Gouvernance de l'IA
ISO 42001
ISO/IEC 42001 (Système de management de l'IA)
ISO/IEC 42001 est la norme internationale pour un système de management de l'IA. Nous vous aidons à construire la gouvernance nécessaire pour développer et utiliser l'IA de manière responsable, et nous vous préparons à la certification par un organisme accrédité.
Ce qu'est ISO 42001
ISO/IEC 42001 est la première norme internationale pour un système de management de l'intelligence artificielle (AIMS). Elle offre aux organisations une manière structurée de gouverner le développement, la fourniture et l'utilisation de l'IA, en traitant les risques et les impacts propres à l'IA tels que les biais, la transparence, la sécurité et la gestion continue des systèmes d'IA tout au long de leur cycle de vie.
Comme les autres normes ISO de systèmes de management, elle suit une structure familière de contexte, leadership, planification, support, exploitation et amélioration, et s'accompagne d'annexes de mesures et de lignes directrices de mise en œuvre. La certification est délivrée par un organisme de certification indépendant et accrédité à la suite d'un audit. Elle complète, sans les remplacer, vos programmes de sécurité de l'information et de protection de la vie privée.
La structure de la norme
Clause 4 · Contexte
Vous établissez le périmètre du système de management de l'IA et identifiez les enjeux internes et externes ainsi que les parties intéressées qui façonnent la gouvernance de l'IA.
Clause 5 · Leadership
La direction définit la politique relative à l'IA, attribue les responsabilités et s'engage en faveur d'un développement et d'une utilisation responsables de l'IA.
Clause 6 · Planification
Vous évaluez les risques et les impacts de l'IA, fixez des objectifs et décidez quelles mesures de l'Annexe A s'appliquent et lesquelles sont justifiées comme exclues.
Clause 7 · Support
Vous fournissez les ressources, la compétence, la sensibilisation, la communication et les informations documentées dont le système a besoin pour fonctionner.
Clause 8 · Exploitation
Vous mettez en pratique les évaluations des risques et des impacts de l'IA et maîtrisez les systèmes d'IA tout au long de leur cycle de vie.
Clause 9 · Évaluation des performances
Vous surveillez, mesurez, auditez en interne et tenez des revues de direction pour confirmer que le système fonctionne.
Clause 10 · Amélioration
Vous agissez sur les non-conformités et pilotez l'amélioration continue du système de management au fil du temps.
Annexe A · Mesures de management de l'IA
Un ensemble de référence de mesures couvrant des domaines tels que les politiques d'IA, les ressources, l'évaluation des impacts, les données pour l'IA et les responsabilités liées au cycle de vie, sélectionnées pour correspondre à vos risques.
Qui en a besoin
- Les organisations qui construisent, déploient ou dépendent de systèmes d'IA et souhaitent une gouvernance démontrable sur ceux-ci
- Les entreprises dont les clients ou les régulateurs commencent à demander comment le risque lié à l'IA est géré
- Les équipes qui veulent un cadre certifiable pour étayer leurs affirmations d'IA responsable
Ce que vous obtenez
- Un système de management de l'IA délimité, avec un inventaire des systèmes d'IA
- Des processus d'évaluation des risques et des impacts de l'IA et des mesures de cycle de vie
- Une documentation de gouvernance et des preuves d'audit interne
- La préparation et le soutien tout au long de l'audit de certification
Les délais dépendent de votre périmètre, du nombre et de la nature de vos systèmes d'IA, ainsi que de votre gouvernance actuelle. Nous en définissons honnêtement le périmètre en amont plutôt que de promettre un nombre fixe de semaines.
Version actuelle
L'édition actuelle est ISO/IEC 42001:2023, publiée en décembre 2023 comme la première norme de système de management dédiée à l'intelligence artificielle. Elle est récente et stable, il n'existe donc pas encore de révision en vigueur, même si les normes ISO de systèmes de management font l'objet de revues périodiques et que des documents de soutien de la famille 42000 continuent d'être élaborés. Comme elle suit la même structure de haut niveau que des normes telles qu'ISO/IEC 27001, un système de management existant vous donne une base sur laquelle bâtir l'AIMS plutôt que de repartir de zéro.
