Norme ISO/CEI 42001 relative aux systèmes de management de l'IA : Date de publication et champ d'application

À retenir

• ISO/IEC 42001:2023 L’ISO est la première norme internationale de système de management pour l’IA, axée sur un système de management de l’intelligence artificielle (SMIA).
• Date de publicationLa norme internationale a été publiée en décembre 2023, les données de cycle de vie indiquant le 18 décembre 2023 comme date de publication. (ISO et CEI)
• DomaineCe document spécifie les exigences et les lignes directrices relatives à la mise en place, à l'application, à la maintenance et à l'amélioration continue d'un système de gestion de l'IA pour les organisations qui développent, fournissent ou utilisent des systèmes d'IA. (ISO OBP)
• Meilleure utilisationConsidérez-le comme la pierre angulaire de votre stratégie opérationnelle en matière de gouvernance, de risques, de contrôles et d'amélioration continue de l'IA, et non comme un document de politique ponctuel.

Qu'est-ce que l'ISO / CEI 42001?

La norme ISO/IEC 42001:2023 est une norme internationale qui définit les exigences relatives à la mise en place, à l'implémentation, à la maintenance et à l'amélioration continue d'un système de management de l'intelligence artificielle (SMIA). En d'autres termes, il s'agit du guide de gestion de l'IA au sein de l'organisation, incluant les politiques, les rôles, les méthodes de gestion des risques, les contrôles opérationnels, les indicateurs et l'amélioration continue. (ISO)

En pratique : si la norme ISO/IEC 27001 définit un système de management de la sécurité de l’information, la norme ISO/IEC 42001 définit un système de management de l’IA responsable. Il est possible de les mettre en œuvre simultanément en utilisant les mêmes réflexes.

Date de publication de la norme ISO/IEC 42001

L'ISO répertorie la norme ISO/IEC 42001 comme une norme internationale, édition 1, avec une date de publication : 2023-12 et des entrées de cycle de vie indiquant une norme internationale publiée le 18 décembre 2023.

La fiche de la boutique en ligne IEC pour la norme ISO/IEC 42001:2023 indique également une date de publication du 18 décembre 2023, ce qui correspond à l'étape importante du cycle de vie de l'ISO en matière de publication.

Champ d'application : ce que couvre la norme ISO/IEC 42001

La norme ISO/IEC 42001 porte sur les systèmes de management. Elle ne décrit pas la construction d'un modèle spécifique ni l'algorithme à utiliser. Elle spécifie plutôt les exigences (et fournit des recommandations) relatives à un système de management de l'IA qui encadre les responsabilités en matière d'IA au sein de l'organisation, notamment le développement, la mise à disposition et l'utilisation responsables des systèmes d'IA.

En termes de portée, généralement

• Gouvernance et responsabilité: politiques, objectifs, rôles définis, droits de décision et voies d'escalade pour l'IA.
• La gestion des risques: comment identifier, évaluer, traiter et surveiller les risques liés à l'IA tout au long de son cycle de vie.
• Contrôles du cycle de vie: exigences garantissant que vos systèmes d'IA sont conçus, développés, déployés et exploités avec des contrôles appropriés.
• tiers et fournisseurs: contrôles relatifs à l'IA des fournisseurs, à l'IA embarquée, aux fournisseurs de données et aux risques liés à l'externalisation.
• Mesure et amélioration continue: audits internes, évaluation des performances, mesures correctives et revue de direction.

Hors champ d'application, généralement

• Prescrire des architectures de modèles d'IA spécifiques, des techniques d'entraînement ou des normes de codage pour une pile technologique donnée.
• Elle remplace les obligations réglementaires. La norme ISO/IEC 42001 vous aide à mettre en œuvre la conformité, mais les lois et les règles sectorielles restent applicables.
• Garantir l'exactitude permanente des résultats d'une IA donnée constitue une norme en matière de gouvernance et de gestion des systèmes.

À qui s'adresse la norme ISO/IEC 42001 ?

