02. Structure des dix clauses, clauses 4 et 5

Section 2 du cours « Pilotez un système d’IA | ISO/IEC 42001 ».

La clause 4 définit le contexte et le périmètre du système de management. La clause 5 précise l’engagement attendu de la direction et la répartition des responsabilités.

Repères de vocabulaire

• SMIA / AIMS : système de management de l’IA.

• LLM : grand modèle de langage, utilisé notamment dans les assistants conversationnels.

• PESTEL : analyse des facteurs politiques, économiques, sociaux, technologiques, environnementaux et légaux.

• SWOT : analyse des forces, faiblesses, opportunités et menaces.

• CAB / SLA : comité de validation des changements / engagement de niveau de service.

Notions

• Annexe SL : format commun des normes de management (27001, 9001, 14001), aussi appelé structure de haut niveau ; clauses 4 à 10 = exigences

• Clause 4 : contexte : enjeux internes et externes, parties intéressées, périmètre

• Clause 5 : leadership : engagement de la direction, politique IA, objectifs, rôles

• Clause 6 : planification : risques et opportunités, objectifs mesurables ; 6.1.1 approche globale, 6.1.2 et suivants : appréciation, traitement, impact

• Clause 7 : support : personnes, compétences, communication, information documentée (7.5)

• Clause 8 : fonctionnement : contrôles opérationnels, changements, composants tiers, intégration de nouveaux modèles, procédures d'urgence

• Clause 9 : évaluation des performances : audits, revues, KPI fondés sur des preuves (précision + éthique, équité, transparence, confiance)

• Clause 10 : amélioration : non-conformités, causes profondes, amélioration continue

• Périmètre SMIA : unités, fonctions, zones, types de données, systèmes d'IA inclus ; exclusions écrites et justifiées

• Politique IA : validée par la direction ; principes (équité, transparence, responsabilité, autonomie des personnes) + objectifs stratégiques

Clauses et services mobilisés (selon le cours) :

• contexte : chaque entité, lien IA / objectifs

• leadership : direction générale

• Planification et support : conformité, gestion des risques et ressources.

• fonctionnement : équipes techniques, développeurs

• évaluation : audit, gouvernance

• amélioration : tout le monde

Exemple fil rouge, modèle de prédiction des départs de collaborateurs :

• 4 : sensibilité sociale et contexte organisationnel

• 5 : règles d'usage éthique des données RH

• 6 : risques de biais et de discrimination identifiés et traités

• 7 : formation RH à l'interprétation des résultats

• 8 : déploiement et mises à jour encadrés

• 9 : mesure de la précision et de l'impact

• 10 : ajustement, voire abandon si risques > bénéfices

À retenir

• Enjeux externes (clause 4) : réglementation, attentes de transparence, évolution des modèles de langage et débats sur les biais.

• clause 4 : enjeux internes -> culture, maturité data science, expérience de l'automatisation, implication des dirigeants, infrastructure

• outils d'analyse du contexte : PESTEL, SWOT, cartographie des parties prenantes

• parties intéressées internes (devs, data scientists, conformité, dirigeants) et externes (clients, partenaires, régulateurs, société civile, public)

• spécificité 42001 : attentes éthiques, juridiques et humaines ; exemple scoring crédit -> équité attendue par consommateurs et associations

• Justifier les exclusions du périmètre. Écarter sans raison un système à risque fragilise la crédibilité du système de management.

• périmètre progressif : santé et décisions financières d'abord, puis automatisation interne et chatbots

• exemples : mairie (trafic par caméras, avant reconnaissance faciale ou police prédictive) ; pharma (R&D, puis suivi post-commercialisation, marketing) ; hôpital (pression réglementaire, personnel non formé)

• livrables clause 4 : registre de contexte, matrice des parties prenantes, périmètre d'application ; documents vivants

• équipe interdisciplinaire pour l'analyse : développement IA, juridique, conformité, opérations, management

Engagement de la direction

• clause 5 : responsabilité IA non déléguable aux seuls data scientists, IT ou juristes

• La direction intègre le SMIA aux activités et fournit les ressources. Elle arbitre les tensions entre performance, conformité et éthique.

• projets IA alignés sur la mission (fraude, personnalisation, ressources), jamais lancés pour l'effet techno

• rôles à désigner : appréciation des risques, cycle de vie, parties prenantes, conformité, incidents ; qui valide les modèles, autorise les analyses d'impact, suit les KPI

• options : nouveaux rôles (responsable éthique IA, comité des risques IA) ou extension de postes existants

• direction -> culture d'amélioration continue, formation éthique, remontée des inquiétudes sans représailles

• exemples clause 5 : logistique (itinéraires : chauffeurs, carbone, emplois) ; banque (crédit : seuils d'équité, validation, juridique impliqué)

• Différence soulignée par le cours : de nombreux modèles d’IA produisent des résultats probabilistes et difficiles à expliquer. Leur gouvernance doit prendre en compte ces incertitudes.