Ce que cela coûte
Deux coûts coexistent ici. tr3labs facture des honoraires délimités de conseil et de mise en œuvre, chiffrés en amont une fois que nous comprenons votre taille, le nombre et la nature de vos systèmes d'IA et votre gouvernance actuelle. Séparément, l'organisme de certification accrédité qui audite et délivre le certificat ISO/IEC 42001 facture selon son propre barème, et cette partie est indépendante de nous, car tr3labs n'est jamais le certificateur ni l'auditeur. Nous définissons le périmètre du travail avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Évaluation du périmètre et des écarts
Nous définissons le périmètre de l'AIMS, inventorions vos systèmes d'IA et leurs risques, et mesurons votre gouvernance actuelle au regard de la norme et de ses mesures.
Construire le système de management
Nous vous aidons à mettre en œuvre la gouvernance de l'IA, les politiques, les processus d'évaluation des risques et des impacts, ainsi que les mesures de cycle de vie attendues par la norme, documentés comme un système géré.
Tester et prouver
Nous menons des audits internes et des revues, et mettons nos tests de sécurité au service des systèmes qui hébergent et servent votre IA, afin que les mesures fonctionnent et soient démontrées.
Soutien à la certification
Nous vous préparons à l'audit par l'organisme de certification accrédité que vous avez choisi et vous accompagnons jusqu'au certificat et tout au long du cycle de surveillance qui suit.
ISO/IEC 42001 face au règlement européen sur l'IA
Les deux traitent de la gouvernance responsable de l'IA, si bien que les équipes supposent souvent que satisfaire à l'un satisfait à l'autre.
| ISO/IEC 42001 | EU AI Act | |
|---|---|---|
| Couvre | Un système de management de l'IA pour toute organisation | Les systèmes d'IA mis sur le marché de l'UE ou utilisés sur celui-ci |
| Qui le demande | Les clients, les partenaires et votre propre conseil d'administration | Le régulateur, en tant qu'obligation légale |
| Idée centrale | Une norme certifiable de bonne gouvernance | Une loi fondée sur le risque que vous devez respecter |
| Modèle d'audit | Certificat délivré par un organisme de certification accrédité | Évaluation de la conformité pour les systèmes à haut risque, plus l'application |
| Portée | Volontaire, à l'échelle mondiale | Contraignant, avec effet extraterritorial |
| Souvent associé à | ISO/IEC 27001 et SOC 2 | Aux côtés d'un système de management 42001 servant de base |
FAQ ISO 42001
- Qui délivre le certificat ISO 42001 ?
- Un organisme de certification indépendant et accrédité pour ISO/IEC 42001 délivre le certificat à la suite d'un audit. tr3labs vous prépare, construit le système de management de l'IA et les preuves, et vous accompagne tout au long de l'audit ; nous ne sommes pas un organisme de certification.
- Quel est le lien entre ISO 42001 et ISO 27001 ?
- Elles partagent la même structure de système de management et fonctionnent bien ensemble. ISO 27001 régit la sécurité de l'information, tandis qu'ISO 42001 régit spécifiquement l'IA. Si vous exploitez déjà un SMSI, une grande partie de ces fondations se reporte sur votre système de management de l'IA.
- ISO 42001 aide-t-elle pour le règlement européen sur l'IA ?
- Un système de management de l'IA bien géré vous apporte une grande partie de la gouvernance, de l'évaluation des risques et de la documentation qu'attendent des réglementations comme le règlement européen sur l'IA. Il ne remplace pas le respect des obligations spécifiques de la loi, mais il constitue une base solide, et nous alignons les deux là où ils s'appliquent tous les deux.
Les services qui vous y amènent
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture