Mise en œuvre de la clause 6 de l'ISO/IEC 42001 : Gestion des risques pour l'intelligence artificielle

La clause 6 de l'ISO/IEC 42001 spécifie les exigences de planification d'un système de management de l'intelligence artificielle (SMIA). Elle impose aux organisations d'identifier, d'évaluer et de traiter systématiquement les risques et les opportunités associés aux systèmes d'intelligence artificielle tout au long de leur cycle de vie opérationnel.

Le mandat central de la clause 6

Contrairement aux normes de sécurité informatique génériques, la clause 6 de l'ISO/IEC 42001 exige des organisations qu'elles évaluent les risques propres à l'IA, notamment la dérive des modèles (model drift), les comportements non déterministes, les biais algorithmiques, les limites de qualité des données et l'impact sociétal.

La clause 6 est divisée en deux exigences principales :

• Clause 6.1 (Actions à entreprendre face aux risques et opportunités) : Établir des méthodologies systématiques pour identifier et évaluer les risques des systèmes d'IA, associées à un plan de traitement des risques liés à l'IA.
• Clause 6.2 (Objectifs d'IA et planification pour les atteindre) : Définir des objectifs mesurables et alignés sur les politiques de l'entreprise en matière de performances techniques, de conformité et de sécurité éthique.

Cadre de mise en œuvre étape par étape

Pour mettre en œuvre un processus de gestion des risques conforme à la clause 6 et prêt pour l'audit, les équipes d'ingénierie et de gouvernance doivent exécuter un flux de travail en quatre étapes :

1. Définition du contexte et des critères de risque

Établir les critères d'acceptation des risques de l'organisation. Définir des seuils explicites pour la variance de biais acceptable, la tolérance aux hallucinations, la disponibilité du système et les exigences de provenance des données. Assurer l'alignement avec les politiques de gestion des risques de l'entreprise (ERM) plus larges.

2. Identification des risques liés à l'IA et profilage d'impact

Répertorier chaque système d'IA actif et proposé dans un registre centralisé. Pour chaque système, évaluer :

• L'usage prévu et les détournements prévisibles ;
• La complexité technique et la dépendance vis-à-vis de modèles de fondation externes ;
• Les dépendances en matière d'ingestion de données et les contraintes de confidentialité ;
• Les impacts potentiels sur les individus, les opérations et la position réglementaire.

3. Plan formel de traitement des risques liés à l'IA

Pour les risques identifiés dépassant les seuils acceptables, sélectionner des contrôles dans l'annexe A de l'ISO/IEC 42001. Documenter les contrôles d'atténuation spécifiques, attribuer la responsabilité à des responsables techniques désignés et établir des calendriers de vérification.

4. Génération continue de preuves

La planification des risques ne peut pas rester un document annuel statique. La clause 6 exige une évaluation continue. Intégrer des outils de surveillance automatisés qui suivent les mesures de performance des modèles, la dérive des ensembles de données et déclenchent des réévaluations automatiques lorsque les paramètres du système changent.

Exigences en matière de preuves d'audit

Lorsque des auditeurs externes examinent la conformité à la clause 6, ils exigent des preuves tangibles :

• Des méthodologies d'évaluation des risques documentées et adaptées spécifiquement à l'intelligence artificielle ;
• Des registres de risques horodatés reliant les modèles d'IA individuels aux contrôles techniques d'atténuation ;
• Des dossiers démontrant l'examen et l'approbation par la direction des risques résiduels liés à l'IA ;
• Une déclaration d'applicabilité (SoA) formelle justifiant les contrôles de l'annexe A inclus et exclus.

L'intégration de flux de travail structurés conformes à la clause 6 directement dans les cycles de vie de livraison des logiciels garantit que les systèmes d'IA conservent l'intégrité de leur certification au fur et à mesure de l'évolution des modèles.