Red Hat a présenté asago (AI Safety And Governance Orchestration), un nouveau projet communautaire open source visant à résoudre l’un des enjeux émergents lors de la mise en production de l’intelligence artificielle : transformer les politiques de sécurité, de conformité et de gouvernance en contrôles techniques réellement applicables aux modèles et agents d’IA.

Les essentiels d’asago en 20 secondes

• Red Hat promeut asago comme un projet open source pour automatiser la gouvernance et la sécurité des systèmes d’IA.
• Ce système vise à connecter politiques et réglementations avec des évaluations de risques, des tests, des garde-fous et des contrôles déployables.
• Il intègre des standards tels que NIST AI RMF, OWASP LLM Top 10 et le Règlement européen sur l’IA.
• Il pourra générer des configurations déclaratives pour Kubernetes, Terraform et Ansible.
• Parmi les participants initiaux figurent Microsoft, NVIDIA, IBM Research, Brave et l’Institut Alan Turing.

L’initiative intervient alors que de nombreuses organisations font face à un problème moins visible que le choix d’un modèle de langage. Une entreprise peut établir une politique précisant quels types de données une application d’IA peut traiter, quelles actions un agent peut exécuter ou quels risques doivent être évalués avant la mise en production d’un système. La difficulté réside dans la transposition concrète de ces règles en infrastructure, configurations et contrôles vérifiables.

C’est là que Red Hat souhaite positionner asago.

De la politique écrite au contrôle déployé sur Kubernetes

Le concept derrière asago est relativement simple à expliquer, même s’il est technologiquement ambitieux : créer une chaîne qui relie une obligation de gouvernance à un contrôle se déployant en production.

Le projet prévoit quatre étapes.

La première est le cartographie des risques. asago analysera les politiques de gouvernance d’une organisation et relatira leurs exigences à des cadres de référence existants, tels que le NIST AI Risk Management Framework (AI RMF), l’OWASP LLM Top 10 ou le Règlement européen sur l’IA, en utilisant également l’IBM AI Risk Atlas.

L’objectif est de produire un profil de risques exploitable par les équipes d’ingénierie.

Vient ensuite l’étape d’évaluation. Plutôt que de se limiter à une série de benchmarks standards, asago cherchera à générer des scénarios adaptés au cas d’usage, afin de tester des comportements potentiellement dangereux du système.

La troisième étape concerne la mitigation. Sur la base des tests, le projet pourra recommander des contrôles et des garde-fous appropriés, en justifiant chaque mesure prise.

Enfin, ces contrôles seront déployés en production.

Selon Red Hat, asago est conçu pour générer des configurations déclaratives compatibles avec Kubernetes, Terraform et Ansible, facilitant ainsi l’intégration des politiques d’IA dans des pratiques adoptées par de nombreuses équipes d’infrastructure via DevOps, GitOps et Infrastructure as Code (IaC).

Ce dernier point pourrait devenir l’un des aspects les plus innovants du projet pour les administrateurs système, équipes plateforme et responsables cloud.

La gouvernance ne serait plus limitée à un document vérifié avant l’approbation d’une application. Partie de ces règles pourrait être convertie en configurations versionnées, reproductibles et auditées.

Une sorte de « Policy as Code » appliqué à l’intelligence artificielle

Bien que Red Hat ne présente pas asago comme un simple outil de Policy as Code, ce parallèle permet de mieux comprendre la problématique qu’il cherche à adresser.

Dans les infrastructures modernes, il est courant d’expliciter par le code quels ressources déployer, quelles configurations autoriser ou quelles politiques respecter dans un cluster.

L’arrivée de l’IA ajoute une couche supplémentaire.

Une organisation peut définir, par exemple, qu’un agent n’accède pas à certains ressources, qu’un modèle doit passer des évaluations spécifiques avant déploiement, ou qu’une application nécessite des contrôles pour faire face à certains risques.

Le défi consiste à assurer une traçabilité continue de ces règles.

asago souhaite maintenir une traçabilité d’audit intégrale depuis la politique initiale jusqu’aux tests effectués et contrôles appliqués lors de l’exécution. Un auditeur pourrait ainsi retrouver la justification d’un contrôle spécifique ou l’évaluation utilisée.

Cette problématique devient encore plus critique avec l’émergence des agents d’IA.

Un chatbot classique se limite à générer du texte. Un agent pourra recevoir des outils, consulter des bases de données, utiliser des API, modifier des informations ou lancer des processus. Plus un système dispose de capacités, plus il devient essentiel de contrôler non seulement le modèle utilisé, mais ce qu’il peut faire, dans quelles conditions et comment son activité est enregistrée.

