Ce qu’est ISO 42001
ISO/IEC 42001, publiée fin 2023, fixe les exigences d’un système de management de l’IA : les politiques, les rôles, les processus de gestion des risques et les contrôles qu’une organisation utilise pour développer, fournir ou utiliser l’IA de manière responsable. Elle suit la même structure qu’ISO 27001 et peut être certifiée par un organisme accrédité. Son annexe A énumère des contrôles portant sur la politique en matière d’IA, l’organisation interne, les ressources, l’évaluation d’impact, le cycle de vie des systèmes d’IA, les données des systèmes d’IA, l’information des personnes concernées, l’utilisation des systèmes d’IA et les relations avec les tiers.
Ce que demandent les clients
Un client qui évoque ISO 42001 ne demande généralement pas d’abord un certificat. Les questions suivent les thèmes de la norme :
- Si vous avez une politique d’IA, qui l’a approuvée, et qui est responsable de l’IA dans l’entreprise.
- Comment vous évaluez les risques et l’impact de chaque fonctionnalité d’IA avant sa mise en service, y compris sur les personnes concernées par ses résultats.
- D’où proviennent les données utilisées pour construire, ajuster ou tester la fonctionnalité, et si des données clients en font partie.
- Comment vous testez les résultats, ce que vous surveillez en production, et comment une anomalie ou une réclamation est traitée.
- Ce qui est dit aux utilisateurs sur l’IA et ses limites, et comment une personne peut relire ou écarter le résultat.
- Sur quels fournisseurs de modèles vous vous appuyez et comment vous les évaluez.
Répondre avec un certificat
Joignez le certificat et citez son périmètre mot pour mot, car un relecteur vérifiera que les fonctionnalités d’IA qu’il achète y sont incluses. Répondez ensuite à chaque thème à partir de votre déclaration d’applicabilité, exactement comme pour ISO 27001.
Répondre sans en avoir
Répondez à chaque ligne sur le fond : ce que vous faites, qui en est responsable, et où c’est écrit. Deux documents portent l’essentiel des réponses. Le premier est une politique d’IA d’une ou deux pages. Le second est un inventaire de vos fonctionnalités d’IA, avec le modèle utilisé par chacune, les données qu’elle voit, la manière dont elle est testée et la personne qui relit ses résultats. Si une certification est prévue, dites quand. Un inventaire clair et un plan honnête valent mieux que de vagues affirmations d’alignement.
Dans Responsemate
La politique d’IA, l’inventaire et tout certificat se trouvent dans la base de connaissances comme preuves avec des dates de revue, à côté des réponses approuvées rédigées à partir d’eux. Les réponses de Responsemate à ces questions, du choix du modèle à la personne qui approuve chaque réponse, figurent sur la page sécurité.
Questions fréquentes
ISO 42001 est-elle exigée par l’EU AI Act ?
Non. ISO 42001 est volontaire. Elle aide à montrer que l’IA est gouvernée de manière organisée, et certains clients la demandent comme signe de maturité, mais l’AI Act n’exige pas de certificat.
Pouvons-nous être certifiés ISO 42001 si nous utilisons uniquement des modèles d’IA d’autres fournisseurs ?
Oui. La norme couvre les organisations qui développent, fournissent ou utilisent des systèmes d’IA. Un fournisseur qui construit des fonctionnalités sur le modèle d’une autre entreprise entre dans le périmètre pour la manière dont il conçoit, teste, déploie et surveille ces fonctionnalités.
Nous avons ISO 27001. Quelle part d’ISO 42001 couvrons-nous déjà ?
Les parties consacrées au système de management ont la même forme : périmètre, politique, appréciation des risques, audit interne, revue de direction. Ce qui est nouveau, ce sont les contrôles propres à l’IA, comme l’évaluation d’impact, les données des systèmes d’IA et le cycle de vie des systèmes d’IA.