01. Introduction au système de management de l'IA

Section 1 du cours « Pilotez un système d’IA | ISO/IEC 42001 ».

ISO 42001 aide à organiser la gouvernance de l’IA : qui décide, quels risques surveiller et quelles preuves conserver. Cette fiche présente les notions communes aux chapitres suivants.

Repères de vocabulaire

• SMIA / AIMS : système de management de l’IA ; AIMS est le sigle anglais. Les deux désignent le même cadre de gouvernance.

• KPI : indicateur clé de performance.

• ESG : critères environnementaux, sociaux et de gouvernance.

Notions

• ISO/IEC 42001 : première norme internationale de système de management dédiée à l'IA (gouvernance, gestion des risques, assurance des systèmes d'IA)

• AIMS / SMIA : Artificial Intelligence Management System, système de management de l'IA : cadre organisationnel intégré (politiques, processus, rôles, contrôles), ni un document ni un tableau de bord

• HLS : High Level Structure, structure de haut niveau commune aux normes de management ISO (9001, 27001, 14001) -> intégration facilitée

• Cycle de vie : objectifs -> sélection des données -> entraînement -> validation -> déploiement -> suivi -> retrait (mise hors service)

• Proportionnalité : contrôles adaptés au niveau de risque et à la complexité du contexte

• Neutralité technologique : la norme n’impose pas de technologie particulière. Elle renvoie à ISO/IEC 22989 pour le vocabulaire et complète les cadres techniques de développement.

• Profils : développeur (crée les modèles), déployeur (intègre des modèles tiers), utilisateur final (intègre l'IA dans ses processus)

• Risques IA : biais discriminants, boîte noire inexplicable, résultats imprévus liés à l'autonomie, questions éthiques ouvertes, dérive dans le temps

Huit composants d'un AIMS selon le cours :

• 1 Gouvernance et responsabilité : engagement de la direction, rôles sans ambiguïté (responsable risques IA, résultats, réaction aux incidents)

• 2 Cycle de vie : points de contrôle à chaque phase ; documentation des modèles, politique de réentraînement, suivi perf, accès

• 3 Risques et impacts : techniques + éthiques + sociétaux ; mis à jour quand le système apprend ou change ; examen proportionné à l'enjeu (prêt, diagnostic médical, libération conditionnelle)

• 4 Parties prenantes, transparence : attentes, ce que le système peut ou non faire, explicabilité utilisateur, rapports publics

• 5 Ressources et compétences : formation data scientists, devs, juridique, support ; compétence prouvée, documentée, mise à jour

• 6 Information documentée : pas de format imposé ; jeux de données d'entraînement, versions, justification des modifs, journaux d'accès, explication des décisions

• 7 Contrôles opérationnels : validation des données d'entrée, seuils de performance, repli en cas de souci, gestion des accès, mises à jour

• 8 Performance et amélioration : KPI, audits internes, revues de direction -> mise à jour politiques, réentraînement, refonte voire retrait

À retenir

• ISO 9001 et ISO 27001 apportent des bases en qualité et en sécurité. ISO 42001 les complète avec une gouvernance adaptée aux risques propres à l’IA.

• objectif : IA performante, fiable, compréhensible, éthique, centrée sur l'humain

• s'applique à toute organisation qui développe, déploie ou utilise de l'IA, quelle que soit sa taille

• approche système de management, différente d'une liste de contrôles de conformité

• évaluation des risques élargie aux conséquences sociétales, éthiques, humaines -> lien avec ESG

• Maintenir la gouvernance pendant tout le cycle de vie. Un modèle fiable à l’entraînement peut, par exemple, se dégrader après six mois en production.