• gouvernance IT : disponibilité, confidentialité, intégrité, continuité, accès ; CAB, SLA, correctifs, identités ; reste nécessaire, insuffisante

• responsabilité IA diffuse : biais issus des données, chatbot qui reprend des comportements toxiques

• risques nouveaux : biais, dérive, hallucination, opacité, décision automatique incontestable -> surveillance continue

• documentation IA : origine des données, choix de modèle, tests de biais, indicateurs d'équité, consultation des parties, intervention humaine

• exemples : banque (comptes vs scoring : validation humaine, droit de contester) ; routes (priorisation sans biais envers les quartiers mal desservis)

• quatre bascules : statique -> dynamique ; contrôle strict -> supervision ; conformité -> éthique ; équipes techniques -> toute l'organisation

• 42001 complète 27001 et la gouvernance IT existante sans les remplacer

Lien avec l'audit IA

• 4.1 Contexte : enjeux internes et externes identifiés ? Preuve : registre de contexte, analyse PESTEL ou SWOT datée

• 4.2 Parties : attentes recensées, y compris éthiques ? Preuve : matrice des parties prenantes avec exigences retenues

• 4.3 Périmètre : périmètre écrit, exclusions justifiées ? Preuve : document de périmètre, inventaire IA cohérent avec lui

• 5.1 Engagement : la direction revoit-elle les risques IA ? Preuve : CR de comité, revue de direction, budget alloué

• 5.2 Politique IA : validée, communiquée, connue ? Preuve : politique signée, diffusion, entretiens terrain

• 5.3 Rôles : qui valide un modèle, qui autorise une analyse d'impact ? Preuve : fiches de poste, RACI, lettres de nomination

• Remontée : canal pour signaler une inquiétude éthique ? Preuve : procédure, registre des signalements

• Déjà traité : ai-governance-fundamentals : 02-inventaire.md, 04-politique.md, 05-roles-raci.md ; iso-27001 : clauses 4 et 5 de même structure

Précisions et points à vérifier

Les points ci-dessous signalent les limites du cours et les vérifications à poursuivre. Les exemples et recommandations du formateur ne sont pas tous des exigences de la norme.

• intitulés et sous-clauses exacts : 4.1 à 4.4, 5.1 à 5.3, 6.1.1 à 6.1.4 (6.1.4 = évaluation d'impact des systèmes d'IA, exigence distincte) ; texte d'ISO/IEC 42001:2023

• 4.1 exige aussi de déterminer le rôle de l'organisation vis-à-vis des systèmes d'IA et la finalité des systèmes ; non cité par le cours ; ISO/IEC 42001:2023 4.1 et ISO/IEC 22989

• 4.4 (établir, mettre en œuvre, tenir à jour le SMIA) absent du cours

• climat : déjà dans ISO/IEC 42001:2023 (4.1, note de 4.2) ; pas d'amendement Amd 1:2024 (vérifié par Codex, octobre 2026)

• 5.2 : la politique IA doit être disponible en information documentée, communiquée, accessible aux parties intéressées ; le cours parle de politique « publiée » sans préciser

• 5.2 et objectifs : les objectifs IA relèvent de 6.2 dans le texte, le cours les place en clause 5

• annexe A citée sans détail : nombre de mesures (38 annoncées couramment) et objectifs A.2 à A.10 à vérifier dans le texte

• « droit de contester une décision » : exigence AI Act (art. 86) et RGPD (art. 22), pas une exigence directe de 42001 ; règlement (UE) 2024/1689

• AI Act cité comme enjeu externe : calendrier d'application à vérifier (entrée en vigueur 1er août 2024, application par étapes 2025 à 2027)

• Second cours (RigCert), voir croisement-cours-rigcert.md : ISO/IEC 38507 (gouvernance, implications de l'usage de l'IA) s'adresse aux dirigeants, utile pour 5.1 ; 4.1, 4.2 sans information documentée exigée, mais l'auditeur cherchera une preuve

Questions de révision

• quel format structure les clauses 4 à 10 ? Réponse : l'annexe SL, structure de haut niveau

• quels sont les trois livrables de la clause 4 selon le cours ? Réponse : registre de contexte, matrice des parties prenantes, périmètre d'application

• qui valide la politique IA ? Réponse : la direction

• quel paragraphe traite de l'information documentée ? Réponse : 7.5

• quelle clause traite les non-conformités et causes profondes ? Réponse : la clause 10, amélioration

Leçons couvertes

Vue d'ensemble des dix clauses de la norme ISO/IEC 42001 ; Clause 4 : contexte de l'organisation ; Clause 5 : leadership et gouvernance de l'IA ; Gouvernance de l'IA vs gouvernance informatique traditionnelle.