Annexe des contrôles IA (ISO 42001)

Définition

L'annexe des contrôles IA, désignée annexe A dans la norme ISO 42001, regroupe l'ensemble des mesures de gouvernance et de gestion des risques que l'organisation peut sélectionner pour traiter les risques identifiés lors de son processus d'appréciation des risques liés à l'intelligence artificielle, dans une logique structurellement identique à celle de l'annexe A de la norme ISO 27001 pour la sécurité de l'information. Cette annexe couvre des thématiques telles que les politiques relatives à l'intelligence artificielle, les ressources internes nécessaires au fonctionnement du système de management, l'évaluation d'impact des systèmes développés ou utilisés, la gestion du cycle de vie des données d'entraînement incluant leur qualité, leur pertinence et leur provenance, la transparence envers les parties concernées sur le fonctionnement et les limites des systèmes, ainsi que la gestion des relations avec les fournisseurs de composants ou de modèles d'IA tiers intégrés dans les systèmes de l'organisation. À l'issue de son processus de traitement des risques, l'organisation doit établir une déclaration d'applicabilité comparable à celle exigée par l'ISO 27001, justifiant pour chaque contrôle de l'annexe A son inclusion ou son exclusion du périmètre effectivement mis en œuvre. Cette structure commune entre ISO 27001 et ISO 42001 facilite grandement l'intégration des deux systèmes de management pour les organisations déjà certifiées sur la sécurité de l'information et souhaitant étendre leur gouvernance à l'intelligence artificielle.