Utiliser l’IA pour les rapports GRI : ce qui peut être automatisé et ce qui exige un jugement humain

Les exigences des GRI s’appliquent à l’organisation déclarante. Un système d’IA peut produire du texte, des classifications ou des signalements d’anomalies, mais il ne devient pas le responsable des données, l’approbateur de la matérialité, le conseiller juridique, le prestataire d’assurance ou l’organe de gouvernance le plus élevé. L’organisation doit toujours appliquer les principes de reporting, conserver des éléments probants vérifiables et étayer chaque jugement.

Il n’existe pas non plus de contrôle unique de la « précision de l’IA ». Les risques diffèrent selon la tâche : une erreur de synthèse, un nombre d’information inventé, un calcul incorrect, une violation de la confidentialité et une conclusion de matérialité formulée avec une confiance excessive exigent des contrôles différents. Le modèle opérationnel devrait classifier le cas d’utilisation avant l’utilisation de l’outil.

1. Classer le cas d’utilisation et le risque. Définir si le système automatisera, assistera, éclairera une décision ou rédigera une déclaration publique.

2. Approuver les sources et le périmètre des données. Utiliser les normes officielles en vigueur, les documents contrôlés de l’organisation et les niveaux d’accès autorisés.

3. Définir le contrat de sortie. Indiquer le schéma requis, les déclarations interdites, les niveaux de confiance et ce que le système doit signaler comme inconnu.

4. Générer avec traçabilité. Conserver les ancres des sources, le modèle/la version, l’invite/le modèle, l’ensemble de récupération et la sortie.

5. Effectuer une revue technique et des éléments probants. Valider les identifiants des informations à fournir, les périmètres, les calculs, les faits, les exemples et les limites.

6. Escalader les décisions spécialisées. Orienter les questions juridiques, relatives aux droits humains, scientifiques, actuarielles, d’assurance ou de confidentialité vers des réviseurs qualifiés.

7. Approuver la réponse de référence et la formulation publique. Séparer la préparation de l’approbation technique ou de gouvernance finale.

8. Archiver et surveiller. Conserver les modifications acceptées, les sorties rejetées, les registres d’incidents, les tests de régression et les déclencheurs de mise à jour.

Pas de source, pas d’affirmation normative : le système doit signaler une lacune de source plutôt que de compléter la logique de mémoire.

Utiliser la récupération à partir de documents approuvés et conserver les ancres exactes des sources avec chaque affirmation.

Vérifier indépendamment tous les numéros, titres, éditions, dates d’entrée en vigueur et règles relatives aux motifs d’omission de GRI.

Effectuer les calculs dans des feuilles de calcul ou du code transparents, et non au moyen d’une génération de langage en texte libre.

Séparer la correspondance candidate de la correspondance approuvée, et la formulation candidate de la formulation publiée.

Utiliser un registre des formulations interdites pour les affirmations relatives à la conformité, à la certification, à l’équivalence, à l’assurance et à l’impact causal.

Exiger des niveaux de confiance et conserver les conditions avec l’affirmation qu’elles qualifient.

Exécuter des tests de régression sur des scénarios connus comme difficiles et comparer les sorties lorsque le modèle ou l’invite change.

Bloquer les informations personnelles, relatives aux réclamations, privilégiées ou confidentielles du client dans les systèmes non approuvés.

Surveiller les erreurs et les incidents évités de justesse, et retirer le contenu généré par l’IA qui ne peut pas être vérifié.

Le cadre volontaire de gestion des risques liés à l’IA du NIST organise la gestion des risques autour de Govern, Map, Measure et Manage. Son Generative AI Profile ajoute des actions adaptées aux risques liés à l’IA générative, tandis que le Playbook propose des actions de mise en œuvre suggérées plutôt qu’une liste de contrôle obligatoire. Les Principes de l’OCDE sur l’IA renforcent la transparence, l’explicabilité, la robustesse, la sécurité et la responsabilité. Il s’agit de sources générales de gouvernance ; elles ne modifient pas les exigences de la GRI et ne rendent pas une sortie d’IA techniquement correcte.

Une équipe chargée de l’établissement d’un rapport demande à un outil d’IA générative de construire un Index du contenu GRI à partir d’un projet de rapport. L’outil identifie de nombreuses références correctes aux informations à fournir, mais invente deux numéros d’informations à fournir, indique que plusieurs exigences partielles sont complètes et décrit une déclaration d’assurance portant sur certaines émissions comme couvrant le rapport. Le flux de travail contrôlé détecte les erreurs, car chaque entrée doit renvoyer à une exigence approuvée de la source, à l’emplacement exact dans le rapport et au responsable des éléments probants. Le réviseur final rejette les identifiants inventés, consigne précisément les exigences incomplètes et restreint le libellé relatif à l’assurance.

Traiter un ton très assuré comme une preuve d’exactitude.

Utiliser une recherche web non contrôlée lorsque les normes officielles à jour sont disponibles dans le dossier de sources.

Permettre au modèle de fusionner les exigences de la GRI, des ESRS et des IFRS en une fausse équivalence.

Ne pas préserver la condition exacte ou l’exception associée à un énoncé normatif.

Utiliser l’IA pour formuler une justification d’omission ou une conclusion juridique sans consulter un conseil juridique.

Accepter une mise en correspondance automatisée au niveau du titre de l’information à fournir tout en omettant les sous-exigences.

Ne conserver aucune trace du modèle, de l’invite, de l’ensemble de sources ou des modifications humaines.

Placer des informations restreintes relatives aux réclamations ou des informations personnelles dans un environnement non approuvé.

Déléguer l’approbation finale des affirmations et de la publication à la même personne que celle qui a généré le projet.

Pour chaque tâche importante assistée par l’IA, conservez le cas d’utilisation, le modèle, le fournisseur et la version, la version de l’invite ou du flux de travail, la source approuvée et l’ensemble de récupération, la classification des données d’entrée, le résultat, les points d’ancrage dans la source, le niveau de confiance et les limites, la revue humaine et la décision finale. Conservez les modifications acceptées, les résultats rejetés, les incidents, les tests de régression et les déclencheurs de mise à jour afin que le résultat puisse être reproduit et réexaminé lorsque les éléments probants, les normes ou le modèle changent.