12. Principes de l'OCDE et cadres mondiaux

Section 12 du cours « Pilotez un système d’IA | ISO/IEC 42001 ».

Ces cadres ont des fonctions différentes : obligations légales, méthodes de gestion ou principes directeurs. Cette fiche aide à les articuler avec ISO 42001.

Repères de vocabulaire

• OCDE : Organisation de coopération et de développement économiques.

• NIST AI RMF : cadre volontaire de gestion des risques IA du NIST, organisme américain de normalisation et de technologie.

• AI Act : règlement européen sur l’intelligence artificielle.

• LGPD : loi brésilienne de protection des données personnelles.

• PI : propriété intellectuelle.

• EAU : Émirats arabes unis.

Notions

• Principes OCDE : recommandation de l'OCDE, mai 2019, reprise par le G20 ; non contraignante

• AI Act : règlement (UE) 2024/1689 ; approche par niveaux de risque ; contraignant

• NIST AI RMF : cadre américain volontaire (NIST AI 100-1, janv. 2023) ; Govern, Map, Measure, Manage

• ISO 42001 : première norme de système de management IA certifiable ; socle commun

• Matrice d'alignement : registre : exigence de chaque loi -> clause, contrôle, processus ou document 42001 ; écarts signalés puis traités

• Souveraineté : localisation des données, transferts entre pays, lois cyber nationales

Les cinq principes OCDE (version cours, première leçon) :

• 1 croissance inclusive, développement durable, bien-être : pas de renforcement des inégalités, accompagnement des travailleurs, planète

• 2 valeurs humaines et équité : dignité, vie privée, non-discrimination ; équité mesurée dès la collecte des données

• 3 transparence et explicabilité : explication adaptée au public, pas forcément open source ; permet la contestation

• 4 robustesse, sécurité, sûreté : tests réalistes, résistance aux attaques, garde-fous ; sûreté physique et psychologique

• 5 responsabilité : rôles, documentation des choix, supervision, recours, registres vérifiables, évaluation indépendante

Recommandations OCDE aux gouvernements :

• R&D : investissement public et privé, intérêt général

• écosystème : partage de données et de connaissances (vie privée, PI, sécurité respectées)

• cadre : juridique, normes, infrastructures de données, compétences

• travail : préparation des travailleurs, formation, protection pendant la transition

• coopération : normes compatibles entre pays, coordination internationale des risques

AI Act, niveaux de risque (selon le cours) :

• inacceptable : interdit

• élevé : scoring de crédit, biométrie, recrutement : gouvernance des données, gestion des risques, transparence, supervision humaine, surveillance après mise sur le marché

• Transparence : les obligations de l’article 50 concernent des usages déterminés, comme certains systèmes d’interaction avec des personnes. Le risque minimal n’entraîne pas, à lui seul, ces obligations.

Correspondances proposées par le cours

Ces rapprochements aident à organiser les preuves. Ils ne constituent pas des équivalences juridiques entre exigences.

NIST selon le cours :

• MAP : contexte, capacités, impacts -> clause 4

• MEASURE : risques, impact, performance -> 6.1.2, 6.1.4, 9

• MANAGE : stratégies de réduction -> clauses 6 et 8

• GOVERN : rôles, politiques, doc, amélioration -> tout le système

• caractéristiques citées : validité, fiabilité, sécurité, équité, vie privée, responsabilité

Réglementations nationales citées et ancrage 42001 :

• UE : AI Act -> 6.1.2, annexe A, 7, 8, 9, 10

• Singapour : cadre de gouvernance fondé sur l’explicabilité, la transparence, l’équité et la responsabilité. Traduction pratique : critères d’explication, documentation de conception, tests de biais et rôles définis.

• Émirats arabes unis : programme national IA et principes éthiques. Le cours propose de les relier aux politiques internes, aux études d’impact, aux validations et à la formation ; les références exactes restent à vérifier.

• Brésil : projet de loi sur l’IA et loi de protection des données LGPD. Examiner la licéité et l’origine des données ; vérifier le statut du projet de loi avant utilisation.

• New York : audit obligatoire des outils de recrutement automatisés

• Canada : projet de loi sur l'IA et les données (AIDA) ; UE : RGPD

À retenir

• ISO 42001 ne remplace aucun cadre : socle de management commun à tous

• AI Act : obligations légales. NIST AI RMF : méthode volontaire de gestion des risques. OCDE : principes directeurs. ISO 42001 : système de management certifiable.

• Réutiliser les preuves constituées pour ISO 42001 dans les démarches AI Act. La certification ne suffit pas à établir la conformité au règlement.