L’ISO décrit la norme ISO/IEC 42001 comme applicable aux organisations de toute taille impliquées dans le développement, la fourniture ou l’utilisation de produits ou services basés sur l’IA. Concrètement, cela inclut :

• Les entreprises déploient l'IA à grande échelle dans les domaines du support client, de la finance, des RH, de l'informatique et de l'analyse de données.
• Les éditeurs de logiciels et les fournisseurs de SaaS intègrent des fonctionnalités d'IA dans leurs produits et plateformes.
• Le secteur public et les organismes réglementés ont besoin d'une gouvernance cohérente, de transparence et de traçabilité.
• Les équipes de recherche et d'enseignement supérieur mettent en œuvre des politiques, des méthodes de gestion des risques et un système de supervision en matière d'IA.

Pourquoi la portée est importante : un scénario rapide

Imaginez un réseau hospitalier déployant un assistant de synthèse clinique et un organisme d'assurance utilisant l'IA pour trier les demandes de remboursement. Les deux organisations sont confrontées à des risques opérationnels différents, mais les questions de gouvernance sont similaires :

• Qui approuve les cas d'utilisation et quelles preuves sont requises ?
• Quelles données sont autorisées, comment sont-elles conservées et comment prouver la filiation ?
• Comment détecter la dérive, les biais et les modes de défaillance après le déploiement ?
• Que se passe-t-il lorsqu'un modèle de fournisseur change ?

La norme ISO/IEC 42001 vise à rendre ces réponses reproductibles, vérifiables et continuellement améliorées.

À quoi ressemble la norme ISO/IEC 42001 en pratique

L'ISO souligne que la norme ISO/IEC 42001 est une norme de système de management, c'est-à-dire qu'elle utilise une approche structurée pour la gouvernance et l'amélioration continue. Si vous appliquez déjà des programmes de type ISO (sécurité, confidentialité, qualité), vous vous y sentirez comme chez vous.

Éléments constitutifs typiques d'AIMS

• Déclaration de politique et de portée: définir quels systèmes d'IA, unités commerciales, zones géographiques et fournisseurs sont inclus.
• méthodologie de gestion des risques liés à l'IA: une notation cohérente de l'impact, de la probabilité, de la détectabilité et de la force du contrôle.
• ensemble de contrôle du cycle de vie: des contrôles qui correspondent à la conception, aux données, au développement, aux tests, au déploiement, à la surveillance et à la mise hors service.
• Preuves et préparation à l'audit: journaux, approbations, fiches modèles, traçabilité des données, conservation et artefacts de contrôle des modifications.
• Évaluation des performances: indicateurs de suivi, audits internes, analyses d'incidents et résultats des revues de direction.

ISO/IEC 42001 par rapport aux normes connexes

L'ISO positionne elle-même la norme ISO 42001 au même titre que d'autres normes relatives à l'IA, telles que l'ISO/CEI 22989 (concepts et terminologie de l'IA) et l'ISO/CEI 23894 (lignes directrices pour la gestion des risques liés à l'IA). Voici un tableau comparatif simplifié :

Comment mettre en œuvre la norme ISO/IEC 42001 (niveau général)

Pour plus de rapidité et de traçabilité, évitez de commencer par un document de 50 pages. Privilégiez un périmètre maîtrisé, une méthode d'évaluation des risques efficace et un minimum de preuves à l'appui.

