La carte de l'Annexe A,
domaine par domaine.
Les 38 contrôles de référence sont groupés par sujet. Un carré par contrôle : A.6 en aligne 9, A.3 seulement 2. Cette répartition dit déjà où se concentrera l'effort.
Politiques relatives à l'IA
Le cadre écrit : ce que l'organisme décide, ce qu'il interdit, et comment ces décisions se révisent.
Organisation interne
Qui décide quoi, et qui répond de quoi. Le domaine le plus court de l'Annexe, et l'un des plus structurants.
Ressources des systèmes d'IA
Ce sur quoi reposent les systèmes : données, outils, capacités de calcul, compétences humaines. Les recenser est souvent la première vraie difficulté.
Évaluation des impacts
Les conséquences des systèmes d'IA pour les personnes, les groupes et la société. À ne pas confondre avec l'appréciation des risques pour l'organisme.
Cycle de vie du système d'IA
De la définition des objectifs au retrait, en passant par la conception, la vérification et l'exploitation. Le domaine le plus fourni, et le cœur opérationnel de l'Annexe.
Données pour les systèmes d'IA
Provenance, qualité, préparation et gouvernance des données. Là où ISO 42001 recoupe le plus directement les obligations en matière de données personnelles.
Information des parties intéressées
Ce que l'organisme doit rendre compréhensible à l'extérieur : utilisateurs, clients, personnes concernées, autorités.
Utilisation des systèmes d'IA
L'usage responsable des systèmes, y compris ceux que l'organisme n'a pas développés lui-même.
Tiers et clients
Fournisseurs, sous-traitants et clients : la répartition des responsabilités quand la chaîne de valeur de l'IA dépasse l'organisme.
Ces intitulés sont des titres courts servant à l'identification. Le libellé exact de chaque contrôle figure dans le document officiel, que ce site ne reproduit pas.
Neuf domaines ne veut pas dire
neuf chantiers obligatoires.
Un organisme retient les contrôles qui répondent aux risques qu'il a identifiés, et justifie ceux qu'il écarte. Un périmètre restreint peut légitimement exclure des domaines entiers.