ISO 42001 : la suite logique de mon parcours

Ceux qui me suivent le savent : je ne cours pas après chaque nouveau référentiel qui sort. Il y en a déjà suffisamment comme ça, et j'ai déjà eu l'occasion d'écrire sur l'inflation réglementaire.

Pour autant, je regarde le référentiel ISO 42001 depuis longtemps. Bien avant le lancement de mes activités actuelles d'ailleurs. Et pour des raisons très logiques, pour ne pas dire naturelles.

Au fait, c'est quoi ISO 42001 ?

Pour ceux qui découvrent : ISO/IEC 42001 est la norme internationale certifiable dédiée aux systèmes de management de l'IA. Publiée fin 2023, elle reprend la même structure que l'ISO 27001 : contexte, leadership, analyse de risques, objectifs, amélioration continue...

Si vous avez déjà mené un projet ISO 27001, vous ne serez pas dépaysé. C'est d'ailleurs l'un de ses gros atouts : elle s'intègre dans un système existant au lieu d'en créer un de plus.

La 42001 ajoute ce que la 27001 ne traite pas vraiment (voire pas du tout) :

• l'évaluation d'impact des systèmes d'IA sur les personnes et la société.
• la maîtrise du cycle de vie des modèles, de la conception au retrait.
• la qualité et la provenance des données utilisées.
• la transparence vis-à-vis des utilisateurs et des parties intéressées.
• les responsabilités quand l'IA vient d'un fournisseur.

Le lien entre l'ISO 42001 et moi

J'ai envie de répondre que c'est parce que l'IA et moi avons une petite histoire. C'est même un sujet qui fait se croiser plusieurs parties de mon parcours.

D'un côté, des années dans la cybersécurité et la conformité : SOC 2, ISO 27001, HDS, NIS 2, audits de certification, RSSI externalisé. La méthode, les preuves, l'analyse de risques, etc.

De l'autre, trois années chez Databricks, l'un des leaders mondiaux du domaine « data & IA », où j'ai encadré une équipe d'ingénieurs solutions sur des comptes stratégiques.

Concrètement, ça veut dire avoir suivi de près des projets bien réels :

• des chantiers de gouvernance des données : savoir qui accède à quoi, d'où vient une donnée, et pouvoir le prouver.
• la mise en production de modèles, avec tout ce que ça implique de suivi, de versions et de dérives à surveiller.
• les premiers projets d'IA générative en entreprise : assistants, recherche documentaire, agents, RAG.
• des exigences de sécurité des plateformes posées par des grands comptes qui ne laissent rien passer.
• des déploiements sur Azure, AWS et GCP.

(On pourra aussi noter que j'ai mangé du Machine Learning les 5 années précédentes, chez Cisco AppDynamics, maintenant une entité Splunk.) Bref, je n'ai pas découvert le sujet hier !

Pourquoi maintenant

À nouveau, je n'étais pas certain de vouloir ajouter un référentiel sans être pleinement persuadé que ça avait un intérêt pour mes clients. Je suis les actualités sur l'IA, je fais ma veille réglementaire (sur le règlement européen sur l'IA, l'« AI Act », entre autres) et je faisais déjà appliquer les meilleures pratiques chez mes clients concernés. Par bon sens et pour répondre aux attentes des fameuses « parties intéressées » de la 27001.

Jusqu'à ce que l'un d'eux, un éditeur de logiciels que je suis depuis longtemps, commence à aller beaucoup plus loin que la moyenne sur des cas d'usage IA. De fait, la 42001 s'est imposée naturellement (ce client est déjà certifié ISO 27001). Pour ceux qui suivent, on parle de haut risque et d'obligations strictes.

Et pour bien implémenter, il faut travailler : en poussant la compréhension de la norme au maximum (merci à ceux qui m'ont donné les bases il y a longtemps), mais aussi en creusant l'approche auditeur sur ce domaine.

Je vise donc (une fois n'est pas coutume) un niveau de certification assez élevé me concernant. Et la certification de mon client dans quelques mois, parce qu'on n'aura pas attendu pour pratiquer et pratiquer fort.

Tout cela avec de la méthode (voir ma démarche).

Et pour vous, ça change quoi ?

À cet instant précis, sans doute rien ! Toutes les entreprises n'ont pas besoin d'une certification ISO 42001, même si l'apport d'une norme volontaire est toujours indiscutable.

Mais si l'une de ces situations vous parle, on pourrait avoir à se parler :

• vous intégrez de l'IA dans vos produits ou vos services.
• vos clients ou donneurs d'ordre commencent à vous interroger sur vos usages de l'IA.
• vos équipes utilisent des outils d'IA générative sans cadre clair (avouez...).
• vous anticipez les obligations de l'AI Act et cherchez à comprendre les impacts du règlement « Digital Omnibus ».

En conclusion

ISO 42001 n'est pas pour moi une nouvelle ligne de catalogue, avec un certificat qui montre qu'on a bien travaillé mais pas forcément beaucoup pratiqué. C'est la suite logique d'un parcours qui a toujours oscillé entre la technique, la donnée et la conformité.

Un client a fini de me convaincre, mais c'est bien l'expérience accumulée qui m'a donné envie de me positionner. Je me dis même que mon expérience est assez rare et que j'ai donc pas mal de choses à apporter.

Si vous vous posez des questions sur la gouvernance de vos usages de l'IA, ma page dédiée à l'IA et ISO 42001 est un point de départ. Mais ça ne remplacera pas un échange, facile à organiser sur ma page contact.