Outil ISO 42001 pour le management de l'IA

Oui. Contrairement aux normes de lignes directrices comme l'ISO/IEC 23894 sur la gestion du risque lié à l'IA, l'ISO/IEC 42001 énonce des exigences auditables : un organisme de certification accrédité peut donc délivrer un certificat. Une précision utile : ce qui est certifié, c'est votre système de management de l'IA, pas un modèle ni un produit. Le certificat atteste que votre organisation gouverne ses systèmes d'IA de façon documentée et contrôlée, il ne dit rien de la performance d'un algorithme donné.

Toute organisation qui fournit ou utilise des produits ou services reposant sur des systèmes d'IA, qu'elle les développe elle-même ou non, quels que soient sa taille et son secteur. La norme distingue ces rôles, car on ne gouverne pas de la même manière un modèle que l'on conçoit et un service d'IA que l'on consomme, mais la responsabilité existe dans les deux cas. Acheter des outils du marché ne vous met donc pas hors périmètre. À retenir aussi : l'ISO 42001 est volontaire. Ce sont vos clients, vos appels d'offres ou la réglementation qui la rendent contraignante en pratique.

Non. Le règlement européen sur l'IA est entré en vigueur en août 2024 et s'applique par étapes. La présomption de conformité y passe par les normes harmonisées européennes citées au Journal officiel de l'Union, ou par les spécifications communes que la Commission peut adopter : l'ISO/IEC 42001 n'a ni l'un ni l'autre statut. Elle couvre la gouvernance organisationnelle, là où le règlement ajoute des exigences portant sur les systèmes eux-mêmes, en particulier ceux classés à haut risque. Un certificat reste un élément de preuve solide, pas un quitus.

L'ISO/IEC 27001 protège l'information : confidentialité, intégrité, disponibilité, au bénéfice de l'organisation. L'ISO/IEC 42001 gouverne les systèmes d'IA et demande explicitement d'évaluer leurs effets sur les personnes et la société, un angle que le management de la sécurité de l'information ne couvre pas en tant que tel. Les deux normes partagent la structure harmonisée des systèmes de management : politique, rôles, appréciation du risque, audit interne, revue de direction. Si vous avez déjà un SMSI, vous l'étendez au lieu de repartir de zéro.

Le socle attendu : une politique d'IA validée par la direction, des rôles et responsabilités nommés, l'inventaire des systèmes et cas d'usage d'IA, l'appréciation des risques et l'évaluation d'impact des systèmes sur les personnes et la société, les mesures de maîtrise retenues avec leur justification, les modalités de supervision humaine, la maîtrise des fournisseurs d'IA, le traitement des incidents, enfin les preuves d'audit interne et de revue de direction. Un auditeur cherche moins de beaux documents que la cohérence entre eux.

Non, les deux répondent à des questions différentes. L'évaluation d'impact prévue par l'ISO 42001 porte sur les conséquences d'un système d'IA pour les personnes et la société, y compris au-delà des données personnelles. L'analyse d'impact relative à la protection des données répond, elle, au RGPD, dès lors qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Un cas d'usage d'IA qui traite des données personnelles relève des deux, et l'ISO/IEC 27701 sert à structurer le volet vie privée.

Parce qu'un inventaire d'IA vieillit vite. Entre deux revues, un cas d'usage change de version de modèle, un prestataire modifie ses conditions, une équipe déploie un assistant sans prévenir. Ce qu'un auditeur demande, ce n'est pas la liste : c'est le lien entre un cas d'usage, son évaluation d'impact, la mesure qui le couvre, la preuve associée et sa date de revue. Un tableur perd ces liens au premier changement de périmètre. Une plateforme les maintient et signale ce qui n'est plus à jour. Dans Vailor, les obligations AI Act d'un projet sont en outre signalées dès sa pré-analyse.