Annexe A : grille d'audit des 38 mesures
Grille de travail tirée des sections 13 et 14 du cours (docs/13 et docs/14). Intitulés reformulés, pas recopiés : le texte exact est dans la norme ISO/IEC 42001:2023 (document payant, ISO ou AFNOR). Numéros et intitulés à confirmer sur le texte officiel avant usage en audit réel.
Usage : une fiche par mesure ; la ligne applicable se remplit chez le client audité.
question ce qu'on demande au client
preuve ce qu'on veut voir (document, registre, extrait)
27001 mesure ISO 27001 qui recouvre, si elle existe (réutiliser la preuve)
applicable oui / non + justification ; alimente la déclaration d'applicabilité (clause 6.1.3)
Une exclusion injustifiée ou une mesure nécessaire non mise en œuvre peut constituer une non-conformité ; le constat cite l'exigence applicable et les éléments probants. La déclaration d'applicabilité couvre toutes les mesures nécessaires, y compris celles ajoutées hors annexe A.
A.2 Politiques liées à l'IA (3)
A.2.2 politique IA
question Où est votre politique IA, et qui l'a validée ?
preuve politique signée par la direction, date, diffusion ; règles autorisé / interdit ;
règles disciplinaires soumises aux formalités du règlement intérieur ou de ses
adjonctions (L1321-4, L1321-5) ; une simple annexion de charte ne suffit pas
27001 A.5.1
applicable
A.2.3 cohérence avec les autres politiques
question Comment la politique IA s'articule avec sécurité, vie privée, achats, RH ?
preuve renvois croisés, matrice de cohérence
27001 A.5.1
applicable
A.2.4 revue de la politique IA
question Quand a eu lieu la dernière revue, et qu'est-ce qui déclenche la suivante ?
preuve compte rendu de revue, calendrier, liste des déclencheurs (loi, incident, nouveau projet)
27001 A.5.1
applicable
A.3 Organisation interne (2)
A.3.2 rôles et responsabilités IA
question Qui décide de mettre un modèle en production ? Qui répond d'un mauvais résultat ?
preuve RACI, fiches de poste, organigramme de la gouvernance IA
27001 A.5.2
applicable
A.3.3 signalement des préoccupations
question Comment un salarié ou un sous-traitant signale un problème IA sans risque pour lui ?
preuve procédure, canal (anonyme si besoin), registre des signalements, délais de réponse
27001 A.6.8
applicable
A.4 Ressources (5)
A.4.2 documentation des ressources
question Pour le système X, quelles ressources sont documentées et où ?
preuve inventaire versionné par système
27001 A.5.9
applicable
A.4.3 données
question Quelles données sert le système, d'où viennent-elles, quelle qualité ?
preuve fiche de jeu de données (provenance, catégories, mises à jour)
27001 A.5.9, A.5.12
applicable
A.4.4 outils
question Quels frameworks, bibliothèques, environnements d'entraînement ?
preuve liste des outils et versions, nomenclature logicielle (SBOM, AI-BOM)
27001 A.5.9
applicable
A.4.5 système et calcul
question Sur quoi tourne le modèle (serveurs, GPU, cloud) ?
preuve schéma d'infrastructure, contrats cloud, capacité
27001 A.5.23, A.8.6
applicable
A.4.6 ressources humaines
question Qui a les compétences, et comment elles sont maintenues ?
preuve matrice de compétences, plan de formation, attestations
27001 A.6.3
applicable
A.5 Évaluation des impacts (4)
A.5.2 processus d'évaluation d'impact
question Comment vous évaluez l'impact d'un système IA, et quand vous le refaites ?
preuve procédure, méthode, déclencheurs de réévaluation
27001 aucune (RGPD : AIPD, art. 35)
applicable
A.5.3 documentation des évaluations
question Montrez l'évaluation d'impact du système X.
preuve rapport daté, participants, risques trouvés, actions, durée de conservation
27001 aucune
applicable
A.5.4 impact sur les personnes ou les groupes
question Qui peut être lésé par une décision du système ? Groupes vulnérables ?
preuve analyse par population, résultats de tests de biais
27001 aucune
applicable
A.5.5 impact sur la société
question Effets plus larges : emploi, environnement, désinformation, accès aux services ?
preuve section sociétale de l'évaluation, consultation de parties prenantes
27001 aucune
applicable
A.6 Cycle de vie (9)
A.6.1.2 objectifs de développement responsable
question Quels objectifs écrits pour l'équité, la transparence, la sécurité ?
preuve objectifs documentés, reliés à la politique IA
27001 A.8.25
applicable
A.6.1.3 processus de conception responsable
question Où sont les étapes de contrôle (revue humaine, tests, impact) dans votre cycle ?
preuve processus de développement avec jalons et validations
27001 A.8.25, A.8.27
applicable
A.6.2.2 exigences et spécification
question Le besoin et les exigences du système sont-ils écrits avant le développement ?
preuve cahier des charges, exigences fonctionnelles et non fonctionnelles
27001 A.8.26
applicable (mesure absente du cours)
A.6.2.3 documentation de conception et développement
question Architecture, données, algorithmes : c'est documenté où ?
preuve dossier de conception, fiche modèle (model card)
27001 A.8.27
applicable
A.6.2.4 vérification et validation
question Quels tests avant mise en production, avec quels critères d'acceptation ?
