03. Clause 6 : planification

Section 3 du cours « Pilotez un système d’IA | ISO/IEC 42001 ».

Planifier consiste à transformer les risques et les objectifs en actions concrètes. Chaque action doit avoir un responsable, une échéance et des ressources.

Repères de vocabulaire

• SMIA / AIMS : système de management de l’IA.

• GED : gestion électronique des documents.

• UX : expérience utilisateur.

• Hallucination : réponse produite par une IA qui paraît plausible mais contient des informations fausses.

Notions

• AIMS : AI Management System, système de management de l'IA (le cours dit aussi « IMS », « AIM »)

• Clause 6 : contexte (4) + engagement direction (5) -> feuille de route concrète

• Risques et opportunités : examiner à la fois les bénéfices attendus de l’IA et les risques qu’elle introduit.

• Objectifs IA : mesurables, alignés sur la stratégie, intégrés à la planification opérationnelle

• Indicateurs IA : score d'équité, niveau de transparence, taux d'explicabilité, indice de confiance des parties prenantes (en plus des indicateurs informatiques classiques)

• Pensée par les risques : tout le cycle de vie : collecte de données, conception, déploiement, interaction

• Méthode de risque : non imposée ; ISO 31000 citée comme référence à adapter à l'IA

• Plan d'action : mesure d'atténuation + responsable + échéance + ressources

• Planification des changements : anticiper les évolutions externes, comme une nouvelle réglementation, et internes, comme une mise à jour du modèle ou un changement d’équipe.

• Feuille de route AIMS : document vivant, déploiement progressif sur 12 à 24 mois

• État des lieux : maturité : inventaire IA, gouvernance, risques, cycle de vie, sensibilisation

• Cycle de vie du modèle : création -> mise en service -> entretien -> retrait ; suivi, maintenance, évaluation, retour d'expérience

À retenir

• Risques à anticiper : techniques (panne d'algorithme, fuite de données) et éthiques, sociétaux, juridiques, y compris mauvais usage

• Exemples de risques IA cités : biais algorithmique, hallucinations, surapprentissage, attaques adverses

• Exemples d'objectifs : test d'équité systématique avant production pour tout modèle à fort impact ; baisse de x % des incidents de dérive

• Face à un modèle opaque, prévoir des méthodes d’explication et documenter les décisions. Ajouter des points de contrôle humain adaptés au risque.

• Tester les opportunités à petite échelle avant de les généraliser. Pour automatiser les revues de conformité, commencer par un pilote, valider les résultats puis élargir l’usage.

• Plans intégrés au cycle produit, aux achats, aux RH, aux décisions d'investissement ; pas une tâche annexe

• Conformité dès la conception : AI Act, protection des données, exigences sectorielles, codes de conduite internes

• Système potentiellement à haut risque (AI Act) -> qualité des données, supervision humaine, transparence prévues avant production

• Gouvernance pluridisciplinaire : risque, data science, produit, juridique, design UX

• Revoir régulièrement la planification à partir des résultats de surveillance, des audits et des retours des parties prenantes.

Exemples de la leçon clause 6 :

• Santé, tri des patients : risques : décisions biaisées, faux négatifs, indisponibilité en urgence mesures : validation humaine, alertes, qualité des données d'entraînement objectif : baisse du temps d'attente, fiabilité du diagnostic dans une marge d'erreur

• Fintech, conseil investiss. : risques : requêtes adverses, recommandations inexpliquées, responsabilité en cas de mauvais conseil ; opportunités : analyses personnalisées, détection de fraude objectifs : transparence des modèles clients, moins de faux positifs, plans de secours

Feuille de route de déploiement :

• Départ : état des lieux factuel : entretiens, audits, revue documentaire, analyse des outils

• Périmètre : commencer par les cas critiques : finance, santé, évaluation des employés, interfaces grand public

• Phase 1 : 3 à 6 mois : appui direction, rôles (responsable risques IA, coordinateur AIMS), politiques, inventaire des modèles, premières évaluations de risque et d'impact ; clauses 4 à 6

• Phase 2 : 6 à 12 mois : contrôles dans le développement, surveillance, tableaux de bord, protocoles d'approbation et de mise en production, audit interne formé, reporting direction ; clause 8

• Phase 3 : 12 à 24 mois : extension à toute l'entreprise, formation par service, clauses AIMS dans les contrats fournisseurs, indicateurs équité et transparence au reporting direction, comités d'éthique sur les nouveaux cas, kits pour filiales

• Après chaque : retour d'expérience -> ajustement feuille de route, outils, politiques, formations

• Outillage : inventaire de modèles, gabarits d'évaluation, GED, surveillance et alertes, portail de formation norme : pas d'outil imposé, mais processus documentés et preuves vérifiables

