrées du registre sont exactes, complètes et cohérentes avec l'utilisation réelle du système. Les conclusions aident à identifier les lacunes et à garantir que les documents de gouvernance sont à jour.
Pourquoi :
Les audits annuels des systèmes à haut risque et les examens continus de la gouvernance des agences dépendent d'entrées de registre complètes, et les résultats doivent être soumis à VITA et au secrétaire à l'Administration.
Oui, mais uniquement lorsque le système est strictement hors production (bac à sable, développement ou test) et utilise des données synthétiques ou disponibles publiquement.
Pourquoi :
L'exemption d'approbation pour « l'IA intégrée dans des produits commerciaux standard » ne s'étend pas aux systèmes activement utilisés en production. Les exigences de gouvernance imposent toujours une connaissance de l'inventaire, même lorsque l'enregistrement n'est pas requis.
La mise à jour du registre garantit que les agences respectent l'exigence du décret exécutif n° 30 concernant l'enregistrement et l'approbation obligatoires de chaque utilisation de l'IA, y compris les utilisations existantes, permettant une supervision cohérente à l'échelle de l'État et un déploiement éthique.
Pourquoi :
Le décret exécutif EO-30 exige la transparence et une documentation complète de toute IA, et le flux de travail d'approbation de la politique opérationnalise ces obligations.
- Effectuez une analyse complète des systèmes et des applications pour identifier l'IA intégrée ou existante.
- Distinguer les utilisations en production et hors production.
- Enregistrez tous les systèmes d'IA en production.
- Terminez les approbations CTP dans Planview.
- Effectuer des examens internes périodiques et des audits annuels.
- Maintenir la documentation requise dans le cadre de la gouvernance de l'agence.
Pourquoi :
Ces actions sont conformes aux sections de politique concernant la documentation, les flux de travail d'approbation, les audits et les exigences de gouvernance.
Il garantit la cohérence à l'échelle de l'État, une utilisation éthique, la transparence des systèmes destinés aux citoyens et une conformité uniforme à la politique d'utilisation de l'IA.
Pourquoi :
La politique exige que les agences documentent où et comment l'IA est utilisée et mettent les documents de gouvernance à la disposition de VITA. Les entrées actuelles du registre soutiennent une supervision responsable et cohérente à l'échelle de l'État.
Les agences n'ont pas besoin de soumettre une demande d'approbation au registre pour l'IA intégrée dans des produits commerciaux standard. Cependant, les agences doivent toujours rester conscientes de l'IA intégrée grâce à des pratiques d'inventaire.
Pourquoi :
Le processus d'approbation exempte explicitement l'IA intégrée dans les logiciels commerciaux standard, mais la gestion de l'inventaire des ressources tierces reste requise.
Un registre à jour aide les agences à suivre où l'IA tierce est utilisée afin qu'elles puissent évaluer les tests des fournisseurs, la documentation, les garanties, les restrictions d'utilisation des données et les mesures de sécurité.
Pourquoi :
La politique impose la vérification des fournisseurs, les examens de tests, les exigences contractuelles et la gestion des stocks afin d'atténuer les risques liés aux tiers.
Cela aide les agences à identifier tous les systèmes d'IA qui traitent les données du Commonwealth, permettant ainsi la conformité avec le Government Data Collection and Dissemination Practices Act, la minimisation des données, les limites de conservation et les mesures de sécurité.
Pourquoi :
La politique exige des mesures strictes de confidentialité et de protection des données ainsi que des audits annuels des systèmes à haut risque, qui dépendent tous deux de la connaissance exacte des systèmes d'IA existants.
Il permet aux agences de répondre aux exigences de divulgation en identifiant clairement quels systèmes génèrent des décisions, du contenu destiné au public ou des résultats automatisés ayant un impact sur les citoyens.
Pourquoi :
La politique exige la divulgation publique, l'étiquetage du contenu, les avis préalables à l'utilisation et la transparence pour les systèmes d'IA externes qui affectent les citoyens. Des entrées de registre précises soutiennent ces obligations.
Oui. Les agences doivent savoir quels systèmes utilisent l'IA afin de pouvoir appliquer le langage de clause de non-responsabilité obligatoire correct aux résultats, aux décisions et au contenu.
Pourquoi :
La politique impose des mentions de non-responsabilité spécifiques et des règles de transparence chaque fois que l'IA est utilisée pour générer ou aider à la production de résultats. Une connaissance précise du registre est essentielle.
Des entrées de registre à jour permettent aux agences et aux examinateurs d'évaluer chaque système d'IA en vue d'une validation, d'une supervision et d'une explicabilité humaines, évitant ainsi une prise de décision « boîte noire » non surveillée.
Pourquoi :
La politique interdit toute logique décisionnelle inexpliquée et exige un contrôle humain pour valider les résultats et remédier aux conséquences imprévues.
Cela garantit que chaque système d'IA, y compris les plus anciens, a un objectif clairement énoncé, un avantage public et une documentation justificative (y compris l'examen RIA), conformément aux normes modernes.
Pourquoi :
La politique exige que chaque système d'IA justifie sa valeur pour les citoyens et documente les alternatives évaluées au cours du processus d'étude de cas.
Le maintien d'entrées de registre complètes réduit les lacunes de coordination en créant un ensemble de données unifié et faisant autorité sur les systèmes d'IA dans toutes les agences.
Pourquoi :
Les exigences de gouvernance des agences mettent l'accent sur une documentation claire, un suivi à jour et la disponibilité des dossiers pour VITA, ce qui permet d'atténuer la fragmentation.
Un registre complet garantit que les agences peuvent répondre aux exigences d'audit, démontrer leur conformité aux normes politiques et fournir des documents de gouvernance précis à VITA et à la direction des politiques.
Pourquoi :
Les agences doivent mener des audits annuels des systèmes à haut risque, suivre l'utilisation de l'IA, tenir à jour la documentation et soumettre les résultats à VITA et au secrétaire à l'Administration, ce qui dépend entièrement de l'exactitude du registre.