Clause 5 : leadership, politique IA et répartition des rôles

La clause 5 porte trois exigences : l’engagement de la direction, une politique relative à l’IA, et l’attribution des rôles. Elle tient en trois pages dans la norme et c’est pourtant elle qui décide, en audit, si le système existe.

La raison est mécanique. Un auditeur ne peut pas vérifier une intention, mais il peut vérifier si le sujet est passé en revue de direction, si un budget a été alloué, si quelqu’un est nommé et si cette personne sait ce qu’on attend d’elle. La clause 5 est donc la clause des preuves d’existence.

5.1 — L’engagement de la direction

Le mot qui compte est démontre. L’engagement n’est pas une disposition d’esprit, c’est une série d’actes datés : une politique approuvée, un point à l’ordre du jour d’un comité, une ligne budgétaire, une décision d’arbitrage documentée.

C’est aussi la clause qui empêche le glissement le plus courant : traiter la gouvernance de l’IA comme un sujet d’informatique. Le système porte sur des décisions qui engagent l’organisation vis-à-vis de personnes extérieures à elle ; il ne peut pas relever d’une seule direction technique.

5.2 — La politique relative à l’IA

La politique n’a pas à être longue. Elle a à être spécifique : une politique interchangeable avec celle de n’importe quelle autre organisation ne fournit aucun cadre. Elle doit dire ce que l’organisation s’autorise, ce qu’elle s’interdit, et à quoi elle s’engage vis-à-vis des personnes affectées par ses systèmes.

Elle doit aussi s’articuler avec ce qui existe déjà : politique de sécurité de l’information, protection des données, achats. Une politique IA qui contredit la politique de sécurité place les équipes devant un arbitrage qu’elles ne peuvent pas trancher.

5.3 — Rôles, responsabilités et autorités

Cette distinction mérite d’être tenue fermement, car beaucoup de littérature la brouille. La norme exige l’attribution de deux responsabilités précises. Elle n’exige pas de matrice RACI, ni d’organigramme dédié, ni de création d’un poste. Ce sont des pratiques répandues et souvent utiles — ce ne sont pas des exigences, et les présenter comme telles conduit des organisations à produire des documents dont personne n’a besoin.

Ce que l’auditeur vérifie, en revanche, est réel : les personnes nommées savent-elles ce qu’on attend d’elles ? Un entretien de cinq minutes suffit à le savoir. Un nom inscrit dans un document que l’intéressé n’a jamais lu est un écart.

Ce que la clause 5 ne demande pas

Ni poste dédié, ni comité d’éthique, ni fonction à temps plein. Une même personne peut porter les deux responsabilités exigées, et dans une petite structure c’est souvent le cas.

La norme ne fixe pas non plus de fréquence de revue de la politique. Le contrôle A.2.4 de l’Annexe A traite de cette revue, mais il relève de la sélection des contrôles, pas d’une périodicité imposée.