ISO 42001 : comprendre la norme dédiée à l'IA

Publiée fin 2023, ISO 42001 comble un vide : jusqu'ici, les organisations qui déployaient des systèmes d'IA n'avaient pas de cadre de gouvernance normalisé auquel se référer, contrairement à la sécurité de l'information (ISO 27001) ou la qualité (ISO 9001). La norme introduit la notion de système de management de l'IA (AIMS), qui couvre le cycle de vie complet : conception, données d'entraînement, déploiement, supervision humaine et amélioration continue.

Les organisations concernées ne sont pas seulement les éditeurs de modèles d'IA : toute entreprise qui intègre de l'IA générative dans ses processus, même via des outils tiers, est concernée par les exigences de gouvernance, de gestion des risques et de transparence de la norme.

Les domaines évalués typiquement recoupent la gouvernance IA (rôles, responsabilités, comité de pilotage), la gestion des données (qualité, biais, traçabilité), la gestion des risques spécifiques à l'IA (hallucination, dérive de modèle, dépendance à un fournisseur), et la supervision humaine des décisions automatisées.

Pour une PME qui commence à peine à formaliser sa gouvernance IA, un diagnostic initial permet de mesurer l'écart entre les pratiques actuelles et les exigences de la norme, sans attendre d'être en position de la certifier à court terme.