ISO/IEC 42001 en langage clair : la première norme de système de management de l'IA

ISO/IEC 42001 est la toute première norme de système de management pour l'intelligence artificielle, publiée à la fin de 2023 — voyez-la comme l'équivalent d'ISO 27001, mais appliqué à l'IA : un cadre vérifiable et certifiable pour gouverner la manière dont vous concevez et utilisez l'IA. Pourquoi une entreprise canadienne s'y intéresserait-elle? Pour remporter des marchés d'entreprise, prendre les devants sur une réglementation comme l'AIDA et l'EU AI Act, et imposer une réelle discipline au risque lié à l'IA au lieu d'improviser.

Ce qu'est réellement ISO/IEC 42001

Publiée à la fin de 2023, ISO/IEC 42001 est la toute première norme de système de management écrite spécifiquement pour l'intelligence artificielle. Si vous avez déjà entendu une équipe de sécurité parler d'être « certifiée ISO 27001 », voici l'équivalent pour l'IA — une façon structurée et vérifiable de démontrer que votre organisation gère intentionnellement les risques liés à la conception ou à l'utilisation de l'IA, plutôt que d'espérer que tout se passe bien.

L'expression qui porte tout le poids est « système de management ». Une norme comme celle-ci ne vous dit pas quel algorithme utiliser ni ne fixe un seuil technique de précision. Elle vous dit de mettre en place un processus reproductible : définir des objectifs, attribuer des responsabilités, évaluer les risques, appliquer des mesures de contrôle, vérifier si elles fonctionnent et vous améliorer au fil du temps. L'objet de ce processus — ici, un système de management de l'IA, ou SMIA — est la seule chose qui change d'une norme de management ISO à l'autre.

Pour une entreprise canadienne, ce cadrage compte plus qu'il n'y paraît. Vous n'avez pas besoin d'être un laboratoire de recherche pour tomber dans le champ d'application de 42001. Concevez un produit doté d'une fonction d'apprentissage automatique, lancez un agent conversationnel ou revendez un outil d'IA sous votre propre marque, et vous prenez déjà des décisions au sujet du risque lié à l'IA — la norme ne fait que les consigner sous une forme à laquelle d'autres peuvent se fier.

La structure de la norme

ISO/IEC 42001 suit la même structure de haut niveau que toutes les normes de management ISO modernes; quiconque a travaillé avec 27001 ou 9001 en reconnaîtra le rythme. Elle parcourt un ensemble prévisible de thèmes :

• Contexte et champ d'application. Quels systèmes d'IA relèvent de votre responsabilité, qui sont vos parties intéressées et où commence et se termine votre système de management.
• Leadership. La haute direction doit s'approprier la politique d'IA et l'appuyer par une réelle autorité et de véritables ressources, et non la déléguer à un seul ingénieur débordé.
• Planification. Vous cernez les risques et occasions liés à l'IA et fixez des objectifs réellement mesurables.
• Soutien et fonctionnement. Les rôles, les compétences, la documentation et l'exécution quotidienne de vos mesures de contrôle.
• Évaluation des performances et amélioration. Audits internes, revue de direction et une boucle qui réinjecte les problèmes dans les correctifs.

Greffée à cette ossature, on trouve une annexe de mesures de contrôle de référence — un menu de pratiques concrètes couvrant notamment l'évaluation d'impact de l'IA, la qualité et la provenance des données, la supervision humaine, la transparence envers les utilisateurs et la gestion du cycle de vie, de la conception jusqu'au retrait. Vous choisissez les mesures qui correspondent à vos risques et justifiez toute exclusion. C'est la même approche « appliquer et justifier » que les équipes de sécurité connaissent déjà de l'annexe de contrôles d'ISO 27001; rien là-dedans ne devrait vous dépayser.

L'évaluation d'impact de l'IA au cœur du dispositif

S'il y a une idée qui distingue 42001 d'une norme de management générale, c'est l'accent mis sur l'évaluation de l'incidence d'un système d'IA sur les personnes et la société — et pas seulement sur votre propre organisation. La gestion des risques traditionnelle demande ce qui pourrait mal tourner pour nous. Une évaluation d'impact de l'IA demande aussi ce qui pourrait mal tourner pour les personnes qu'un système touche : un biais envers un groupe protégé, des décisions opaques que personne ne peut contester, des défaillances de sécurité, un mauvais usage des résultats.

