IA : gouvernance, sécurité et ISO 42001

Gouvernance de l'IA : savoir ce qui est utilisé, par qui et pour quoi

Vous ne pouvez pas maîtriser ce que vous ne voyez pas.

• Inventaire des usages et des outils d'IA, y compris ceux adoptés sans validation.
• Politique d'usage de l'IA claire et applicable par les équipes.
• Rôles et responsabilités : qui décide, qui valide, qui contrôle.
• Évaluation des risques et des impacts de chaque usage, pour l'entreprise comme pour les personnes concernées.
• Encadrement des fournisseurs d'IA : contrats, localisation et réutilisation des données.

Sécurité de l'IA : protéger vos données et vos systèmes

Un système d'IA est un système d'information, avec des risques en plus.

• Fuites de données confidentielles ou personnelles vers des services d'IA générative.
• Manipulation des systèmes par injection de requêtes (« prompt injection »).
• Protection des données d'entraînement, des modèles et de leur chaîne d'approvisionnement.
• Contrôle des accès et traçabilité des usages.
• Intégration de ces risques dans votre système de management de la sécurité (ISO 27001), plutôt qu'un dispositif à part.

ISO 42001 : structurer et démontrer une IA maîtrisée

ISO/IEC 42001 est la première norme internationale de système de management de l'intelligence artificielle. Elle s'adresse aux organisations qui développent, fournissent ou utilisent des systèmes d'IA, et permet de démontrer à vos clients et partenaires que l'IA est encadrée.

Elle partage la structure des autres normes de management, dont ISO 27001 : si vous disposez déjà d'un SMSI, une grande partie du socle existe. Les deux démarches peuvent être menées dans un système de management unique.

• Cadrage du périmètre et des usages couverts.
• Analyse des risques et des impacts propres à l'IA.
• Politique, objectifs et mesures de l'annexe A adaptés à votre contexte.
• Documentation nécessaire et suffisante, sans bureaucratie inutile.
• Audit interne et préparation à l'audit de certification.

Et l'AI Act ?

Le règlement européen sur l'intelligence artificielle (AI Act, règlement (UE) 2024/1689) s'applique progressivement et classe les systèmes d'IA selon leur niveau de risque. Une démarche de gouvernance structurée, comme ISO 42001, constitue une base solide pour vous y préparer.

Pourquoi choisir Acove pour vos projets IA ?

Peu de consultants cumulent l'expérience de la cybersécurité et celle de l'IA en conditions réelles.

• Trois ans au cœur de l'IA en entreprise : Databricks, fondé par les créateurs d'Apache Spark et à l'origine de Delta Lake et MLflow, est l'un des leaders mondiaux des plateformes de données et d'IA, utilisé par plus de 10 000 entreprises dans le monde. J'y ai dirigé une équipe d'ingénieurs solutions auprès de comptes stratégiques. Je connais les projets data et IA de grande ampleur de l'intérieur, leurs promesses comme leurs angles morts.
• L'exigence de l'auditeur : auditeur ICA certifié ISO 27001 pour AFNOR Certification, j'applique à l'IA la rigueur d'un système de management audité.
• La transparence : je prépare actuellement ma certification ISO 42001. Mon accompagnement s'appuie sur la norme, sur ma pratique des systèmes de management et sur mon expérience de l'IA.