Conformité AI Act et ISO 42001 : cartographier, classer, sécuriser
Identifiez les systèmes d'IA utilisés dans votre organisation, évaluez leur niveau de risque et mettez en place une gouvernance qui tient face à un contrôle.
L'AI Act s'applique par étapes, l'inventaire est la première
Personne ne sait combien de systèmes d'IA sont utilisés
Outils achetés, fonctionnalités IA intégrées aux logiciels, usages individuels : l'inventaire est rarement fait.
La classification des risques est technique
Pratiques interdites, systèmes à haut risque, obligations de transparence : chaque catégorie entraîne des exigences différentes.
La documentation n'existe pas encore
Les exigences de traçabilité, de supervision humaine et de gestion des données demandent des preuves écrites.
Une conformité intégrée à votre gouvernance
Livrables
- Inventaire des systèmes d'IA et de vos rôles (fournisseur, déployeur)
- Classification par niveau de risque selon l'AI Act
- Analyse d'écart et plan de mise en conformité
- Politique d'usage de l'IA et charte pour les collaborateurs
- Système de management de l'IA aligné sur ISO/IEC 42001
- Articulation avec le RGPD et votre gouvernance cyber
Pourquoi ISO 42001
La norme ISO/IEC 42001 fournit un cadre de management pour piloter les risques de l'IA dans la durée. Elle s'articule avec ISO 27001, ce qui permet de réutiliser votre gouvernance de sécurité existante.
Quatre étapes
Inventaire
Recensement des systèmes et usages d'IA, achetés ou développés.
2 à 3 semainesClassification
Qualification du risque et de votre rôle pour chaque système.
1 à 2 semainesPlan de conformité
Mesures priorisées, responsabilités, échéances.
1 à 2 semainesGouvernance
Comité IA, procédures, revue périodique.
En continu
Les experts mobilisés
- Consultant conformité IA
- Juriste numérique (partenaire)
- Consultant GRC
- Lead transformation IA
Fournisseurs et déployeurs de systèmes d'IA
Les entreprises qui développent des systèmes d'IA pour leurs clients, et celles qui utilisent des outils d'IA dans leurs processus : recrutement, relation client, analyse de documents, aide à la décision. Les obligations diffèrent selon le rôle, mais l'inventaire et la classification sont nécessaires dans les deux cas.
Nous articulons la démarche avec votre gouvernance existante : RGPD, sécurité de l'information, gestion des risques. L'objectif est d'éviter un dispositif de conformité supplémentaire déconnecté du reste.
Vos questions
Qu'est-ce que l'AI Act ?
C'est le règlement européen sur l'intelligence artificielle. Il classe les systèmes d'IA selon leur niveau de risque et fixe des obligations proportionnées pour les fournisseurs et les utilisateurs professionnels.
Utiliser un outil d'IA générative du marché nous rend-il concernés ?
Oui, en tant que déployeur. Les obligations dépendent de l'usage qui en est fait : un assistant de rédaction n'a pas les mêmes exigences qu'un outil d'aide au recrutement.
Remplacez-vous un avocat ?
Non. Nous traitons la démarche opérationnelle et technique. Pour l'interprétation juridique, nous travaillons avec votre service juridique ou un cabinet partenaire.
Savez-vous combien de systèmes d'IA tournent chez vous ?
Commençons par l'inventaire et la classification.