Red Hat travaille depuis plusieurs mois sur cette problématique. La société participe aussi, avec NVIDIA, à l’Open Secure AI Alliance, une initiative dédiée au développement d’outils ouverts pour renforcer la sécurité des modèles, agents et autres composants de la chaîne IA.

Kubernetes, Terraform et Ansible au service de la gouvernance de l’IA

Pour les équipes techniques, une différence clé d’asago réside dans sa capacité à connecter la conformité réglementaire avec des outils déjà présents dans l’infrastructure.

Red Hat indique que le projet pourra produire des configurations pour Kubernetes, Terraform et Ansible, indépendamment du fait que les applications soient déployées dans le cloud, en environnement hybride ou sur des infrastructures on-premises.

Cela permettrait d’intégrer les contrôles liés à l’IA dans le même cycle que la gestion des autres composants de la plateforme.

Une politique pourrait ainsi se transformer en configuration déclarative, stockée dans Git, soumise à revue, puis déployée automatiquement. En cas de changement de besoin, une référence permettrait d’identifier les contrôles à réviser.

Cela ne garantit pas que asago transforme automatiquement toute législation en infrastructure conforme. Le respect des normes requiert toujours une interprétation juridique, une analyse des risques et des décisions organisationnelles.

L’objectif du projet est aussi d’automatiser une autre étape : faire la traduction entre ces décisions et les contrôles techniques nécessaires à leur application et leur documentation.

Il faut également garder à l’esprit que asago est encore en phase de développement précoce. Red Hat décrit la démarche comme une communauté en construction, ses capacités déclarées étant pour l’instant des objectifs techniques, sans constituer une offre commerciale prête à l’emploi.

Le code est publié sous licence Apache 2.0, permettant à développeurs, chercheurs et organisations de contribuer à son évolution.

Red Hat souhaite faire de la gouvernance de l’IA une infrastructure

La liste de partenaires initiale illustre l’ambition de Red Hat avec ce projet.

Outre la société elle-même, figurent Brave Software, EvalEval, IBM Research, l’Interdisciplinary Transformation University Austria, Microsoft, le MIT Lincoln Laboratory, la North Carolina State University, NVIDIA et l’Institut Alan Turing, parmi d’autres collaborateurs.

Ce choix n’est pas anodin. La gouvernance de l’IA dépasse la simple question réglementaire ou de développement de modèles.

Dans le contexte d’applications d’entreprise, responsables sécurité, développeurs, data scientists, administrateurs Kubernetes, équipes de plateforme, spécialistes conformité et auditeurs doivent collaborer, utilisant outils et langages divers.

asago cherche à créer une couche commune pour ces différents acteurs.

En progressant dans cette voie, l’intérêt ne se limite pas à automatiser les garde-fous. Il s’agit aussi de pouvoir suivre le parcours complet d’une règle : depuis une politique d’entreprise ou une exigence réglementaire jusqu’au contrôle fonctionnant sur un système d’IA en production.

Cette démarche s’inscrit dans une évolution plus large : si l’Infrastructure as Code a permis de formaliser serveurs, réseaux et services par le code, et que GitOps a étendu cette logique à la gestion continue des plateformes, alors la croissance de l’IA professionnelle soulève une nouvelle question : pourquoi ne pas appliquer un modèle similaire aux politiques qui régissent ces systèmes ?

asago constitue l’un des premiers efforts de Red Hat et d’une communauté plus large pour construire cette couche ouverte.

Il reste à voir jusqu’où cette initiative pourra aller dans des déploiements concrets.

Questions fréquentes

Qu’est-ce qu’asago ?

asago signifie AI Safety And Governance Orchestration. C’est un projet communautaire open source lancé par Red Hat pour relier politiques de gouvernance de l’IA, évaluations de risques, mesures de mitigation et contrôles déployés en production.

asago peut-il aider avec le règlement européen sur l’IA ?

Le projet inclut le Règlement européen sur l’IA parmi ses références pour la cartographie des risques, aux côtés du NIST AI RMF et de l’OWASP LLM Top 10. Toutefois, utiliser asago ne garantit pas à lui seul la conformité réglementaire.

asago fonctionne-t-il avec Kubernetes et Terraform ?

Red Hat indique que asago produira des configurations déclaratives pour Kubernetes, Terraform et Ansible, facilitant leur intégration aussi bien dans des environnements cloud, hybrides que sur des infrastructures on-premises.

L’asago est-il déjà utilisable en production ?

Le projet est actuellement en phase de constitution de la communauté. Son dépôt est ouvert aux développeurs, chercheurs et organisations intéressés, mais il ne faut pas le confondre avec un produit mature commercialement proposé par Red Hat.