Une politique IA qui tient en quelques pages : la trame, section par section
Une bonne politique IA ne se juge pas à son épaisseur, mais à une question : quelle décision permet-elle de trancher ? Voici une trame qui y répond, en quelques pages.
La clause 5.2 fixe le minimum. La direction établit une politique adaptée à l’organisation, qui donne un cadre aux objectifs IA et engage à respecter les exigences applicables comme à améliorer le système. Cette politique est écrite, reliée aux autres politiques utiles, communiquée en interne, et mise à disposition des parties intéressées lorsqu’il y a lieu. Le domaine A.2 y ajoute l’alignement avec les autres politiques (A.2.3) et la revue (A.2.4).
Rien de cela n’impose un long document. Ce qui manque à la plupart des politiques qu’on lit, ce n’est pas la longueur : c’est l’engagement.
Ce qui doit nourrir la politique
La guidance de l’Annexe B invite à écrire la politique à partir de ce que l’organisation sait déjà d’elle-même : sa stratégie, ses valeurs et le niveau de risque qu’elle est prête à assumer, le niveau de risque de ses systèmes d’IA, ses obligations légales et contractuelles, son environnement de risque, et les impacts possibles sur les parties intéressées.
Autrement dit, la politique ne s’écrit pas en premier. Elle s’écrit après l’inventaire des systèmes et l’identification des parties intéressées, et avant la méthode d’appréciation des risques, qu’elle encadre.
La trame, section par section
| Section | Ce qu’elle dit | Ce qui la rend utile |
|---|---|---|
| 1 · Objet et portée | À quoi sert la politique, à quels systèmes et à quelles entités elle s’applique | Elle renvoie au périmètre déclaré plutôt que de le recopier |
| 2 · Engagements | Respecter les exigences applicables — légales, contractuelles, normatives — et améliorer le système | Exigés par la clause 5.2 ; une phrase chacun, sans les diluer |
| 3 · Principes | Les principes qui guident toute activité d’IA de l’organisation | Chaque principe doit pouvoir trancher un cas réel |
| 4 · Usages autorisés, soumis à validation, exclus | Ce qui est permis sans formalité, ce qui demande un accord, ce qui est interdit | La section la plus consultée : elle doit se lire seule |
| 5 · Cadre des objectifs | Comment se fixent les objectifs IA, et à quel niveau | Elle relie la politique au pilotage du système |
| 6 · Rôles et décisions | Qui porte la conformité du système et en rend compte, qui valide un nouvel usage, qui peut arrêter un système | Des fonctions plutôt que des noms, pour ne pas périmer |
| 7 · Dérogations | Comment demander une exception, qui l’accorde, comment elle est tracée | Sans cette section, la politique se contourne en silence |
| 8 · Articulation avec les autres politiques | Les renvois vers la sécurité de l’information, la protection des données, les achats, la qualité | Elle tranche d’avance les contradictions (A.2.3) |
| 9 · Revue | La fréquence, les événements qui déclenchent une relecture, qui relit | Une revue sans modification se trace aussi (A.2.4) |
Un bloc final porte la version, la date d’approbation et l’approbateur.
La guidance de l’Annexe B recommande expressément deux des sections les plus souvent oubliées : les principes qui guident les activités d’IA, et un processus de traitement des dérogations et des exceptions. Elle suggère aussi de traiter certains sujets à part, par renvoi — les ressources et actifs d’IA, les évaluations d’impact, le développement des systèmes. La politique fixe le principe ; le document de détail l’applique.
Des formulations qui engagent
La différence entre une politique qui cadre et une politique qui décore se lit phrase par phrase. Les exemples ci-dessous sont des formulations de travail, à adapter : ils ne reprennent aucun texte de la norme.
| Intention | Engagement |
|---|---|
| Nous utilisons l’IA de manière responsable. | Toute décision produite ou recommandée par un système d’IA et affectant une personne extérieure à l’organisation est validée par une personne habilitée avant d’être notifiée. |
| Nous respectons la vie privée. | Aucune donnée personnelle de client n’est saisie dans un service d’IA qui ne figure pas à l’inventaire des outils validés. |
| Nous sommes transparents. | Les personnes qui échangent avec un système conversationnel en sont informées dès le début de l’échange. |
| Nous maîtrisons nos fournisseurs. | Un nouveau service d’IA n’est mis en service qu’après l’évaluation prévue pour les fournisseurs, conservée avec sa date. |
| Nous améliorons notre dispositif. | La politique est relue chaque année et après tout incident significatif impliquant un système d’IA ; la relecture est consignée, qu’elle modifie ou non le texte. |
Chaque engagement de la colonne de droite permet de répondre à la question que pose l’auditeur : quelle décision cette politique a-t-elle tranchée ?
Approuver, diffuser, relire
Approuver. La politique est établie par la direction. L’approbation se matérialise par une date, une version et un approbateur identifiable.
Diffuser. La communication interne est exigée, et une campagne de signatures ne la remplace pas. La politique est là où les équipes la cherchent — l’intranet, l’accueil des nouveaux arrivants, la procédure d’achat —, et la section des usages autorisés peut circuler seule, sur une page.
Mettre à disposition. Les parties intéressées y ont accès lorsqu’il y a lieu. Décidez ce qui est public : les principes et les engagements répondent souvent aux questionnaires des clients mieux qu’un long argumentaire.
Relire. À intervalles planifiés, et chaque fois que c’est nécessaire : nouvel usage important, incident, évolution réglementaire. C’est l’objet du contrôle A.2.4.
Ce que la politique ne doit pas devenir
- Une procédure. Le détail opérationnel — comment évaluer un fournisseur, comment conduire une évaluation d’impact — vit dans des documents dédiés, auxquels la politique renvoie.
- Un catalogue par outil. Une liste d’outils autorisés périme à chaque abonnement ; la politique fixe les critères, l’inventaire tient la liste.
- Un document à signer par chaque salarié. Le formalisme n’ajoute pas de solidité : il rend le texte illisible, donc inappliqué.
- Une paraphrase de la norme. Une politique qui recopie la structure d’ISO/IEC 42001 ne dit rien de l’organisation qui l’adopte.
Ce qu’il faut retenir
Une politique IA crédible tient en quelques pages : une portée, des engagements, des principes qui tranchent, des usages classés, des rôles, un circuit de dérogation, des renvois et une date de revue. Elle s’écrit après avoir vu ce qui existe, et se juge aux décisions qu’elle permet de prendre.