Modèle 6 : déclaration d'applicabilité
Couvre : clause 6.1.3 (traitement des risques), annexe A (38 mesures), mesures ajoutées. Document obligatoire : oui (6.1.3). La norme n'impose ni un fichier par exigence ni ces intitulés : un tableur suffit s'il est versionné.
Contenu attendu par 6.1.3 :
mesures nécessaires toutes, annexe A ou non ; l'annexe A sert de liste de contrôle
inclusion justification de chaque mesure retenue (risque, exigence, obligation)
exclusion justification de chaque mesure écartée
mise en œuvre état de chaque mesure
Une exclusion injustifiée, ou une mesure nécessaire absente, est une non-conformité. Une exclusion qui masque un écart du diagnostic ne tient pas à l'audit : elle doit reposer sur l'absence de l'activité visée. Numéros et intitulés : docs/annexe-a-grille-audit.md.
États (repris de l'échelle du diagnostic) :
0 absent 1 informel non mis en œuvre
2 documenté en partie partiel
3 défini et appliqué mis en œuvre
4 mesuré 5 amélioré mis en œuvre et mesuré
Modèle vide
Version n°, date, approuvée par (direction), lien vers le registre des risques
Revue à chaque revue du registre (modèle 3) et à chaque revue de direction (9.3)
ID intitulé incluse / exclue état
justification ; référence au document ou à la preuve ; échéance si non mis en œuvre
Mesures ajoutées : numérotées M.1, M.2... ; source (autre norme, risque, exigence légale).
Exemple rempli : mutuelle fictive
Version 1.0, octobre 2026, approuvée par le directeur général
État diagnostic d'octobre 2026 ; échéances = plan d'action à 12 mois
Bilan 37 incluses, 1 exclue, 2 ajoutées ; 6 mises en œuvre, 11 partielles,
20 non mises en œuvre
A.2 Politiques
A.2.2 politique IA incluse non mis en œuvre (1)
5.2 ; R5 ; modèle 2, à valider et à ajouter au règlement intérieur, 0 à 3 mois
A.2.3 cohérence avec les autres incluse non mis en œuvre (1)
renvois PSSI et politique RGPD à créer ; modèle 2, 0 à 3 mois
A.2.4 revue de la politique incluse non mis en œuvre (0)
5.2 ; politique § 10 (revue annuelle, déclencheurs) ; 0 à 3 mois
A.3 Organisation
A.3.2 rôles et responsabilités incluse mis en œuvre (3)
5.3 ; RACI des trois systèmes ; modèle 1, politique § 4
A.3.3 signalement des préoccupations incluse non mis en œuvre (1)
R5 ; canal éthique RH à étendre ; ia-signalement@ (politique § 8)
A.4 Ressources
A.4.2 documentation des ressources incluse partiel (2)
4.3 ; inventaire modèle 5 ; CMDB à aligner, 0 à 3 mois
A.4.3 données incluse partiel (2)
R1 ; rubrique données du modèle 5 ; provenance à tracer
A.4.4 outils incluse mis en œuvre (3)
suivi des versions par l'équipe data ; modèle 5
A.4.5 système et calcul incluse mis en œuvre (3)
preuve 27001 (A.5.23, A.8.6) réutilisée ; modèle 5
A.4.6 ressources humaines incluse non mis en œuvre (1)
AI Act art. 4 ; R5 ; matrice de compétences et formation, 6 à 12 mois
A.5 Évaluation des impacts
A.5.2 processus d'évaluation incluse non mis en œuvre (0)
6.1.4 ; méthode modèle 4, 3 à 6 mois
A.5.3 documentation des évaluations incluse non mis en œuvre (0)
8.4 ; fiche S1 (modèle 4), S2 et S3 à conduire, 3 à 6 mois
A.5.4 impact personnes et groupes incluse non mis en œuvre (1)
R1 ; test de biais 2025 isolé ; test par agence avant chaque version
A.5.5 impact sur la société incluse non mis en œuvre (0)
engagement CSE (emploi) ; section 4 du modèle 4
A.6 Cycle de vie
A.6.1.2 objectifs de dév. responsable incluse non mis en œuvre (1)
6.2 ; objectifs O1 et O3 (modèle 7)
A.6.1.3 conception responsable incluse mis en œuvre (3)
cycle de développement sécurisé 27001 étendu aux modèles en 2025
A.6.2.2 exigences et spécification incluse partiel (2)