• Transport : maintenance prédictive de flotte : lacunes documentation, transparence, gouvernance 6 mois : inventaire, évaluation risques et impacts, responsable du modèle, détection de dérive en temps réel, comité technique avant chaque mise à jour majeure ; année 2 : itinéraires, relation client

• Distributeur : bureau AIMS centralisé, guide de bonnes pratiques, atelier juridique, data, IT, conformité pilote 6 mois sur la personnalisation : tableaux de bord d'équité, explications, workflows de validation année 2 : optimisation des prix, prévision de la chaîne d'approvisionnement

Cycle de vie (leçon 3) :

• Conception responsable : vie privée, équité, transparence ; parties prenantes variées

• Conception centrée utilisateur, itérative, montée en charge prévue dès le départ, sécurité des données

• Surveillance et maintenance : mises à jour planifiées, correctifs, retours utilisateurs, indicateurs de performance

• Sécurité : identification des vulnérabilités -> chiffrement, authentification -> audits -> plan de réponse aux incidents

• Scalabilité : cloud ou interne, flexibilité, maîtrise des coûts

• Évaluation des performances : précision, efficacité ; tests automatisés ; retours via questionnaires, entretiens

• Conformité : connaître les obligations, audits réguliers, documentation comme preuve

• Exemples sectoriels : santé (sécurité des données patients), vente (anonymisation, transparence d'usage), finance (gestion globale des risques, rapports transparents)

Lien avec l'audit IA

• Objectifs IA : « quels objectifs IA mesurables ? qui les suit ? » ; liste des objectifs, indicateurs, revues

• Plans d'action : « pour chaque risque majeur, quel responsable et quelle échéance ? » ; plan daté, suivi

• Changements : « comment planifiez-vous une mise à jour de modèle ou un changement réglementaire ? » procédure de gestion des changements, comptes rendus de comité

• Réglementaire : « vos systèmes ont-ils été qualifiés au regard de l'AI Act ? » ; classification documentée

• Feuille de route : « quel périmètre initial et pourquoi ? » ; état des lieux, priorisation par criticité

• Cycle de vie : « qui approuve la mise en production et le retrait d'un modèle ? » ; workflow, traces

• Déjà traité : inventaire, risques, RACI : ai-governance-fundamentals 02-inventaire.md, 03-risques.md, 05-roles-raci.md ; AI Act : 08-cadre-europeen-et-france.md

Précisions et points à vérifier

Les points ci-dessous signalent les limites du cours et les vérifications à poursuivre. Les exemples et recommandations du formateur ne sont pas tous des exigences de la norme.

• Structure réelle de la clause 6 non donnée par le cours : 6.1 (6.1.1 à 6.1.4), 6.2 objectifs IA et planification pour les atteindre, 6.3 planification des modifications ; texte ISO/IEC 42001:2023

• Le cours mentionne la gestion des changements comme un « point de la clause 6 » sans citer 6.3 : vérifier le libellé exact de 6.3

• ISO 31000 citée comme référence ; la référence propre à l'IA est ISO/IEC 23894:2023, non mentionnée ici

• Phasage 3-6 / 6-12 / 12-24 mois et « la norme recommande d'y aller par étapes » : choix du formateur, absent de la norme (le périmètre se fixe en 4.3)

• « Clause 8 pour les systèmes concernés » : vérifier le contenu de 8 (8.2 à 8.4 : risques, traitement, impact en fonctionnement) et le lien avec l'annexe A.6 (cycle de vie)

• « ISO 20001 » cité deux fois avec ISO 27001 : probablement ISO/IEC 20000-1 (services IT) ou ISO/IEC 27701 (vie privée) ; à confirmer

• « ISO 400001 » : erreur de transcription pour ISO/IEC 42001

• Étapes du cycle de vie : comparer avec ISO/IEC 22989 (étapes) et ISO/IEC 5338 (processus du cycle de vie IA)

• Obligations haut risque AI Act : règlement (UE) 2024/1689, art. 6 et annexe III (classification), art. 9 à 15 (exigences), calendrier d'application

Questions de révision

• Que transforme la clause 6 ? Réponse : Le contexte et l'engagement de la direction en objectifs et actions structurées

• Quelle méthode de risque la norme impose-t-elle ? Réponse : Aucune ; ISO 31000 citée comme approche reconnue à adapter

• Que doit contenir un plan de traitement d'un risque ? Réponse : Mesures, responsable, échéance, ressources

• Par quoi commencer une feuille de route AIMS ? Réponse : Un état des lieux de maturité factuel, puis un périmètre limité aux cas critiques

• Durée totale du déploiement proposé par le cours ? Réponse : 12 à 24 mois en trois phases (bases, intégration opérationnelle, extension)

Leçons couvertes

Clause 6, planification du système de management de l'IA ; Conception de la feuille de route AIMS pour le déploiement ; Gestion du cycle de vie des systèmes et modèles d'IA.