08. Clause 7 Support, équipe AIMS et supervision humaine

Section 8 du cours « Pilotez un système d’IA | ISO/IEC 42001 ».

La clause 7 rassemble les moyens nécessaires à la gouvernance : ressources, compétences, sensibilisation, communication et documentation. La supervision humaine doit pouvoir fonctionner en pratique.

Repères de vocabulaire

• SMIA / AIMS : système de management de l’IA.

• GED : gestion électronique des documents.

• RACI : répartition entre réalisation, approbation finale, consultation et information.

• UX : expérience utilisateur.

• HIPAA : cadre légal américain relatif notamment à la protection des informations de santé.

Notions

• 7.1 Ressources : finances, infrastructure, outils, systèmes documentaires, personnel qualifié ; outils AIMS : plateforme de cycle de vie, détection de biais, tableaux de bord, évaluation éthique, journalisation sécurisée, check-lists de conformité

• 7.2 Compétences : définir les compétences par rôle (conception, déploiement, supervision, usage), évaluer les acquis, plan de formation continue

• 7.3 Sensibilisation : tous : politique IA, usage responsable, conséquences du non-respect ; direction, métiers, supports, partenaires externes

• 7.4 Communication : quoi, à qui, par qui, par quel canal (selon le cours) ; flux dans tous les sens, canal de remontée et lanceurs d'alerte

• 7.5 Informations documentées : distinguer les documents qui organisent le travail et les preuves des résultats. Exemples de documents : politiques, rôles, procédures et méthodes d’analyse. Exemples de preuves : rapports d’audit, attestations de formation, décisions et journaux d’incidents.

• Maîtrise doc. : identifiée, revue, actualisée, stockée, protégée, retrouvable

• Traçabilité cycle de vie : sources de données -> features -> algorithme -> hyperparamètres -> métriques de validation -> mise en production -> suivi -> retrait ou réadaptation

• Explicabilité doc. : logique générale, critères, facteurs de décision ; sans divulguer de secret industriel

• Gestion des versions : suivi des modifications, autorisations, archives des versions -> relier une baisse de performance à un changement précis

• Responsable du programme AIMS : coordonne le système de management et le suivi de conformité. Dans l’organisation proposée par le cours, il est rattaché à la direction générale et anime les revues de direction.

• AI risk officer : identifie, analyse, suit les risques ; risque résiduel accepté au bon niveau d'autorité ; coordonne la réponse aux incidents, met à jour le registre des risques

• Data steward : qualité, complétude, pertinence, étiquetage, confidentialité ; biais, dérive, traçabilité ; RGPD, HIPAA (santé)

• Responsable conformité : lien ISO 42001 et AI Act, analyses d'impact, bases légales, transparence, recours

• Propriétaire de modèle : cycle de vie complet du modèle, documentation, tests de biais et robustesse, rattachement aux mesures de l'annexe A, premier à répondre en cas d'anomalie

• Comité de supervision : éthique, conseillers externes, dirigeants ; revue des décisions et analyses d'impact

• RACI (selon le cours) : Responsable, Autorité, Consulté, Informé

• Supervision humaine : capacité de passer outre, mettre en pause, signaler, revoir le raisonnement

• Contrôles préventifs : passage devant comité d'éthique, risques, conformité avant déploiement

• Supervision en couches : temps réel (première ligne) + contrôles périodiques + comités transverses ; logique de défense en profondeur appliquée aux décisions

• Chaîne de responsabilité : qui a validé la mise en production, qui a surveillé, quelles mesures prises

À retenir

• clause 7 = moyens humains et organisationnels qui font vivre l'AIMS

• gouvernance IA pluridisciplinaire : data science, éthique, conformité, cybersécurité, droit, UX

• exemples de besoins : fonction d'audit IA -> outils de journalisation et d'examen ; comité d'éthique -> cas, décisions passées, données d'impact

• Maintenir les compétences à jour par rôle. Former, par exemple, les spécialistes des données aux risques de l’IA générative et l’équipe conformité à la lecture des journaux.

• formats de montée en compétence : formations, certifications, ateliers, simulations d'incident

• sensibilisation intégrée à l'accueil, aux entretiens annuels, à la communication interne

• communication : limites réglementaires du juridique vers les devs, résultats d'impact vers direction et externes, incidents jusqu'à l'exécutif

• Choisir des outils adaptés au périmètre et au risque. Un tableur peut suffire dans certains contextes ; l’essentiel est de pouvoir appliquer les processus et retrouver les preuves.

Répartir les responsabilités

• responsabilité ultime de l'AIMS : direction générale (clause 5)

• RACI ancré dans les processus réels, mis à jour avec le périmètre, les équipes, les systèmes

• exemple RACI : risk officer réalise l'analyse de risques, responsable programme porte l'autorité, data stewards consultés, comité informé des approbations finales

• rôles transverses : RH (sensibilisation dès l'accueil), achats (risque fournisseur), service client (réclamations sur décisions algorithmiques), devs (traçabilité, explicabilité)

• rituels : coordination hebdomadaire, bilans trimestriels, ateliers éthique ; prévoir des remplaçants

Conserver les informations utiles

• documentation IA plus exigeante : systèmes probabilistes, dépendants des données, évolutifs

• exemple antifraude contestée -> montrer entraînement, fixation des seuils, suivi après lancement

• exemple logistique : baisse de performance à six mois -> cause retrouvée grâce aux hypothèses documentées (changement de comportement d'un fournisseur)

• sécurité des documents : contrôle d'accès, chiffrement, journaux d'audit, durées de conservation légales

• mise en œuvre 7.5 : GED, métadonnées, gabarits, alertes d'expiration, propriétaire par document, formation

Organiser la supervision humaine

• Adapter le contrôle humain au contexte et aux obligations applicables. L’article 22 du RGPD vise les décisions exclusivement automatisées ayant un effet juridique ou significatif, avec des exceptions et des garanties spécifiques. Il n’impose pas une validation humaine préalable de toute décision à fort impact. Source : CNIL, décisions automatisées.

