Parcours · Étape 3 sur 5Des risques identifiés
Des risques identifiés
aux mesures en place.
La mise en œuvre part de l'appréciation des risques, pas de l'Annexe A. On identifie ce qui peut mal se passer, on décide comment le traiter et avec quels contrôles, puis on confronte ce choix à l'Annexe A pour s'assurer que rien d'indispensable au traitement ne manque.
Les questions traitéesCe que cette étape
Ce que cette étape
doit vous permettre de trancher.
Le piège de cette étape
Traiter les 38 contrôles comme une liste de tâches. La norme précise qu'ils ne sont ni exhaustifs ni tous applicables : ce qui compte est la justification, pas le taux de couverture.
Les articles de cette étape
- 6.1.2 · 6.1.1 · 6.1.3 · 8.2Mener une appréciation des risques liés à l'IA : la méthode, pas à pasComment conduire l'appréciation des risques exigée par la clause 6.1.2 d'ISO/IEC 42001 : écrire les critères, formuler des risques exploitables, apprécier leurs conséquences pour l'organisation comme pour les personnes, les hiérarchiser, puis passer au traitement et à la déclaration d'applicabilité.
- 5.2 · A.2.2 · A.2.3 · A.2.4Une politique IA qui tient en quelques pages : la trame, section par sectionCe qu'une politique relative à l'IA doit contenir pour satisfaire la clause 5.2 et le domaine A.2 d'ISO/IEC 42001, en quelques pages : une trame commentée section par section, des formulations qui engagent plutôt que des intentions, et le circuit d'approbation, de diffusion et de revue.
- A.6.2.6 · A.6.2.8 · 8.1 · 8.2 · 8.4 · 10.2Détecter et traiter la dérive d'un modèle en productionSurveiller un système d'IA en exploitation au titre du contrôle A.6.2.6 d'ISO/IEC 42001 : types de dérive, seuils à fixer soi-même, journaux d'événements (A.6.2.8), et les changements qui justifient de rejouer l'appréciation du risque et l'évaluation d'impact.
- 6.1.2 · 6.1.4 · 8.2 · 8.4Évaluation d'impact et appréciation des risques : ne pas confondreISO/IEC 42001 impose deux processus distincts : l'appréciation du risque en 6.1.2, qui part des objectifs de l'organisation, et l'évaluation d'impact en 6.1.4, qui part de chaque système d'IA et de ses effets sur les personnes, les groupes et la société. Ce qui les sépare vraiment, ce qui les relie, et ce que l'auditeur attend de chacun.