Modèle 1 : périmètre et rôles de l'AIMS
Couvre : clause 4.1 (contexte, rôle vis-à-vis de l'IA), 4.2 (parties intéressées), 4.3 (périmètre). Document obligatoire : 4.3. Le reste sert de preuve et alimente le registre des risques (modèle 3).
Rôles possibles, ISO/IEC 22989 et AI Act :
22989 fournisseur de produit ou service IA, producteur IA, client IA, partenaire IA,
sujet IA (personne concernée), autorité compétente
AI Act fournisseur (développe ou fait développer et met sur le marché ou en service sous son nom),
déployeur (utilise sous sa propre autorité), importateur, distributeur
piège une entreprise qui assemble un chatbot sur l'API d'un LLM et le met en service sous
son nom peut devenir fournisseur de ce système au sens de l'AI Act
Modèle vide
Organisation raison sociale, activité, effectif, sites
Version n°, date, auteur, validé par (direction), prochaine revue
Enjeux (4.1)
Internes stratégie, culture, compétences, systèmes existants (27001, 9001), budget
Externes réglementation (AI Act, RGPD, sectorielle), marché, attentes clients,
fournisseurs IA, changement climatique (à examiner selon 4.1, note de 4.2)
Finalité de l'AIMS ce que l'organisation attend du système de management, en une phrase
Rôles par système (4.1)
Système finalité rôle 22989 rôle AI Act classe AI Act justification
Classe AI Act : interdit (art. 5), haut risque (art. 6, annexes I et III), transparence (art. 50), minimal. Chaque classement s'appuie sur un article ou un point d'annexe, cité.
Parties intéressées (4.2)
Partie exigences ou attentes lesquelles l'AIMS traite comment
Périmètre (4.3)
Inclus systèmes, entités, sites, processus, phases du cycle de vie
Exclus élément exclu + justification (une exclusion non justifiée est refusée à l'audit)
Interfaces ce qui est hors périmètre mais touche l'AIMS (DSI groupe, fournisseur cloud)
Énoncé phrase reprise telle quelle sur le certificat
Exemple rempli : mutuelle fictive
Organisation mutuelle régionale santé et prévoyance, 1 200 salariés, 4 sites
Version 1.0, octobre 2026, référent IA, validé par le directeur général, revue octobre 2027
Enjeux :
Internes certifiée ISO 27001 depuis 2022 ; équipe data de 6 personnes ;
usage d'IA générative par les gestionnaires, non encadré
Externes AI Act, RGPD (données de santé, art. 9), contrôle ACPR, Code de la mutualité ;
adhérents attentifs au traitement de leurs dossiers ; dépendance à un
fournisseur de LLM américain
Finalité utiliser l'IA pour accélérer la gestion des dossiers sans léser un adhérent
et en restant capable de le prouver
Rôles par système :
Tri des sinistres oriente les dossiers vers gestion rapide ou approfondie
22989 : producteur et fournisseur ; AI Act : fournisseur et déployeur
classe : à confirmer ; annexe III point 5 c vise la tarification et
l'évaluation des risques en assurance vie et maladie, pas le tri des
sinistres ; traité comme haut risque par prudence (données de santé)
Chatbot adhérents répond aux questions sur les garanties
22989 : client IA (LLM) et fournisseur du service ; AI Act : fournisseur du
système, déployeur ; classe : transparence (art. 50, mention IA obligatoire)
Détection fraude signale des dossiers suspects à un gestionnaire, qui décide
22989 : producteur ; AI Act : fournisseur et déployeur ; classe : minimal,
décision finale humaine ; à revoir si le score devient bloquant
Parties intéressées :
Adhérents traitement équitable, explication, recours traité mention IA, recours humain
Salariés outils fiables, règles claires traité politique, formation art. 4
ACPR, CNIL conformité traité registre, AIPD, journaux
Fournisseur LLM respect des conditions d'usage traité contrat, suivi (A.10.3)
Prestataires santé confidentialité des échanges non hors périmètre IA
Périmètre :
Inclus les 3 systèmes ci-dessus, de la conception au retrait ; usage des outils
d'IA générative par tous les salariés ; siège et 3 agences
Exclus outils IA intégrés aux logiciels bureautiques du groupe : gérés par la DSI
groupe, couverts par sa propre politique (interface ci-dessous)
Interfaces DSI groupe (bureautique, identité), hébergeur cloud, fournisseur LLM
Énoncé « Système de management de l'IA couvrant la conception, l'exploitation et
l'usage des systèmes d'IA de gestion des sinistres, de relation adhérents et
de détection de fraude, ainsi que l'usage d'outils d'IA générative par le
personnel. »