• dispositifs de reprise de contrôle testés régulièrement en situation réelle

• supervision impossible sans transparence : tableaux de bord, journaux, explications visuelles, arbres de décision

• exemple logement : chaque refus revu par un agent, justification notée, comité de supervision, mode de décision publié

• exemple fraude : décision finale par analystes, historique des dérogations à l'IA, revue trimestrielle du taux de fausses alertes

• post-mortem : failles humaines et techniques ; évaluation des responsables inclut l'efficacité de la supervision

Lien avec l'audit IA

• 7.1 Ressources : « Budget et outils AIMS alloués ? » Preuve : budget, liste d'outils, affectations

• 7.2 Compétences : « Compétences requises par rôle et preuves ? » Preuve : matrice de compétences, attestations

• 7.3 Sensibilisation : « Un salarié non spécialiste connaît-il la politique IA ? » Preuve : entretien, supports d'accueil

• 7.4 Communication : « Qui communique quoi, quand, à qui ? » Preuve : plan de communication, canal d'alerte

• 7.5 Documentation : « Dossier complet d'un modèle, du développement au retrait ? » Preuve : GED versionnée, fiches de modèle, historique d'approbations

• Rôles : « Qui accepte le risque résiduel de ce système ? » Preuve : RACI signé, registre des risques

• Supervision humaine : « Quand un humain peut-il passer outre ou arrêter le système ? » Preuve : procédure, journaux de dérogation, compte rendu de test du dispositif

• Responsabilité : « Qui a validé la mise en production de ce modèle ? » Preuve : décision tracée et datée

• Déjà traité : RACI : ai-governance-fundamentals docs/05-roles-raci.md ; AI Act : docs/08-cadre-europeen-et-france.md ; clause 7 identique côté iso-27001 (structure harmonisée, voir README)

Précisions et points à vérifier

Les points ci-dessous signalent les limites du cours et les vérifications à poursuivre. Les exemples et recommandations du formateur ne sont pas tous des exigences de la norme.

• RACI : le cours traduit A par « Autorité » ; sens usuel Accountable (redevable, approbateur final, une seule personne)

• 7.4 : ISO/IEC 42001:2023 demande quoi, quand, avec qui, comment ; le cours dit « par qui », ne cite pas « quand »

• 7.5 : sous-clauses 7.5.1 généralités, 7.5.2 création et mise à jour, 7.5.3 maîtrise ; le cours ne les distingue pas

• leçon 7.5 : « cadre centralisé ... système de management de la sécurité de l'information, SMSI » ; erreur probable, il s'agit de l'AIMS (SMIA)

• lien 7.5 avec ISO 27001 : même clause 7.5 dans ISO/IEC 27001:2022, structure harmonisée

• outils (plateformes, bibliothèques de biais) rattachés par le cours à la clause 7 : à classer sous 7.1 ressources ; ressources IA détaillées en annexe A.4

• comités de supervision « recommandés » par la norme : pas d'exigence explicite dans les clauses, à confirmer dans l'annexe B

• rôles nommés (AI risk officer, data steward, propriétaire de modèle) : exemples du cours ; la norme exige seulement des rôles attribués (5.3, A.3.2)

• « validation complète et évaluation d'impact imposées avant production » : évaluation d'impact en 6.1.4 et 8.4, vérification et validation en annexe A.6.2 ; numérotation à confirmer

• supervision humaine : AI Act règlement (UE) 2024/1689 art. 14 (haut risque, conception par le fournisseur) et art. 26 (déployeur, personnes compétentes)

• « l'article 5 de la norme » = clause 5 Leadership ; « EPA » = HIPAA ; « IMS », « IIMS », « EIACT » = erreurs de transcription (AIMS, AI Act)

• Second cours (RigCert), voir croisement-cours-rigcert.md : 7.5.2, identifier chaque document (titre, date, auteur, référence) ; une appréciation de risques cite la version du modèle évalué ; 7.3 et 7.4 sans information documentée exigée

Questions de révision

• les cinq sous-clauses de la clause 7 ? Réponse : 7.1 ressources, 7.2 compétences, 7.3 sensibilisation, 7.4 communication, 7.5 informations documentées

• deux familles d'informations documentées ? Réponse : créées pour les processus, conservées comme preuve des résultats

• qui porte la responsabilité ultime de l'AIMS ? Réponse : la direction générale (clause 5)

• rôle de l'AI risk officer en cas d'incident ? Réponse : coordonne la réponse, suit les corrections, met à jour le registre des risques

• quatre capacités d'un dispositif de supervision humaine ? Réponse : passer outre, mettre en pause, signaler, revoir le raisonnement

Leçons couvertes

Clause 7 Support ; Équipe AIMS, rôles et responsabilités ; Clause 7.5 Informations documentées ; Supervision humaine et modèles de responsabilité.