Qu’est-ce qu’un système de management de l’IA, et en quoi diffère-t-il d’une politique IA ?

L’ISO décrit un système de management de l’IA comme un ensemble d’éléments corrélés d’une organisation qui établissent des politiques et des objectifs, ainsi que les processus pour les atteindre, en vue du développement, de la fourniture ou de l’utilisation responsables de systèmes d’IA. Il fonctionne comme une seule structure : c’est pourquoi il ne se réduit pas à un document. L’ISO/IEC 42001 fixe les exigences pour l’établir, le mettre en œuvre, le tenir à jour et l’améliorer en continu, pour les organisations de toute taille qui développent, fournissent ou utilisent l’IA. Voir le guide ISO 42001.

La politique IA est un élément obligatoire du système de management. Le paragraphe 5.2 de l’ISO/IEC 42001 demande à la direction d’établir une politique IA qui fixe le cap, engage l’organisation à satisfaire aux exigences applicables et l’engage à l’amélioration continue.

Une politique dit ce que l’organisation entend faire. Seule, elle ne dit pas qui fait le travail, comment un nouveau système d’IA est évalué, ni ce qui se passe quand l’un d’eux change. Ces réponses se trouvent dans le reste du système.

• Un périmètre défini : les systèmes et activités d’IA que couvre le système de management.
• Des rôles attribués : la direction attribue les responsabilités et autorités du système (paragraphe 5.3). Voir qui est responsable de la gouvernance de l’IA.
• Un processus d’appréciation des risques liés à l’IA, repris quand les systèmes ou leur contexte changent.
• Des analyses d’impact des systèmes d’IA : ce que chaque système pourrait faire aux personnes et aux groupes qu’il concerne.
• Les mesures de l’annexe A : un ensemble de référence choisi par l’appréciation des risques, chaque inclusion ou exclusion étant justifiée.
• La surveillance, l’audit interne et la revue de direction qui montrent si le système fonctionne, et les actions correctives quand ce n’est pas le cas.

Demandez qui remarquerait qu’un système d’IA change de modèle la semaine prochaine, et ce qui se passerait ensuite. Un responsable nommé, un processus défini et la trace de sa dernière exécution indiquent un système de management. Un document de politique, seul, ne le fait pas.

Dans Acuna GRC, l’ISO 42001 se pilote à côté des référentiels que vous suivez déjà. Le module Gouvernance de l’IA tient un registre unique des systèmes d’IA, conditionne leur approbation à une analyse d’impact ou à un enregistrement de présélection, et désigne qui peut annuler un résultat ou suspendre chaque système. Dans Implement, chaque contrôle d’IA reçoit un responsable, une fréquence et une checklist, et chaque exécution signée est conservée comme enregistrement. Le Portail collaborateurs recueille les prises de connaissance de la politique IA, conservées avec la version lue par chacun. Voir l’ISO 42001 dans Acuna GRC.