Notes ISO/IEC 42001

16 sections, 78 leçons. Chaque fiche comprend une introduction, des repères de vocabulaire, les notions, des points à retenir, des questions d’audit et des questions de révision.

Les précisions en fin de fiche distinguent les limites du cours et les points à vérifier. Pour les corrections de droit du travail et de RGPD, voir les repères de la section 6.

• 01-introduction.md : introduction, composants clés d'un AIMS

• 02-structure-clauses-4-5.md : dix clauses, contexte (4), leadership (5), IA vs IT

• 03-clause-6-planification.md : planification (6), feuille de route, cycle de vie

• 04-clause-6-1-risques-impacts.md : 6.1.1 à 6.1.4 : risques, évaluation, traitement, impacts

• 05-menaces-ia.md : emplois, biais, empoisonnement, attaques adversariales

• 06-risques-ethique-ia-fantome.md : atténuation, modélisation des menaces, éthique, IA fantôme

• 07-tiers-chaine-incidents.md : tiers et fournisseurs, chaîne d'approvisionnement, incidents

• 08-clause-7-support.md : support (7), équipe AIMS, 7.5, supervision humaine

• 09-clause-8-operations.md : opérations (8), cycle de vie, explicabilité, cas finance/santé

• 10-clause-9-evaluation.md : évaluation (9), audit interne/externe, équité

• 11-clause-10-amelioration.md : amélioration (10), intégration 27001/9001, KPI

• 12-ocde-cadres-mondiaux.md : OCDE, AI Act, NIST AI RMF, réglementations nationales

• 13-annexe-a-controles-a2-a5.md : annexe A : vue d'ensemble, A.2 à A.5

• 14-annexe-a-controles-a6-a10.md : annexe A : A.6 à A.10

• 15-ia-et-fonctions-metier.md : cybersécurité, supply chain, audit, OT

• 16-mise-en-oeuvre-et-maintien.md : parcours de mise en œuvre, maintien, suite

• annexe-a-grille-audit.md : les 38 mesures en grille : question, preuve, 27001, applicabilité

• manques-du-cours.md : ce que le cours oublie, documents obligatoires, modèles à produire

• croisement-cours-rigcert.md : second cours (RigCert) croisé avec les notes : manques comblés, apports, erreurs

• modeles/01-perimetre-et-roles.md : périmètre, rôles 22989 et AI Act (4.1 à 4.3)

• modeles/02-politique-ia.md : politique IA, outils autorisés, sanctions (5.2, A.2, A.9)

• modeles/03-registre-risques.md : méthode, échelles, registre (6.1.2, 6.1.3, 8.2, 8.3)

• modeles/04-evaluation-impact.md : évaluation d'impact, AIPD, art. 27 (6.1.4, A.5)

• modeles/05-inventaire-systemes-ia.md : inventaire des systèmes IA, classe AI Act, IA fantôme (4.3, A.4, A.6)

• modeles/06-declaration-applicabilite.md : déclaration d'applicabilité : 38 mesures + 2 ajoutées (6.1.3)

• modeles/07-objectifs-et-indicateurs.md : objectifs IA et indicateurs (6.2, 9.1)

• modeles/08-fiche-systeme.md : fiche système et modèle (A.6.2.2 à A.6.2.8)

• modeles/09-fiche-jeu-de-donnees.md : fiche jeu de données (A.7)

• modeles/10-questionnaire-fournisseur.md : questionnaire fournisseur, clauses, prestataire utilisant l'IA (A.10.2 à A.10.4)

• modeles/11-procedure-incident.md : procédure et fiche d'incident IA (A.8.4, art. 73, RGPD 33)

• modeles/12-audit-interne-et-revue.md : programme d'audit interne, revue de direction (9.2, 9.3)

• modeles/13-registre-non-conformites.md : registre des non-conformités (10.2)

• modeles/14-auto-evaluation.md : auto-évaluation en 40 questions, avant le diagnostic (4 à 10, annexe A)

• Modèles dans le site : les 14 modèles affichés dans la démonstration.

• Application d'auto-évaluation : Laravel, notes en ligne et questionnaire du modèle 14 rempli par rôle

Structure commune des normes de management (clauses 4 à 10)

ISO 42001 et ISO 27001 suivent la même structure harmonisée. Ce tableau sert aux deux dépôts.

Clause   Thème            ISO 42001 (IA)                         ISO 27001 (sécurité)
4        Contexte          enjeux, parties intéressées, périmètre du système de management
5        Leadership        engagement de la direction, politique IA / politique sécurité, rôles
6        Planification     risques et opportunités ;             appréciation et traitement des
                           évaluation d'impact des systèmes IA   risques de sécurité, déclaration
                                                                 d'applicabilité
7        Support           ressources, compétences, sensibilisation, communication, documentation
8        Fonctionnement    maîtrise opérationnelle, appréciation et traitement des risques
9        Évaluation        surveillance, mesure, audit interne, revue de direction
10       Amélioration      non-conformités, actions correctives, amélioration continue

Annexes de mesures :

ISO 42001   annexe A normative : 38 mesures dans 9 rubriques A.2 à A.10 (politiques,
            organisation, ressources, impact, cycle de vie, données, information, usage, tiers) ;
            A.6 comporte deux objectifs distincts, en A.6.1 et A.6.2 ;
            annexe B normative : recommandations de mise en œuvre à prendre en considération ;
            annexe C informative : objectifs organisationnels liés à l'IA et sources de risque ;
            annexe D informative : application par domaine ou secteur, articulation avec
            d'autres systèmes de management
ISO 27001   annexe A : 93 mesures en 4 thèmes (organisationnelles, humaines, physiques,
            technologiques), détaillées dans ISO 27002

Correspondance avec la formation de base

Inventaire IA, risques, RACI      https://git.sylvainp.dev/formation/ai-governance-fundamentals/src/branch/master/docs/02-inventaire.md, 03-risques.md, 05-roles-raci.md
Politique d'usage                 https://git.sylvainp.dev/formation/ai-governance-fundamentals/src/branch/master/docs/04-politique.md
AI Act, RGPD, incidents 72 h      https://git.sylvainp.dev/formation/ai-governance-fundamentals/src/branch/master/docs/08-cadre-europeen-et-france.md