Voies vers la confiance

La voie pour tout référentiel

Utilisez-le lorsqu'une loi, une norme ou un client exige des preuves. Les mêmes neuf étapes mènent à chacun d'eux, de sorte que tout référentiel devient une variante de ce parcours.

1. Nommer l'obligation

   Ce qui est exigé, de qui, pour quand, et qui décide que c'est satisfait : une loi, une norme, un client.

2. Définir le périmètre

   Quels systèmes, services, personnes et données sont concernés. Mettez-le d'abord par écrit.

3. Faire correspondre exigences et contrôles

   Un contrôle peut répondre à de nombreuses exigences ; écrivez-le donc une seule fois.

4. Repérer les écarts

   Comparer ce qui se passe réellement à ce que les contrôles attendent, et conserver les preuves.

5. Donner un responsable à chaque contrôle

   Une personne nommée, une date et une priorité classée par risque. Un plan sans responsable est un vœu.

6. Construire et exploiter

   Des politiques que l'on peut suivre et des contrôles qui fonctionnent. Les preuves devraient découler du travail.

7. Se contrôler soi-même

   Une revue interne et une revue de direction avant que quiconque d'extérieur ne regarde.

8. Obtenir une assurance indépendante

   Lorsque le référentiel le demande : un auditeur, un organisme de certification ou un organisme notifié. Une loi peut aussi être appliquée par une autorité, sans étape d'audit à franchir.

9. Le maintenir en vie

   Surveillance, gestion des changements et rythme annuel, pour que le prochain audit soit une routine.

Où l'IA et l'automatisation aident

• Garder reliés la correspondance exigence-contrôle, les responsables et les preuves.
• Collecter les preuves selon un calendrier et les vérifier par rapport au contrôle.
• Guetter la dérive : un contrôle qui a cessé de fonctionner, une revue en retard, une affirmation sans artefact derrière.

Les pièges qui coûtent le plus de temps

• Commencer par les documents au lieu du périmètre.
• Une cartographie des contrôles copiée d'un modèle que personne ne sait expliquer.
• Des preuves qui n'existent que dans la tête d'une seule personne.
• Traiter l'audit comme la ligne d'arrivée.

La voie vers SOC 2

Utilisez-le lorsque vos clients demandent des garanties. SOC 2 est un rapport d'auditeur sur la façon dont vos contrôles répondent aux Trust Services Criteria. Le rapport est le produit : les clients le lisent au lieu de vous envoyer un questionnaire.

1. Choisir le périmètre

   Quels services et systèmes, et quels critères. La sécurité est toujours incluse ; la disponibilité, la confidentialité, l'intégrité du traitement et la protection de la vie privée s'ajoutent lorsque les clients le demandent.

2. Décrire le système et évaluer le risque

   La description du système par la direction, et une évaluation des risques qui explique pourquoi chaque contrôle existe. Les auditeurs lisent les deux avant de tester quoi que ce soit.

3. Repérer les écarts

   Comparez ce que vous faites aujourd'hui à ce qu'attendent les critères. Une courte évaluation de préparation fait gagner des mois par la suite.

4. Écrire les contrôles

   Des politiques que l'on peut suivre, des responsables nommés, et des contrôles adaptés à la façon dont l'équipe travaille réellement.

5. Collecter les preuves dès le premier jour

   Les tickets, les revues, les listes d'accès et les résultats de tests existent déjà ; capturez-les au fil de l'eau.

6. Type I : les contrôles tels que conçus

   Un cabinet d'experts-comptables indépendant rend compte de la conception adéquate ou non des contrôles à une date donnée. C'est le premier rapport le plus rapide. SOC 2 est une attestation, pas une certification, et le rapport est normalement partagé avec les clients sous usage restreint.

7. Type II : les contrôles en fonctionnement

   Les mêmes contrôles montrés en fonctionnement sur une période d'observation, souvent de trois à douze mois. Les clients valorisent généralement ce rapport le plus.

Où l'IA et l'automatisation aident

• Extraire les preuves des systèmes selon un calendrier et les vérifier par rapport au contrôle, au lieu de captures d'écran au moment de l'audit.
• Rédiger des politiques et des descriptions de contrôles à partir de votre pratique réelle, pour qu'une personne les relise et les approuve.
• Guetter la dérive : un contrôle qui a discrètement cessé de fonctionner, une revue des accès en retard.

