Clause 6 : risques, évaluation d'impact et déclaration d'applicabilité
La clause 6 est la porte d'audit. C'est elle qui distingue deux évaluations qu'on confond presque toujours, et c'est son alinéa 6.1.3 f) qui porte la déclaration d'applicabilité.
La clause 6 est la plus dense de la norme et celle sur laquelle se concentrent les écarts d’audit. Elle porte six exigences : les critères de risque, l’appréciation du risque, son traitement, l’évaluation d’impact, les objectifs et la planification des changements.
Deux points y sont décisifs et fréquemment mal rapportés, y compris par des organismes certificateurs. Le premier : la déclaration d’applicabilité relève de 6.1.3 f), et non de la clause 6.3, qui traite des changements. Le second : l’évaluation d’impact de 6.1.4 est une exigence, pas une bonne pratique facultative.
6.1.1 — Les critères, avant tout le reste
L’ordre importe. Des risques notés sans critères préalables ne sont pas comparables entre eux, et la décision d’acceptation devient une appréciation personnelle qu’aucun auditeur ne peut suivre. Le critère d’acceptation est la partie qu’on oublie : il dit à quel niveau un risque doit être traité plutôt que toléré.
6.1.2 — L’appréciation du risque : le risque pour l’organisation
C’est ici que se joue la confusion la plus coûteuse de la norme. L’appréciation de 6.1.2 regarde l’organisation comme objet du risque. L’évaluation d’impact de 6.1.4 regarde les personnes, les groupes et les sociétés comme objets des conséquences. Les deux sont exigées, elles ne se substituent pas l’une à l’autre, et leur chaînage est le sens même du dispositif : un impact identifié sur des personnes devient une source de risque pour l’organisation.
6.1.3 — Le traitement, et la déclaration d’applicabilité
L’alinéa f) est le plus mal cité de la norme. C’est lui qui porte la déclaration d’applicabilité — et cela a une conséquence directe sur la nature de l’Annexe A. L’Annexe A est normative, mais cela ne rend pas ses 38 contrôles obligatoires : ce qui est exigé, c’est la comparaison avec le catalogue et la justification de chaque décision.
La règle d’exclusion qui en découle est stricte. Un contrôle s’écarte parce qu’aucune source de risque ne le justifie dans votre périmètre — pas parce qu’il est difficile ou coûteux à mettre en œuvre. C’est la différence entre une exclusion défendable et un écart.
6.1.4 — L’évaluation d’impact du système d’IA
C’est une exigence, formulée comme telle, et c’est probablement le point où la littérature commerciale égare le plus ses lecteurs. La clause 6.1.4 impose de définir le processus et de documenter les résultats ; la clause 8.4 impose de le mettre en œuvre à intervalles planifiés et lors de changements significatifs. Les contrôles A.5.2 à A.5.5 en fournissent le détail opérationnel.
L’évaluation d’impact n’est pas une analyse d’impact relative à la protection des données. Les deux peuvent se compléter — un système de tri de candidatures relève souvent des deux — mais leur objet diffère : l’une regarde le traitement de données personnelles, l’autre les conséquences du système, y compris quand aucune donnée personnelle n’est en jeu.
6.2 — Les objectifs relatifs à l’IA
Un objectif qui ne se mesure pas ne se surveille pas, et la clause 9.1 viendra demander ce qu’on en a fait. « Améliorer l’éthique de nos systèmes » ne se mesure pas. « Disposer d’une évaluation d’impact à jour pour les systèmes en production avant la fin du semestre » se mesure, et se vérifie.
6.3 — La planification des changements
Sous-clause brève, et régulièrement confondue avec la déclaration d’applicabilité — qui n’est pas ici. Elle porte sur les changements du système de management lui-même : nouveau périmètre, nouveau fournisseur d’IA, nouvelle méthode d’appréciation, réorganisation des responsabilités.
Ce que la clause 6 ne demande pas
Aucune méthode d’appréciation du risque n’est imposée. Une matrice, une approche par scénarios, une méthode dérivée d’ISO 31000 ou d’ISO/IEC 23894 : le choix vous appartient, à condition qu’il soit écrit et appliqué de façon constante.
La norme ne fixe aucun seuil, aucune métrique et aucune échelle. Elle n’exige pas non plus de registre des risques en tant que document : c’est la façon usuelle de rendre démontrable l’appréciation de 6.1.2, ce qui n’est pas la même chose qu’une obligation textuelle.