R1 ; exigence d'équité à ajouter aux spécifications
A.6.2.3 documentation de conception incluse partiel (2)
fiche modèle pour S1 seulement ; S2, S3 à rédiger
A.6.2.4 vérification et validation incluse partiel (2)
R1, R2, R3 ; tests de robustesse et d'intrusion à ajouter, 6 à 12 mois
A.6.2.5 déploiement incluse mis en œuvre (3)
comité de mise en production ; comptes rendus
A.6.2.6 exploitation et surveillance incluse non mis en œuvre (1)
R6 ; indicateurs I2 et I7 (modèle 7), 6 à 12 mois
A.6.2.7 documentation technique incluse non mis en œuvre (1)
S1 traité haut risque par prudence ; documentation par public, 6 à 12 mois
A.6.2.8 journaux d'événements incluse partiel (2)
AI Act art. 19 et 26 § 6 si applicables (voir modèle 8) ; politique 12 mois
A.7 Données
A.7.2 données de développement incluse partiel (2)
R1 ; règles à écrire
A.7.3 acquisition des données exclue
aucune donnée acquise auprès d'un tiers pour entraîner, tester ou alimenter S1 à S3 ;
le seul jeu externe (2024, licence et provenance introuvables) est retiré des
entraînements : risque évité, décision du comité IA d'octobre 2026, compte rendu ;
à réintégrer dès un achat ou une collecte de données externes (déclencheur de revue)
A.7.4 qualité des données incluse partiel (2)
R1 ; contrôles qualité à étendre de S3 à S1
A.7.5 provenance des données incluse non mis en œuvre (1)
R1 ; versions des jeux et traçabilité des transformations, 6 à 12 mois
A.7.6 préparation des données incluse partiel (2)
scripts versionnés ; consignes d'annotation à écrire, 6 à 12 mois
A.8 Information des parties intéressées
A.8.2 documentation utilisateurs incluse non mis en œuvre (1)
AI Act art. 50 ; R2 ; mention IA sur S2, 0 à 3 mois
A.8.3 signalement externe incluse mis en œuvre (3)
réclamations IA qualifiées par le service client ; indicateur I4
A.8.4 communication des incidents incluse non mis en œuvre (1)
RGPD art. 33 ; R3 ; scénario IA au plan de crise, 3 à 6 mois
A.8.5 information des parties incluse non mis en œuvre (1)
ACPR, CNIL (modèle 1, 4.2) ; liste des obligations, 3 à 6 mois
A.9 Utilisation
A.9.2 utilisation responsable incluse non mis en œuvre (1)
R5 ; liste des outils (politique, annexe 1), 0 à 3 mois
A.9.3 objectifs d'utilisation incluse non mis en œuvre (1)
6.2 ; objectifs O2 et O4 (modèle 7)
A.9.4 usage prévu incluse partiel (2)
R2, R6 ; usage prévu à écrire pour S2
A.10 Tiers et clients
A.10.2 répartition des responsabilités incluse non mis en œuvre (1)
R2, R4 ; avenant au contrat du LLM, 3 à 6 mois
A.10.3 fournisseurs incluse partiel (2)
R4 ; volet IA au questionnaire 27001 ; préavis, version figée
A.10.4 clients incluse non mis en œuvre (1)
recours humain sur S1, 0 à 3 mois ; modèle 4 (mesure recours)
Mesures ajoutées hors annexe A
M.1 filtrage des outils IA non autorisés ajoutée non mis en œuvre (0)
source : R5 et S7 (IA fantôme, modèle 5) ; ISO 27001 A.8.23 (filtrage web) ;
blocage au proxy des outils IA grand public, alerte au RSSI, revue mensuelle des
tentatives (indicateur I5) ; échéance décembre 2026
M.2 non-régression du LLM fournisseur ajoutée non mis en œuvre (0)
source : R4 ; jeu de 200 questions rejoué à chaque changement de version annoncé
et une fois par mois (indicateur I3) ; échéance janvier 2027
Exclusion A.7.3 volontairement fragile, pour l'exemple : l'acquisition vise aussi les données internes réutilisées pour l'IA (sources, quantités, droits), pas seulement les achats. L'audit la relève en NC-2027-01 (modèle 13). En pratique, une organisation qui développe ses propres systèmes exclut rarement une mesure de A.6 ou A.7 ; zéro exclusion est un résultat normal.