La carte de l'Annexe A,
domaine par domaine.
Les 38 contrôles de référence sont groupés par sujet. Un carré par contrôle : A.6 en aligne 9, A.3 seulement 2. Cette répartition dit déjà où se concentrera l'effort.
Politiques relatives à l'IA
Le cadre écrit : une politique relative à l'IA, revue dans le temps et articulée avec les autres politiques de l'organisme.
Organisation interne
Qui décide quoi, qui répond de quoi, et comment signaler une préoccupation sur la conduite de l'organisme vis-à-vis d'un système d'IA. Le domaine le plus court de l'Annexe, et l'un des plus structurants.
Ressources des systèmes d'IA
Ce sur quoi reposent les systèmes : données, outils, capacités de calcul, compétences humaines. Les recenser est souvent la première vraie difficulté.
Évaluation des impacts
Les conséquences possibles des systèmes d'IA pour les personnes, les groupes et la société, sur tout leur cycle de vie. Un processus distinct de l'appréciation des risques : celle-ci examine elle aussi les effets sur les personnes et la société, et tient compte de ce qu'établit l'évaluation d'impact.
Cycle de vie du système d'IA
De la définition des objectifs au retrait, en passant par la conception, la vérification et l'exploitation. Le domaine le plus fourni, et le cœur opérationnel de l'Annexe.
Données pour les systèmes d'IA
Provenance, qualité, préparation et gouvernance des données. Là où ISO 42001 recoupe le plus directement les obligations en matière de données personnelles.
Information des parties intéressées
Ce que l'organisme doit rendre compréhensible à l'extérieur : utilisateurs, clients, personnes concernées, autorités.
Utilisation des systèmes d'IA
L'usage responsable des systèmes, y compris ceux que l'organisme n'a pas développés lui-même.
Tiers et clients
Fournisseurs, sous-traitants et clients : la répartition des responsabilités quand la chaîne de valeur de l'IA dépasse l'organisme.
Ces intitulés sont des titres courts servant à l'identification. Le libellé exact de chaque contrôle figure dans le document officiel, que ce site ne reproduit pas.
Neuf domaines ne veut pas dire
neuf chantiers obligatoires.
Un organisme retient les contrôles qu'appellent les risques qu'il a identifiés, et justifie chaque décision, pour un contrôle gardé comme pour un contrôle écarté. Un périmètre restreint peut conduire à écarter des domaines entiers, à condition de le justifier, en pratique au regard de l'appréciation des risques et des exigences externes applicables. Les clauses restent dues pour autant : écarter A.2, A.3 ou A.5 ne dispense ni de la politique IA (5.2), ni de l'attribution des responsabilités (5.3), ni de l'évaluation d'impact (6.1.4 et 8.4).