preuve plan et rapport de tests (performance, biais, robustesse, attaques)
27001 A.8.29
applicable
A.6.2.5 déploiement
question Qui approuve la mise en production, sur quelle base ?
preuve approbation signée, plan de déploiement, plan de retour arrière
27001 A.8.32
applicable
A.6.2.6 exploitation et surveillance
question Comment vous voyez une dérive ou une panne en production ?
preuve tableau de bord, seuils d'alerte, tickets d'incident
27001 A.8.16
applicable
A.6.2.7 documentation technique
question Quelle documentation pour l'intégrateur, l'utilisateur, le régulateur ?
preuve documentation par public, à jour, versionnée
27001 A.5.37
applicable
A.6.2.8 journaux d'événements
question Que journalisez-vous (entrées, sorties, interventions humaines), combien de temps ?
preuve extraits de journaux, politique de conservation (AI Act art. 19 et 26 § 6 si applicables,
journaux sous contrôle, durée adaptée et exceptions ; voir modèle 8)
27001 A.8.15
applicable
A.7 Données (5)
A.7.2 données de développement et d'amélioration
question Quelles règles pour les données d'entraînement et de réentraînement ?
preuve procédure de gestion des données IA
27001 A.5.12, A.5.34
applicable
A.7.3 acquisition des données
question Avec quels droits avez-vous obtenu ces données (licence, consentement) ?
preuve contrats, licences, base légale RGPD
27001 A.5.32, A.5.34
applicable
A.7.4 qualité des données
question Quels critères de qualité, et qui les contrôle ?
preuve critères écrits, rapports de contrôle qualité
27001 aucune (ISO 9001 pour la démarche)
applicable
A.7.5 provenance des données
question Pouvez-vous retrouver d'où vient une donnée et ce qu'elle a subi ?
preuve métadonnées, versions des jeux, traçabilité des transformations
27001 aucune
applicable
A.7.6 préparation des données
question Nettoyage, étiquetage, transformations : documentés et reproductibles ?
preuve scripts versionnés, consignes d'annotation, critères d'exclusion
27001 aucune
applicable
A.8 Information des parties intéressées (4)
A.8.2 documentation pour les utilisateurs
question L'utilisateur sait-il qu'il a affaire à une IA, et connaît-il ses limites ?
preuve notice, mention IA, limites et précision annoncées ; AI Act art. 50 (transparence),
art. 13 (instructions des systèmes à haut risque)
27001 aucune
applicable
A.8.3 signalement externe
question Comment un client ou un tiers signale un problème avec le système ?
preuve formulaire ou adresse dédiée, registre, délais de réponse
27001 A.6.8
applicable
A.8.4 communication des incidents
question Qui prévenez-vous en cas d'incident IA, sous quel délai ?
preuve plan de communication, modèles de messages, délais légaux (AI Act art. 73, RGPD art. 33)
27001 A.5.24, A.5.26
applicable
A.8.5 information des parties intéressées
question Quelles informations vous devez fournir (régulateur, partenaires), et comment ?
preuve liste des obligations d'information, documents transmis
27001 A.5.31
applicable
A.9 Utilisation (3)
A.9.2 processus d'utilisation responsable
question Comment un service obtient le droit d'utiliser un système IA ?
preuve liste des outils et modèles autorisés, par niveau de données permis ;
procédure de demande d'ajout ; garde-fous
27001 A.5.10
applicable
A.9.3 objectifs d'utilisation responsable
question Quels objectifs fixés pour l'usage (équité, supervision humaine) et comment suivis ?
preuve objectifs écrits, indicateurs
27001 A.5.10
applicable
A.9.4 usage prévu
question Quel est l'usage prévu, et comment vous repérez un usage détourné ?
preuve fiche d'usage prévu, contrôles, journal des écarts
27001 A.5.10
applicable
A.10 Tiers et clients (3)
A.10.2 répartition des responsabilités
question Entre vous, vos fournisseurs et vos clients, qui est responsable de quoi ?
preuve matrice de responsabilités, clauses contractuelles
27001 A.5.19, A.5.20
applicable
A.10.3 fournisseurs
question Comment vous choisissez et suivez un fournisseur de modèle, de données ou d'API ?
preuve questionnaire de diligence, contrat avec clauses IA, revues de suivi
27001 A.5.19 à A.5.23
applicable
A.10.4 clients
question Quelles obligations envers vos clients : information, recours humain, contestation ?
preuve conditions contractuelles, procédure de recours, statistiques de réclamations
27001 aucune
applicable
Décompte
A.2 3 A.5 4 A.8 4
A.3 2 A.6 9 A.9 3
A.4 5 A.7 5 A.10 3
total 38
À vérifier
- numéros : recoupés avec deux sources secondaires (Advisera, Modulos), aucun écart ; décompte 38 confirmé (BSI)
- intitulés : reformulés, non comparés mot pour mot au texte ISO/IEC 42001:2023
- colonne 27001 : correspondances indicatives (ISO/IEC 27001:2022), non officielles
- articles AI Act cités (12, 13, 19, 50, 73) : règlement (UE) 2024/1689 modifié par 2026/1744 (calendrier reporté)