Les pièges qui coûtent le plus de temps

• Rédiger des politiques que personne ne suit. L'auditeur teste ce qui se passe, pas ce que dit le document.
• Un périmètre qui s'élargit pendant l'audit. Décidez-le tôt et écrivez-le.
• Des preuves dont personne n'est responsable. Chaque contrôle a besoin d'une personne nommée qui le vérifie.

Suite SOC et critères (AICPA) ↗↗ Plus de références dans la bibliothèque →

La voie vers ISO 27001

Utilisez-le lorsque vous avez besoin d'une preuve indépendante et certifiée de la manière dont vous gérez la sécurité de l'information. ISO 27001 certifie un système de management, pas un produit : une façon de travailler qui s'améliore sans cesse et qu'un organisme indépendant vérifie.

1. Comprendre le contexte

   Qui dépend de vous, ce que la loi et les contrats exigent, et ce qui doit être protégé.

2. Définir le périmètre et la politique

   Quelles parties de l'organisation et quels actifs sont inclus. La direction générale détient la politique.

3. Évaluer et traiter le risque

   Une méthode de risque reproductible, un registre avec des responsables, et des décisions de réduire, d'accepter, de transférer ou d'éviter.

4. Sélectionner les contrôles

   Choisissez parmi les contrôles de l'Annexe A (ISO/IEC 27001:2022) et consignez les choix et leurs raisons dans la Déclaration d'applicabilité.

5. Exploiter le système

   Faire fonctionner les contrôles, former les personnes, surveiller, et conserver les enregistrements qui le montrent.

6. S'auditer, puis réviser

   Un audit interne, des actions correctives pour ses constats, et une revue de direction avant l'arrivée de l'organisme de certification.

7. La certification et le cycle

   Un audit en deux étapes par un organisme de certification accrédité, des audits de surveillance annuels, et une recertification au terme du cycle de trois ans.

Où l'IA et l'automatisation aident

• Garder reliés le registre des risques, la liste des contrôles et les preuves.
• Suivre les dates de revue, les tâches en retard et les actions correctives, et relancer les responsables.
• Préparer l'audit interne : échantillonnage, vérification des preuves et une première liste de constats que l'auditeur confirmera.

Les pièges qui coûtent le plus de temps

• En faire un projet documentaire. Les auditeurs cherchent un système qui fonctionne et s'améliore.
• Une Déclaration d'applicabilité copiée d'un modèle, avec des raisons que personne ne sait expliquer.
• Laisser la revue de direction devenir une formalité. C'est là que les décisions sont consignées.

ISO/IEC 27001 (ISO) ↗↗ Plus de références dans la bibliothèque →

La voie vers ISO/IEC 42001

Utilisez-le lorsque vous développez, fournissez ou utilisez de l'IA et avez besoin d'un mode de gouvernance qu'un organisme indépendant peut vérifier. ISO/IEC 42001 est une norme de système de management pour l'IA, publiée en 2023. Si vous appliquez déjà ISO 27001, la structure est commune et beaucoup peut être réutilisé.

1. Comprendre votre rôle

   Développez-vous l'IA, la fournissez-vous ou l'utilisez-vous ? Qui en dépend, et qu'attendent la loi et vos clients ?

2. Définir le périmètre et une politique IA

   Quels systèmes d'IA et quelles parties de l'organisation sont inclus, et une politique que la direction générale détient.

3. Inventorier les systèmes d'IA

   Chaque système, son responsable, les données qu'il utilise et les fournisseurs qui sont derrière. On ne peut pas gérer ce que l'on ne voit pas.

4. Évaluer le risque et l'impact

   Les risques liés à l'IA pour l'organisation, et une analyse d'impact de chaque système sur les personnes qu'il touche. À répéter lorsqu'un système change.

5. Sélectionner les contrôles

   Choisissez les contrôles adaptés, consignez les raisons et couvrez le cycle de vie de l'IA : données, développement, tests, déploiement et surveillance.

6. Exploiter avec des personnes dans la boucle

   Une supervision humaine là où elle compte, la surveillance de ce que le système fait réellement, et le traitement des incidents et des réclamations.

7. Auditer et réviser

   Un audit interne et une revue de direction, puis un audit de certification par un organisme accrédité, suivi d'audits de surveillance.

Où l'IA et l'automatisation aident

• Maintenir l'inventaire de l'IA à jour en lisant ce qui est réellement déployé, et signaler les usages que personne n'a enregistrés.
• Collecter les preuves de surveillance selon un calendrier : performance, dérive, interventions humaines.
• Rédiger des évaluations d'impact pour qu'une personne les relise et les approuve.