• Définissez le périmètre de votre programme AIMSIdentifiez les systèmes d'IA concernés, notamment les IA de fournisseurs, les modèles internes et les flux de travail assistés par l'IA. Rédigez un énoncé de portée d'une page suffisamment précis pour permettre un audit.
• Établir une gouvernance: Attribuer les droits de décision, créer un comité de pilotage de l'IA, définir les rôles (responsable, risques, juridique, sécurité, produit) et définir les circuits d'approbation.
• Adopter une méthodologie de gestion des risques liés à l'IAStandardisez la manière dont vous évaluez les cas d'utilisation et les systèmes en fonction de l'impact, de la sécurité, de la confidentialité, de la sûreté et des risques de conformité.
• Mettre en œuvre des contrôles de cycle de vie: Ajouter des contrôles pour la qualité des données, la gouvernance des données de formation, les tests, la surveillance des dérives, le contrôle des changements, la gestion des incidents et la mise hors service.
• Constituer des preuves prêtes pour l'audit: Déterminez les documents que vous devez conserver (approbations, traçabilité, documentation du modèle, journaux de surveillance, attestations des fournisseurs).
• Mesurer et améliorer: Effectuer des audits internes, des revues de direction et des actions correctives à un rythme régulier.

Où Solix trouve sa place

La norme ISO/IEC 42001 est plus facile à mettre en œuvre lorsque les données, leur conservation et les éléments de preuve relatifs à la gouvernance sont déjà centralisés et consultables. Dans la plupart des entreprises, la gouvernance de l'IA échoue non pas par manque de volonté des équipes, mais parce que les preuves sont dispersées dans différents systèmes.

Solix aide les organisations à opérationnaliser la gouvernance de l'IA en créant une infrastructure de données gouvernée qui prend en charge : la conservation, la suppression justifiée, l'archivage basé sur des politiques, l'accès traçable et la production de rapports prêts pour l'audit, pour les données structurées et non structurées. Cette infrastructure facilite considérablement la démonstration de l'efficacité des contrôles lors des audits et des évaluations.

Vous souhaitez obtenir une liste de contrôle de préparation à la norme ISO/IEC 42001 ?

Si vous mettez en place un programme de gouvernance de l'IA et avez besoin d'une méthode de préparation pratique, Solix peut vous fournir une courte liste de contrôle et une approche de cartographie qui aligne la conservation des données, la découverte et les preuves d'audit sur un programme AIMS.

Démo en visio or en savoir plus.

QFP

La norme ISO/IEC 42001 est-elle déjà publiée ?

Oui. L'ISO indique que la norme ISO/IEC 42001:2023 a été publiée en décembre 2023, et l'entrée relative à son cycle de vie indique une publication le 18 décembre 2023. La liste IEC indique également le 18 décembre 2023 comme date de publication.

La norme ISO/IEC 42001 s'adresse-t-elle uniquement aux entreprises qui développent des modèles d'IA ?

Non. La norme ISO précise qu'elle s'applique aux organisations qui développent, fournissent ou utilisent des produits ou services basés sur l'IA. Si vous déployez l'IA dans vos processus métier, vous êtes concerné et vous avez tout intérêt à utiliser un système de gestion de l'IA.

La norme ISO/IEC 42001 remplace-t-elle les obligations de conformité légales ?

Non. Cela facilite la mise en œuvre de la gouvernance et le contrôle des preuves, mais vous devez toujours respecter les lois et réglementations sectorielles applicables. Par exemple, les obligations en matière de confidentialité et de sécurité peuvent être encadrées par des cadres et des réglementations tels que le RGPD, la règle de sécurité HIPAA, etc.

Quelle est la manière la plus simple de définir le périmètre ?

Commencez par définir un ensemble précis de systèmes et de flux de travail d'IA, en listant les propriétaires, les sources de données, les fournisseurs impliqués et les régions concernées. Assurez-vous que votre énoncé de périmètre soit vérifiable, c'est-à-dire qu'un tiers puisse déterminer ce qui est inclus et exclu sans avoir à le deviner.

Quel est le lien entre la norme ISO/IEC 42001 et la norme ISO/IEC 27001 ?

L’ISO 42001 souligne qu’il s’agit d’une norme de système de management et qu’elle peut compléter d’autres normes de gouvernance. De nombreuses organisations alignent la gouvernance de leur système de management de l’information (SMMI) sur leurs pratiques de système de management de la sécurité de l’information (SMSI), en utilisant des audits et des revues de direction partagés.