A.5 — Évaluation des impacts des systèmes d'IA
C'est le domaine le plus spécifique à cette norme, et celui où les écarts sont les plus fréquents. Un seul point suffit à les expliquer : la dimension sociétale est presque toujours absente.
Le domaine A.5 compte quatre contrôles : A.5.2 sur le processus d’évaluation d’impact, A.5.3 sur la documentation des évaluations réalisées et la conservation de leurs résultats pendant une durée que vous fixez, A.5.4 sur les impacts pour les individus et les groupes, A.5.5 sur les impacts sociétaux. Comme tout contrôle de l’Annexe A, A.5.2 à A.5.5 s’écartent dans la déclaration d’applicabilité si la justification tient (6.1.3 f)). Les écarter ne dispense pourtant d’aucune évaluation d’impact : la clause 6.1.4 l’impose, et la clause 8.4 fait la refaire et en conserver les résultats.
C’est ici que se trouve ce qui distingue ISO/IEC 42001 d’une norme de management générique, et c’est ici que se concentrent les écarts.
Un rappel de localisation, parce qu’il est souvent faux : les évaluations d’impact relèvent du domaine A.5, et non du domaine A.8 qui traite de l’information des parties intéressées. L’erreur est courante et fait chercher les preuves au mauvais endroit.
Ce que l’auditeur regarde
D’abord que le processus existe — c’est A.5.2, et c’est le pendant de la clause 6.1.4. Ensuite que des évaluations aient été réellement conduites et documentées — A.5.3, le pendant de la clause 8.4.
Puis il lit une évaluation, et il cherche deux choses : les individus et groupes affectés (A.5.4), et les conséquences sociétales (A.5.5).
La non-conformité la plus fréquente
L’absence de dimension sociétale. C’est le constat que rapportent de façon convergente plusieurs sources de terrain, et il s’explique bien : une organisation qui aborde l’évaluation d’impact depuis sa pratique de protection des données examine naturellement l’individu — c’est l’objet du droit applicable — et s’arrête là.
Or A.5.5 porte sur un autre plan que les individus et les groupes, dont A.5.4 s’occupe déjà : les effets du système sur la société elle-même — l’économie et l’emploi, l’accès au crédit ou aux soins, l’environnement, les institutions et le débat public, les normes et les valeurs communes. Un système de tri qui ferme durablement l’accès à l’emploi d’une population entière, un système de scoring qui raréfie le crédit sur un territoire, un outil de génération qui déplace un métier en sont des exemples.
Une évaluation qui conclut « aucun impact » sans avoir examiné les groupes affectés n’est pas une évaluation.
Trois niveaux de mise en œuvre
Minimal crédible. Une fiche d’une à deux pages par système, établie avant la mise en service : le système, son usage prévu et les mauvais usages qu’on peut raisonnablement anticiper ; le contexte technique et social du déploiement, et les juridictions concernées ; les personnes et groupes affectés nommément, et les effets possibles sur la société ; les catégories de conséquences examinées, la gravité et la vraisemblance ; les mesures retenues ; la durée pendant laquelle la fiche est conservée ; la périodicité de revue et les changements qui obligeront à la refaire plus tôt. Ses conclusions sont reprises dans l’appréciation des risques : la clause 6.1.4 le demande dès ce niveau. Les déclencheurs restent le point qu’on oublie systématiquement.
Mature. L’évaluation s’insère dans le cycle de projet, dès l’expression du besoin. Une grille commune est utilisée, chaque conséquence identifiée est qualifiée et assortie d’un plan d’action, et un regard extérieur au projet — juridique, conformité, métier — intervient sur les systèmes à enjeu. Chaque conséquence retenue renvoie au risque correspondant du registre, et le lien se suit dans les deux sens : c’est tout l’intérêt du chaînage.
À éviter. Le rapport de trente pages pour un prototype, la consultation d’un comité externe pour un assistant interne, la double validation par deux experts et deux directeurs. La charge devient dissuasive, et l’effet observable est que les évaluations cessent d’être faites pour les systèmes qui en auraient besoin.
Ce que le domaine ne demande pas
Aucune méthode imposée, aucune grille type, aucun seuil de gravité. Les recommandations de mise en œuvre d’A.5.4 et d’A.5.5 proposent des domaines d’impact et des exemples d’effets sociétaux qui font un bon point de départ — équité, transparence, accessibilité, droits humains, santé, environnement, accès aux services —, sans valoir liste à cocher. L’Annexe C, informative, sert plutôt à l’appréciation des risques et à la fixation des objectifs.
Il ne demande pas non plus une évaluation à chaque version. C’est la clause 8.4 qui fixe le rythme, et elle prévoit deux occasions de refaire l’évaluation : la périodicité que vous avez planifiée, et tout changement significatif envisagé, avant sa mise en œuvre. Ce qui rend un changement significatif, c’est votre procédure qui le dit ; B.5.2 a) invite par exemple à regarder la sensibilité des données traitées, le degré d’automatisation et la complexité du système, ou la criticité de l’usage et de son contexte.