Croisement avec un second cours : ISO/IEC 42001 AIMS (RigCert, Udemy)
Second cours suivi pour vérifier le premier. Même norme, approche différente : il lit la norme clause par clause (4.1 à 10.2) puis mesure par mesure (A.2.2 à A.10.4), une vidéo chacune.
Sources udemy_transcript_6623987.txt (local, gitignoré), slides PDF 165 pages (local)
Leçons 78, dont 5 sans transcript français : introduction, 6.1.3 partie 2, A.2.4,
A.6.2.5, A.8.4 ; contenu repris des slides
Formateur RigCert (rigcert.education), propose aussi une certification de personnes
Ressource liste de contrôle d'audit 42001 jointe à la leçon 9.2 : à télécharger sur Udemy
Verdict : pas de nouveau jeu de fiches. Le second cours sert de référence d'exactitude sur le texte de la norme ; le premier garde ce que le second n'a pas (menaces, IA fantôme, OCDE et cadres mondiaux, fonctions métier). Les apports ci-dessous vont dans les fiches existantes.
Manques du premier cours comblés par le second
Reprend manques-du-cours.md.
déclaration d'applicabilité (6.1.3) traitée, avec exemple de tableau ; colonne « état de
mise en œuvre » empruntée à 27001
6.2 objectifs, 6.3 changements une leçon chacun, bien placés en clause 6
4.1 rôles vis-à-vis de l'IA fournisseur, producteur, client, partenaire, sujet,
autorité (22989, non nommée comme source)
4.4 établir et tenir à jour l'AIMS traité
annexe A 38 mesures, 9 rubriques, A.6 à deux objectifs : exact
clause 8 8.2 à 8.4 = exécuter appréciation, traitement, impact
climat 4.1 et note de 4.2 : traité
normes compagnes 22989, 23894, 19011 citées ; 42005, 42006, 5338,
25059 toujours absentes
certification cycle de 3 ans, surveillance annuelle ; ni audit en
deux étapes ni 17021-1
Restent absents des deux cours : liste des documents obligatoires, AI Act concret (art. 4, 27, 49, 73, 99, omnibus), outils autorisés, sanctions et règlement intérieur, RGPD art. 22 et 35, ordres de grandeur de coût et de durée, modèles remplis. C'est ce que ce dépôt ajoute.
Apports nouveaux, reportés dans les fiches et modèles
ISO/IEC 38507 gouvernance, implications de l'usage de l'IA, pour les dirigeants
-> manques-du-cours (normes compagnes), fiche 02
ISO 37002 système de management des alertes, utile pour A.3.3
-> fiche 13, modèle 02 § 8
ISO/IEC 25024 qualité des données (définition reprise pour A.7.4) -> fiche 14
ISO 8000-2 vocabulaire de la provenance des données (A.7.5) -> fiche 14
exceptions procédure de dérogation à la politique (annexe B, A.2.2) : demande
motivée, appréciation du risque, approbation par une instance,
mesures compensatoires, suivi, date de fin, réévaluation
-> modèle 02 (n'a qu'une ligne « arbitre les exceptions »)
score F1 A.6.2.6 : critère chiffré avec seuil ; précision 0,8, rappel 0,6
-> F1 0,686, seuil 0,65 -> conforme -> modèle 07, modèle 08
référence non IA A.6.2.6 : comparer la performance au processus sans IA
(85 % des demandes résolues en moins de 5 min) -> modèle 07
déploiement A.6.2.5 : écarts entre environnements, critères de mise en production,
tests utilisateurs, signatures internes -> modèle 08
incidents A.8.4 : définir ce qui est un incident, délais, format, parties à
informer hors utilisateurs, tester le plan -> modèle 11 (pas d'exercice)
audit interne programme pondéré par l'importance du processus et l'historique de
constats ; auditeur responsable qui tient le plan -> modèle 12
revue de direction revue « complète » par année civile, ou entrées couvertes sur
plusieurs revues dans l'année -> modèle 12
7.5 identification d'un document : titre, date, auteur, référence ; une
appréciation de risques cite la version du modèle évalué -> fiche 08
A.10.2 responsable de traitement et sous-traitant RGPD : la même plateforme
peut être les deux selon le traitement -> modèle 10
annexe A seule redondance clauses / annexe A : une organisation peut appliquer les
mesures sans AIMS complet (lecture du formateur) -> fiche 13
Déjà dans le dépôt, confirmé par le second cours : déclencheurs d'évaluation d'impact, effets positifs et emploi (modèle 04), options de traitement et risques résiduels approuvés (fiche 04), journaux au minimum en exploitation (A.6.2.8), parité démographique (fiches 09, 10).
Erreurs et imprécisions du second cours
PDCA clause 8 présentée comme la phase « Act » ; c'est « Do » (réaliser) ;
9 = Check, 10 = Act
IA générative ChatGPT, Gemini classés « risque minimal » puis « limité » ; l'usage
relève souvent de l'art. 50 (transparence) et le fournisseur du modèle
des art. 53 à 55 ; classement du système selon l'usage (exemples santé,
recrutement du cours : justes)
art. 27 AI Act « obligation légale » pour tout déployeur de haut risque : faux ; vise
les organismes publics, les entités privées assurant un service public
et les usages annexe III point 5 b et c
options 6.1.3 éviter, partager, retenir, prendre, atténuer : vocabulaire ISO 31000,
pas listé tel quel dans 42001 (même réserve que pour le premier cours)
A.2.4 « une revue par an » : conseil du formateur ; la norme dit intervalles
planifiés et au besoin
exemple de DdA A.6.1.3 décrit avec le texte de A.6.2.2 (systèmes nouveaux ou évolutions
majeures) : libellés mélangés sur la slide
sécurité « aucune mesure pour tester la sécurité contre les attaques » : pas de
mesure dédiée, mais le cours cite lui-même les menaces propres à l'IA
(empoisonnement, vol, inversion de modèle) dans les guides A.6.2.3 et A.6.2.6
rôles « le client IA n'est pas impliqué dans la gouvernance » : faux s'il
applique 42001 ; il a ses mesures A.9
transcription « règlement de l'assurance-chômage » = AI Act ; « ISO 1911 » = ISO 19011 ;
« système de gestion de l'air » = de l'IA
Points justes que le premier cours faussait : pas de documentation exigée pour 4.1, 4.2, 7.3, 7.4 ; pas de méthode imposée pour l'appréciation des risques ni pour l'évaluation d'impact ; pas de fréquence imposée pour l'audit interne et la revue de direction ; annexe B non obligatoire à suivre mais à prendre en considération.
Reste à faire
télécharger la liste de contrôle d'audit (leçon 9.2) et la comparer à annexe-a-grille-audit.md
faire le quiz final du second cours