A.8 — Information des parties intéressées
Quatre contrôles sur ce que vous dites à ceux qui utilisent ou subissent vos systèmes. C'est aussi le domaine où l'on vient chercher, à tort, deux sujets qui n'y sont pas.
Le domaine A.8 compte quatre contrôles : A.8.2 sur la documentation du système et l’information des utilisateurs, A.8.3 sur le signalement externe, A.8.4 sur la communication des incidents, A.8.5 sur l’information des parties intéressées.
Commençons par ce qu’il ne contient pas, car c’est là qu’on le cherche à tort. Les évaluations d’impact relèvent du domaine A.5, pas d’A.8. Les fournisseurs relèvent d’A.10.2 et A.10.3, pas d’A.8. Ces deux erreurs sont parmi les plus répandues de la littérature secondaire, et elles font préparer les mauvaises preuves.
Ce que l’auditeur regarde
Une question centrale : une personne qui utilise votre système sait-elle ce qu’il fait et ce qu’il ne sait pas faire ?
Ce n’est pas de la communication institutionnelle. C’est de l’information utile : à quoi sert le système, dans quelles limites, avec quel degré de fiabilité, et que faire quand le résultat paraît faux.
A.8.3, le signalement externe, est le pendant tourné vers l’extérieur du contrôle interne A.3.3. Il demande qu’une personne qui n’appartient pas à l’organisation — un client, une personne affectée par une décision, un chercheur — puisse signaler un problème. Une adresse connue et relevée suffit.
A.8.4 porte sur la communication des incidents. Notons ici la répartition exacte, souvent mal citée : la communication d’un incident relève d’A.8.4, son traitement de la clause 10.2. Il n’existe ni clause 10.3 ni clause 10.4 pour les incidents, contrairement à ce qu’on lit.
Trois niveaux de mise en œuvre
Minimal crédible. Pour chaque système, une page de mode d’emploi à usage interne : objet, limites, que faire en cas de doute. Pour les utilisateurs externes, un avertissement clair et visible quand une réponse est produite par un système d’IA. Une adresse de signalement publiée.
Mature. Une documentation tenue : liste des systèmes en service, usages autorisés et interdits — cohérents avec le domaine A.9 —, aperçu du fonctionnement pour qui doit l’intégrer, questions fréquentes pour les utilisateurs. Un circuit d’incident défini, avec des destinataires nommés et des délais, et la trace des communications effectuées.
À éviter. Publier par principe toute la documentation interne, y compris ce qui relève du secret industriel, au nom de la transparence. Ou produire des communications si techniques qu’elles noient l’information utile. La norme ne demande pas de tout divulguer : elle demande d’informer utilement, ce qui est presque l’inverse.
Ce que le domaine ne demande pas
Aucune publication du code, aucune divulgation d’architecture, aucun rapport public. Aucune obligation de transparence algorithmique : celle-ci, quand elle existe, relève de la réglementation applicable et pas de cette norme.
Il n’exige pas non plus un portail dédié : une page dans une documentation existante et une adresse relevée satisfont les quatre contrôles.