• Multinationale UE + US : exigences UE -> clause 6 + annexe A ; NIST -> revues clause 9 ; OCDE -> politique

• Matrice d'alignement tenue par conformité ou juridique, mise à jour trimestrielle (recommandation du cours)

• Conseils juridiques externes ou correspondants locaux ; formations avec cas régionaux

• Assureur UE + EAU + Asie du Sud-Est : AIMS central, modules régionaux, une seule revue de direction

Lien avec l'audit IA

• Matrice d'alignement : existe-t-elle par juridiction ? Preuve : matrice loi -> clause -> contrôle, écarts et actions

• Fraîcheur : date de dernière mise à jour, propriétaire ? Preuve : historique trimestriel

• Rôle AI Act : fournisseur ou déployeur, niveau de risque par système ? Preuve : inventaire qualifié

• Haut risque : gestion des risques et doc technique ? Preuve : dossier par système, lien avec 6.1.2 et 7.5

• Impact : analyse d'impact 6.1.4 couvre droits et société ? Preuve : rapport signé

• Données transfrontières origine et base légale (RGPD, LGPD) ? Preuve : registre de provenance, base légale, garanties de transfert et, si le consentement est utilisé, preuve de sa validité

• Recrutement IA : audit de biais si usage à New York ? Preuve : rapport d'audit publié

• Déjà traité : AI Act, RGPD : ai-governance-fundamentals docs/08-cadre-europeen-et-france.md

Précisions et points à vérifier

Les points ci-dessous signalent les limites du cours et les vérifications à poursuivre. Les exemples et recommandations du formateur ne sont pas tous des exigences de la norme.

• Principes OCDE révisés en mai 2024 (nouvelle définition du système d'IA, désinformation, mécanismes d'arrêt ou de neutralisation, durabilité) ; libellé officiel du 2 : « respect de l'état de droit, des droits humains et des valeurs démocratiques, y compris l'équité et la vie privée » ; source : oecd.ai/principles

• Incohérence du cours : la 2e leçon liste les cinq principes autrement (équité en 5e, responsabilité en 4e) ; « plus de 40 pays » à mettre à jour (liste des adhérents sur oecd.ai)

• AI Act : risque minimal sans obligation (codes volontaires), transparence = risque limité (art. 50) ; le cours omet les modèles d'IA à usage général ; calendrier : 2 févr. 2025 (interdictions, maîtrise de l'IA), 2 août 2025 (usage général, gouvernance), 2 août 2026 (application générale) ; haut risque reporté par le règlement (UE) 2026/1744, en vigueur le 27 juillet 2026 : 2 décembre 2027 (annexe III), 2 août 2028 (annexe I)

• 42001 n'est pas une norme harmonisée au sens de l'art. 40 AI Act : pas de présomption de conformité ; normes harmonisées en préparation au CEN-CENELEC JTC 21

• NIST AI RMF : ordre officiel Govern, Map, Measure, Manage ; 7 caractéristiques de confiance (valide et fiable, sûr, sécurisé et résilient, responsable et transparent, explicable et interprétable, respectueux de la vie privée, équitable avec biais gérés) ; profil IA générative NIST AI 600-1 (juil. 2024)

• Blueprint for an AI Bill of Rights (OSTP, oct. 2022) : statut à vérifier depuis le changement d'administration de janvier 2025

• Brésil : PL 2338/2023 adopté au Sénat en déc. 2024, en examen à la Chambre ; état à vérifier

• Canada : AIDA (projet C-27) caduc à la prorogation de janv. 2025 ; donc pas de loi en vigueur

• New York : Local Law 144 (outils de décision d'emploi automatisés), appliquée depuis juil. 2023

• Singapour : Model AI Governance Framework (2e éd. 2020) et version IA générative (mai 2024)

• EAU : stratégie nationale IA 2031 et principes éthiques ; « valeurs islamiques » non retrouvé dans les textes officiels, à vérifier

• Erreurs du cours : LGPD rattachée à la clause 7 alors que la provenance des données relève de l'annexe A.7 ; « SMIS, système de management de la sécurité de l'information » en fin de leçon -> AIMS (SMIA)

Questions de révision

• Date et origine des principes OCDE sur l'IA ? Réponse : mai 2019, OCDE, repris par le G20, révisés en mai 2024.

• Les quatre fonctions du NIST AI RMF ? Réponse : Govern, Map, Measure, Manage.

• Quelle clause 42001 répond à l'évaluation des risques exigée par l'AI Act ? Réponse : 6.1.2 (et 6.1.4 pour l'impact).

• La certification 42001 vaut-elle conformité AI Act ? Réponse : non, elle fournit des preuves sans présomption de conformité.

• Outil pour piloter plusieurs réglementations nationales ? Réponse : matrice d'alignement réglementaire reliée aux clauses et contrôles 42001.

Leçons couvertes

Principes de l'OCDE sur l'intelligence artificielle ; Cartographie ISO 42001 avec l'AI Act, NIST AI RMF et OCDE ; Réglementations nationales sur l'IA et alignement global.