16. Mise en œuvre et maintien de la conformité
Section 16 du cours « Pilotez un système d’IA | ISO/IEC 42001 ».
Mettre en place le système de management demande un périmètre réaliste, des priorités et des preuves d’application. Après la certification, la surveillance et l’amélioration se poursuivent.
Repères de vocabulaire
-
SMIA / AIMS : système de management de l’IA.
-
RACI : répartition entre réalisation, approbation finale, consultation et information.
-
SMSI : système de management de la sécurité de l’information, associé à ISO 27001.
Notions
Mise en œuvre, étapes du cours :
-
1 État des lieux : évaluation de la préparation : systèmes IA existants, responsables, gouvernance en place, gestion actuelle des risques -> niveau de maturité
-
2 Périmètre : par unité, type de système IA, niveau de risque ; tout ou seulement le fort impact (crédit, recrutement, maintenance prédictive) ; réaliste, justifié, documenté, élargi ensuite
-
3 Analyse des écarts : chaque exigence vs pratique actuelle (rôles, processus, outils, documents) ; ex. 6.1.2 couverte en partie par le registre cyber -> ajouter dérive, biais, traçabilité des données
-
4 Feuille de route : 12 à 24 mois, par priorités, risques, ressources phase 1 : direction, politiques, rôles clés, premiers contrôles phase 2 : systèmes les plus risqués, analyses de risques et d'impact, pilotes de surveillance suite : autres entités, automatisation, préparation des audits
-
5 Équipe : pluridisciplinaire : ingénieurs IA, juristes, risques, opérationnels, conformité, RH, communication ; responsable du programme AIMS mandaté
-
6 Réutilisation : ISO 27001 (registres de risques, formation, audit interne), ISO 9001 (qualité, amélioration continue) -> pas de doublons
-
7 Gouvernance : comité de pilotage IA, responsable du risque IA, comité d'éthique pour le fort impact ; réunions régulières, tableaux de bord, validation des déploiements et des évolutions de politique
-
8 Conduite du changement : former chaque rôle aux sujets qu’il rencontre. Exemples : responsabilité pour la direction, contrôles du cycle de vie pour les développeurs, suivi des systèmes évolutifs pour la conformité.
-
9 Preuves : analyses de risques, validations de politiques, audits, évaluations d'impact, registre des non-conformités -> piste d'audit
-
10 Pilote : une entité ou un cas d'usage risqué ; ex. banque : octroi de crédit (explicabilité, équité) puis fraude, assistants clients
-
11 Certification : organisme externe compétent en IA ; avant : autoévaluation, audit interne complet, revue de direction formelle ; pendant : preuves d'usage réel
Indicateurs cités :
-
Mise en œuvre : modèles couverts par une évaluation d'impact, incidents déclarés et résolus, constats d'audit clôturés, réclamations des parties prenantes traitées
-
Maintien : % de modèles enregistrés, délai des évaluations de risques, problèmes d'équité ou de transparence détectés et résolus, taux de clôture des constats, réclamations, demandes externes
Cycle de certification selon le cours :
-
Validité : 3 ans
-
Surveillance : audit annuel
-
Renouvellement : audit complet en fin de cycle
Piliers du maintien :
-
Direction : soutien visible (clause 5), revues de performance, ressources, indicateurs AIMS sur les tableaux de bord des dirigeants
-
Indicateurs : clause 9 : technique + qualité de gouvernance, analysés en revue
-
Audit interne : calendrier tenu, périmètre tournant (systèmes, services, risques), auditeurs formés ; chaque non-conformité suivie jusqu'à clôture
-
Amélioration : clause 10 : cause racine, vérification d'efficacité, démarche proactive
-
Veille : AI Act, autorités de protection des données ; modèles de fondation, données synthétiques, agents autonomes -> critères de risque à revoir
-
Inventaire : modèles réentraînés, redéployés, détournés, retirés -> inventaire, analyses d'impact et seuils de surveillance à jour
-
Formation : accueil des nouveaux, rappels par métier, exercices sur table (tabletop)
-
Retours : suggestions, base de retours d'expérience, signalement sans blâme
-
Audits externes : registres d'incidents, entretiens, analyses d'impact mises à jour, constats précédents clôturés ; progression attendue
flowchart TD
A[État des lieux, maturité] --> B[Périmètre de l'AIMS]
B --> C[Analyse des écarts]
C --> D[Feuille de route 12 à 24 mois]
D --> E[Équipe, responsable AIMS, gouvernance]
E --> F[Pilote sur un cas d'usage risqué]
F --> G[Déploiement, formation, preuves]
G --> H[Audit interne + revue de direction]
H --> I[Audit étape 1 : documentation, préparation]
I --> J{Prêt ?}
J -- non --> G
J -- oui --> K[Audit étape 2 : mise en œuvre effective]
K --> L{Non-conformités majeures ?}
L -- oui --> M[Actions correctives]
M --> K
L -- non --> N[Certification, 3 ans]
N --> O[Audit de surveillance annuel]
O --> P{Fin du cycle ?}
P -- non --> O
P -- oui --> Q[Audit de renouvellement]
Q --> N
À retenir
-
ISO 42001 = démarche de transformation, au-delà de la case à cocher
-
périmètre réaliste et documenté au départ, élargi avec la maturité
-
analyse des écarts clause par clause avant la feuille de route
-
s'appuyer sur ISO 27001 et ISO 9001 existants
-
Faire fonctionner la gouvernance en pratique : décisions prises, responsabilités exercées et actions suivies. Les comptes rendus seuls ne prouvent pas l’efficacité du dispositif.