Les pièges qui coûtent le plus de temps

• Rédiger une seule politique et considérer que c'est fini.
• Passer à côté de l'IA qui arrive dans les produits des fournisseurs.
• Traiter l'évaluation d'impact comme un formulaire au lieu d'une conversation avec les personnes concernées.

La certification ISO/IEC 42001 ne démontre pas à elle seule la conformité à l'EU AI Act, qui est une loi avec ses propres exigences.

ISO/IEC 42001 (ISO)↗ NIST AI Risk Management Framework↗ Plus dans la bibliothèque

La voie vers l'EU AI Act

Utilisez-le lorsque vous construisez, fournissez ou utilisez des systèmes d'IA et que la loi peut vous concerner. L'EU AI Act est une loi, pas une norme : les obligations dépendent de votre rôle et du niveau de risque de vos systèmes d'IA. La première question est de savoir quelle catégorie vous concerne.

1. Trouver votre rôle

   Fournisseur, déployeur, importateur, distributeur ou mandataire. Les devoirs dépendent de ce que vous êtes, et vous pouvez être plusieurs de ces rôles.

2. Inventorier vos systèmes d'IA

   Chaque système et chaque usage, y compris ceux que vous achetez et ceux intégrés à d'autres outils.

3. Classer le risque

   Pratiques interdites (déjà en vigueur), systèmes à haut risque, systèmes soumis à des obligations de transparence, et le reste. La catégorie décide de la suite.

4. Obligations du fournisseur pour les systèmes à haut risque

   Gestion des risques, gouvernance des données, documentation technique, journalisation, transparence envers les utilisateurs, supervision humaine, exactitude et robustesse, et un système de gestion de la qualité. Les fournisseurs de modèles d'IA à usage général ont leurs propres obligations.

5. Obligations du déployeur

   Utiliser le système selon les instructions, confier la supervision humaine à des personnes compétentes, le surveiller, conserver les journaux et informer les personnes concernées. Certains déployeurs doivent aussi évaluer l'effet sur les droits fondamentaux. Les systèmes qui interagissent avec des personnes ou génèrent du contenu synthétique sont soumis à des obligations de transparence.

6. Prouvez-le

   Pour la plupart des systèmes à haut risque, le fournisseur évalue lui-même la conformité ; un organisme notifié n'intervient que pour certains. Enregistrez-vous là où c'est exigé et tenez une documentation qu'une autorité pourrait lire.

7. Développer la maîtrise de l'IA

   Cette obligation s'applique déjà : les personnes qui travaillent avec l'IA doivent en avoir une compréhension suffisante pour le faire de façon responsable.

8. Surveiller après le lancement

   Observer le système en usage, signaler les incidents graves et mettre à jour le dossier lorsque le système ou la loi change.

Où l'IA et l'automatisation aident

• Tenir l'inventaire et la classification à jour, une personne confirmant chaque décision.
• Collecter les journaux et les preuves de surveillance pour que le dossier technique se construise de lui-même.
• Suivre quelles obligations s'appliquent à partir de quelle date, et à quels systèmes.

Les pièges qui coûtent le plus de temps

• Classer par espoir plutôt que d'après le texte.
• Oublier qu'utiliser l'IA de quelqu'un d'autre fait de vous un déployeur avec des obligations.
• Le traiter comme un projet ponctuel alors que les obligations se poursuivent après le lancement.

Conseils généraux, pas un avis juridique. Le règlement est entré en vigueur en août 2024. D'après ma compréhension du calendrier, les interdictions et l'obligation de maîtrise de l'IA s'appliquent depuis février 2025, les règles pour les modèles d'IA à usage général depuis août 2025, et les dates des règles relatives au haut risque dépendent du type de système et peuvent être modifiées. Consultez le texte officiel et ses éventuelles modifications pour les dates qui vous concernent aujourd'hui.

EU AI Act, texte officiel↗ Guide indépendant avec recherche↗ Plus dans la bibliothèque

En mener plusieurs sans le faire deux fois

Les parcours partagent l'essentiel de leur terrain. Construisez contrôles et preuves une seule fois, faites-les correspondre à chaque référentiel dont vous avez besoin, et laissez chaque audit lire les mêmes enregistrements.

• Un enregistrement de contrôle relié à chaque exigence à laquelle il répond, dans SOC 2, ISO 27001, ISO/IEC 42001 et l'AI Act.
• Une piste de preuves pour chaque audit.
• Un registre des risques qui explique pourquoi chaque contrôle existe.

Besoin d'aide pour choisir ou engager un parcours ? Travailler avec moi → Lire : la conformité comme graphe → Retour à l'AI World →