Pour les entreprises canadiennes, cela s'arrime bien aux obligations qui arrivent par d'autres voies. La Loi 25 du Québec exige déjà la transparence entourant les décisions prises à l'aide d'un traitement automatisé. La Loi sur l'intelligence artificielle et les données proposée par le gouvernement fédéral, incluse dans le projet de loi C-27, repose sur l'idée d'évaluer et d'atténuer les préjudices des systèmes d'IA à incidence élevée. Et toute organisation qui vend sur le marché européen doit composer avec l'EU AI Act (Regulation (EU) 2024/1689), qui gradue les obligations selon le risque. Un seul SMIA bien mené vous donne un moteur interne unique qui alimente tous ces régimes — au lieu d'une course distincte pour chacun.

Comment elle se compare à ISO 27001

La façon la plus nette de saisir 42001 est de la comparer à ISO 27001, la norme de sécurité de l'information que la plupart des entreprises connaissent au moins de nom.

• Même mécanique, objet différent. Les deux partagent le squelette de système de management identique — politique, évaluation des risques, mesures de contrôle, audit, amélioration. Si vous détenez déjà 27001, environ la moitié de 42001 vous semblera être un travail déjà accompli.
• Sécurité contre responsabilité. ISO 27001 protège la confidentialité, l'intégrité et la disponibilité de l'information. ISO 42001 protège contre les préjudices plus larges de l'IA : résultats inéquitables, manque de transparence, comportement peu fiable et effets en aval des décisions automatisées.
• Objets de préoccupation distincts. Dans 27001, l'actif est l'information. Dans 42001, l'objet est un système d'IA sur l'ensemble de son cycle de vie, y compris les données ayant servi à l'entraîner et la manière dont ses résultats sont utilisés.
• Elles s'empilent. Les deux sont faites pour fonctionner ensemble. Un programme d'IA responsable repose presque toujours sur une solide sécurité de l'information en dessous; bien des organisations obtiennent donc d'abord 27001 et ajoutent 42001 à mesure que leur empreinte d'IA grandit.

Les deux sont certifiables par un tiers accrédité, et les deux sont volontaires — personne au Canada n'est légalement tenu de détenir l'une ou l'autre. Leur valeur tient au fait qu'un auditeur indépendant a vérifié votre travail, ce qui compte pour les acheteurs d'entreprise, les organismes de réglementation et les partenaires qui devraient autrement vous croire sur parole.

Pourquoi une entreprise canadienne pourrait la viser

Trois raisons pratiques poussent une entreprise canadienne vers 42001 plutôt que vers une simple politique d'IA maison.

Commençons par l'approvisionnement. Les grandes entreprises et les acheteurs du secteur public commencent à demander aux fournisseurs d'IA comment ils gouvernent leurs systèmes, et un certificat reconnu — aux côtés de la preuve de préparation à SOC 2 que bien des acheteurs réclament dans la foulée — répond à cette question plus vite et de façon plus crédible qu'une présentation ne le ferait jamais.

Il y a ensuite l'état de préparation réglementaire. La tendance — l'AIDA au pays, l'EU AI Act à l'étranger — va vers une gouvernance démontrable de l'IA à risque plus élevé. Bâtissez un SMIA maintenant, et l'éventuelle exigence légale atterrit sur une fondation que vous avez déjà, plutôt que sur une page blanche.

La troisième raison est plus discrète, mais d'expérience c'est celle que les entreprises sous-estiment : la discipline interne. Même sans certificat, délimiter vos systèmes d'IA, mener des évaluations d'impact et attribuer des responsabilités fait ressortir des risques que la plupart des équipes ignoraient porter. Bien des entreprises retirent l'essentiel de la valeur simplement en parcourant la norme, qu'elles paient un audit au bout du compte ou non.

Par où commencer

Ne commencez pas par un auditeur. Commencez par un inventaire des fournisseurs et systèmes d'IA recensant les systèmes d'IA que vous concevez, achetez ou intégrez, et notez pour chacun quelles décisions il influence et quelles données il touche. À partir de là, une politique de gouvernance de l'IA légère et une première évaluation d'impact sur votre système le plus sensible vous montreront l'essentiel de l'écart entre votre situation et les attentes de 42001.

Cet article constitue de l'information générale et non un avis juridique; la façon dont une norme ou une loi s'applique à votre entreprise dépend de votre situation particulière, et vous devriez consulter un professionnel qualifié avant d'agir.

Si cartographier vos systèmes d'IA au regard de cadres comme ISO/IEC 42001, la Loi 25 et l'EU AI Act vous semble plus lourd que ce que votre équipe peut porter seule, c'est précisément l'écart que Canuckt a conçu Valdra pour combler — transformer un mur d'obligations en un plan priorisé, en langage clair, avec vos données conservées au Canada.