• mise en place progressive : quelques cas pilotes ou systèmes les plus à risque d'abord, puis extension

• passerelle vers AI Act (UE), NIST AI RMF, principes de l'OCDE sur l'IA

• langage commun direction, risque, équipes techniques, régulateurs, auditeurs

• démarrage : équipes multidisciplinaires, formation aux risques IA, contrôles selon le risque, surveillance continue

• AIMS adapté au modèle économique, secteur, géographie, obligations, maturité ; startup et banque traitent les mêmes thèmes avec plus ou moins de formalisation

• exemple hôpital (orientation patients) : un composant manquant -> responsabilité floue, modèle dégradé, biais non vus, perte de confiance, mauvaise interprétation, aucune traçabilité

• AIMS solide -> nouvelles réglementations (AI Act, Émirats arabes unis, Singapour, Brésil) intégrées sans refonte

Lien avec l'audit IA

• Périmètre et inventaire : quels systèmes d'IA, quel rôle (développeur, déployeur, utilisateur) ? Preuve : inventaire IA à jour, rôle par système

• Gouvernance : qui est responsable, qui surveille, qui rend des comptes en cas d'incident ? Preuve : organigramme, RACI, nominations

• Cycle de vie : cycle de vie des modèles documenté ? Preuve : procédure, points de validation par phase, critères de retrait

• Documentation : traçabilité des données et versions ? Preuve : registre des jeux de données, historique de versions, journaux d'accès

• Compétences : formation IA prouvée ? Preuve : plan de formation, attestations

• Amélioration : KPI IA suivis (équité, détection de dérive, réclamations, délai de résolution d'incident) ? Preuve : tableau de bord, CR de revue

• Déjà traité : ai-governance-fundamentals : 02-inventaire.md, 03-risques.md, 05-roles-raci.md ; iso-27001 pour la structure HLS commune

Précisions et points à vérifier

Les points ci-dessous signalent les limites du cours et les vérifications à poursuivre. Les exemples et recommandations du formateur ne sont pas tous des exigences de la norme.

• « structure de haut niveau » : appellation actuelle « structure harmonisée » (Directives ISO/IEC, partie 1, annexe SL, appendice 2) ; vérifier dans l'avant-propos d'ISO/IEC 42001:2023

• ISO 31000 citée comme norme HLS : c'est une norme de lignes directrices, sans exigences certifiables ni structure annexe SL ; consulter ISO 31000:2018

• « ne cherche pas à définir l'IA » : 42001 renvoie aux termes d'ISO/IEC 22989 (clause 3) ; vérifier les définitions normatives

• profils développeur / déployeur / utilisateur : vocabulaire proche de l'AI Act ; la norme parle de rôles ISO/IEC 22989 (fournisseur, producteur, client, partenaire, sujet de l'IA) déterminés en 4.1

• « alignement avec l'AI Act » : 42001 n'est pas une norme harmonisée au sens du règlement (UE) 2024/1689 ; normes harmonisées en cours au CEN-CENELEC JTC 21

• liste des 8 composants : découpage pédagogique du cours, absent tel quel du texte ; comparer aux clauses 4 à 10 et à l'annexe A d'ISO/IEC 42001:2023

• cadres cités à consulter : NIST AI RMF 1.0 (janvier 2023), Recommandation de l'OCDE sur l'IA (révisée en 2024)

Questions de révision

• que signifie AIMS ? Réponse : Artificial Intelligence Management System, système de management de l'IA (SMIA)

• quelle structure partage ISO 42001 avec ISO 27001 et 9001 ? Réponse : la structure de haut niveau (HLS, annexe SL)

• quel principe adapte les contrôles au niveau de risque ? Réponse : la proportionnalité

• la norme impose-t-elle une technologie ou un format de documentation ? Réponse : non, elle est neutre sur la technologie et le format

• sur quelle portée temporelle s'applique la gouvernance ? Réponse : tout le cycle de vie, de la conception au retrait

Leçons couvertes

Introduction au système de management de l'IA selon ISO/IEC 42001 ; Bien démarrer : ISO 42001, parcours, contenu et accompagnement (pas de transcript) ; Composants clés d'un système de management de l'IA.