-
constituer les preuves au fil de l'eau
-
Poursuivre le travail après la certification. Préparer les audits de surveillance et démontrer le suivi des écarts et l’amélioration du dispositif.
-
inventaire des modèles à jour en continu : sinon l'AIMS perd son sens
-
Cas du cours : la documentation n’a pas suivi le réentraînement du modèle. Rechercher la cause, revoir la gestion des versions et enregistrer l’action d’amélioration pour la revue de direction.
Lien avec l'audit IA
-
Contrôle possible : périmètre : justification de l'inclusion / exclusion ? Preuve : déclaration de périmètre datée et argumentée (clause 4.3)
-
Contrôle possible : analyse des écarts : Preuve : matrice exigence -> état -> action -> responsable
-
Contrôle possible : gouvernance active : Preuve : comptes rendus du comité IA, décisions de validation de déploiement
-
Contrôle possible : inventaire : un modèle réentraîné a-t-il sa documentation à jour ? Preuve : registre des versions vs fiche modèle (piège du cas du cours)
-
Contrôle possible : audit interne : périmètre tournant ? Preuve : programme d'audit pluriannuel, suivi des non-conformités jusqu'à clôture avec vérification d'efficacité
-
Contrôle possible : revue de direction : Preuve : compte rendu avec indicateurs AIMS et décisions
-
Déjà traité : inventaire, RACI : ai-governance-fundamentals 02-inventaire.md, 05-roles-raci.md ; intégration avec le SMSI : dépôt iso-27001
Précisions et points à vérifier
Les points ci-dessous signalent les limites du cours et les vérifications à poursuivre. Les exemples et recommandations du formateur ne sont pas tous des exigences de la norme.
-
étapes 1 et 2 de l'audit initial non décrites par le cours : ISO/IEC 17021-1 (9.3) ; exigences propres aux organismes certifiant un AIMS : ISO/IEC 42006:2025
-
cycle 3 ans, surveillance annuelle : ISO/IEC 17021-1 précise au moins une surveillance par année civile, la première dans les 12 mois suivant la décision de certification
-
« 12 à 24 mois » de feuille de route : estimation du cours, aucune durée dans la norme
-
comité d'éthique, responsable du risque IA, comité de pilotage : recommandations du cours ; la norme exige des rôles et responsabilités (5.3, A.3.2) sans imposer ces instances
-
clause 6.1.2 = appréciation des risques IA (exact) ; l'évaluation d'impact relève de 6.1.4
-
erreurs de transcription : « ISO 45001 » pour ISO 42001 ; « SMSI », « système de management de la sécurité de l'information » et « SNIA » pour AIMS / SMIA ; « mesures collectives » pour correctives
-
« ISO 42001 est conçue pour absorber ces évolutions » : la norme elle-même sera révisée ; suivre les amendements ISO/IEC 42001 et les normes harmonisées AI Act (CEN-CENELEC JTC 21)
-
AI Act cité sans dates : entrée en vigueur 1er août 2024, application échelonnée (règlement (UE) 2024/1689, article 113)
Questions de révision
-
première étape de mise en œuvre selon le cours ? Réponse : état des lieux (évaluation de la préparation, niveau de maturité).
-
peut-on limiter le périmètre initial ? Réponse : oui, par exemple aux systèmes à fort impact, si c'est justifié et documenté.
-
durée typique de la feuille de route ? Réponse : 12 à 24 mois, selon le cours.
-
que faire avant l'audit de certification ? Réponse : autoévaluation, audit interne complet, revue de direction formelle.
-
rythme du cycle de certification ? Réponse : certificat 3 ans, surveillance annuelle, renouvellement en fin de cycle.
Leçons couvertes
Parcours de mise en œuvre ISO/IEC 42001 ; Maintien de la conformité ISO 42001 ; Leçon bonus, prochaines étapes (promotionnelle, sans contenu technique).