Évaluer les risques liés à l'IA selon l'ISO 42001

Le risque au cœur de la norme

La clause 6 de l'ISO 42001 porte sur la planification, et son volet central est la gestion des risques liés à l'IA.^[1] La norme adopte une approche par les risques : plutôt que d'imposer les mêmes contrôles à tout le monde, elle demande d'ajuster le niveau d'encadrement aux risques réels que présentent les systèmes d'IA dans le périmètre de l'organisation.^[1][2]

Les trois temps : évaluation, traitement, impact

La démarche s'articule en trois étapes complémentaires, décrites aux clauses 6.1.2 à 6.1.4.^[1][3]

6.1.2Évaluation des risques

6.1.3Traitement des risques

6.1.4Analyse d'impact

Schéma reformulé, le texte de la norme n'est pas reproduit.

Évaluer (6.1.2)

L'organisation définit un processus d'appréciation des risques : elle identifie les risques qui aident ou empêchent d'atteindre ses objectifs d'IA, apprécie leurs conséquences possibles pour l'organisation, les personnes et la société ainsi que leur vraisemblance, puis hiérarchise les risques en vue de leur traitement.^[1]

Traiter (6.1.3)

Pour chaque risque, l'organisation choisit une option de traitement, selon la typologie classique du risque : le réduire, l'éviter, le transférer, ou l'accepter en connaissance de cause.^[3] Elle sélectionne ensuite les mesures appropriées et les confronte aux mesures de référence de l'Annexe A, ce qui se formalise dans une déclaration d'applicabilité (le document qui justifie les mesures retenues ou écartées).^[1][3]

Analyser l'impact (6.1.4)

Propre à l'IA, l'analyse d'impact examine les conséquences possibles d'un système sur les personnes, les groupes de personnes et la société, en tenant compte de son usage prévu et des mésusages prévisibles, par exemple un biais ou une atteinte à la vie privée. Ses constats reviennent alimenter l'évaluation des risques.^[1][3]

Ce qui rend le risque IA particulier

Un système d'IA ne se gère pas tout à fait comme un logiciel classique. La norme pointe plusieurs spécificités qui justifient un encadrement dédié :^[1]

• des décisions automatisées parfois peu transparentes ou difficiles à expliquer ;
• des systèmes qui apprennent en continu et dont le comportement évolue avec le temps ;
• des enjeux d'équité et de biais, de transparence, et de qualité des données utilisées ;
• des conséquences possibles directement sur des personnes.

Un exemple concret

À titre d'illustration, reprenons une fiduciaire romande qui utilise un outil d'IA pour pré-trier des documents clients. L'évaluation des risques pourrait identifier : une fuite de données confidentielles vers l'outil, un classement erroné qui passe inaperçu, ou un biais selon le type de client. Le traitement consisterait par exemple à restreindre les données envoyées à l'outil, à maintenir un contrôle humain sur les cas sensibles, et à journaliser les décisions. L'analyse d'impact, elle, se demanderait quelles conséquences une erreur de tri aurait concrètement pour un client. La même logique vaut pour un cabinet d'avocats ou un assureur.

Ce que cela implique en pratique

Sans entrer dans une méthode imposée, la démarche suit toujours la même logique :

• recenser les systèmes d'IA réellement utilisés ou développés ;
• pour chacun, identifier les risques et les apprécier ;
• décider d'une option de traitement et des mesures associées ;
• documenter les choix dans une déclaration d'applicabilité ;
• réévaluer à chaque changement significatif et de façon périodique.

Questions fréquentes

À lire ensuite