Table des matières

1. Objet et périmètre

La présente politique définit les principes, les règles et le cadre de gouvernance applicables à l'ensemble des activités liées à l'intelligence artificielle au sein de [Nom de l'organisation].

Cette politique s'applique à :

• Tous les systèmes d'intelligence artificielle développés, déployés, acquis ou utilisés par l'organisation, qu'ils soient développés en interne ou fournis par des tiers ;
• L'ensemble des collaborateurs, prestataires, partenaires et sous-traitants impliqués dans la conception, le développement, le déploiement, l'exploitation ou l'utilisation de systèmes IA ;
• Toutes les données utilisées pour l'entraînement, la validation, le test et l'exploitation des systèmes IA.

Le périmètre du Système de Management de l'Intelligence Artificielle (SMIA) est défini dans le document [Réf. : PER-SMIA-001].

2. Références normatives et réglementaires

3. Termes et définitions

4. Principes directeurs de l'IA responsable

[Nom de l'organisation] s'engage à développer et utiliser l'intelligence artificielle de manière responsable, en respectant les principes suivants :

4.1 Éthique et respect des droits fondamentaux

4.2 Transparence

4.3 Équité et non-discrimination

4.4 Sécurité et robustesse

4.5 Protection de la vie privée

4.6 Responsabilité et redevabilité (accountability)

5. Gouvernance de l'Intelligence Artificielle

5.1 Comité IA

Un Comité IA est constitué pour piloter la stratégie IA de l'organisation et superviser le SMIA. Il se réunit [mensuellement / trimestriellement] et est composé de :

5.2 Rôles et responsabilités

6. Classification des systèmes IA

Tous les systèmes IA doivent être classifiés selon le niveau de risque défini par le Règlement européen sur l'IA (AI Act) :

La classification est réalisée lors de l'inventaire initial et réévaluée à chaque modification significative du système ou de son contexte d'utilisation.

7. Évaluation d'impact obligatoire

Une Évaluation d'Impact de l'Intelligence Artificielle (EIAD) est obligatoire pour :

• Tout nouveau système IA classifié à risque élevé ;
• Toute modification majeure d'un système IA à haut risque existant ;
• Tout changement significatif des données d'entraînement ou d'exploitation ;
• Suite à un incident IA significatif.

L'EIAD couvre les impacts sur les individus, les groupes et la société, incluant les risques de biais, d'atteinte à la vie privée, de sécurité, de transparence et d'impact sociétal. La procédure détaillée est définie dans le document [Réf. : PRO-EIAD-001].

8. Gestion des données

Les données utilisées par les systèmes IA font l'objet d'une gouvernance spécifique :

• Qualité : Des critères de qualité sont définis et mesurés (exactitude, complétude, actualité, représentativité) ;
• Biais : Les données sont analysées pour détecter et corriger les biais avant entraînement et en production ;
• Protection : Les données personnelles sont protégées conformément au RGPD (minimisation, pseudonymisation, chiffrement) ;
• Traçabilité : L'origine, les transformations et l'utilisation des données sont documentées ;
• Conservation : Les durées de conservation sont définies et respectées.

9. Transparence et communication

L'organisation met en œuvre les mesures de transparence suivantes :

• Information systématique des utilisateurs lorsqu'ils interagissent avec un système IA ;
• Mise à disposition d'explications sur les décisions prises par les systèmes IA, adaptées au public concerné ;
• Publication d'un registre des systèmes IA utilisés (pour les systèmes à haut risque) ;
• Communication régulière au Comité de direction et aux parties prenantes sur l'utilisation de l'IA et ses impacts.

10. Gestion des incidents IA

Tout incident lié à un système IA doit être signalé, documenté et traité selon la procédure de gestion des incidents IA [Réf. : PRO-INC-IA-001] :

• Détection : Mécanismes de détection automatique et canaux de signalement ;
• Classification : Évaluation de la gravité (critique, majeur, mineur) ;
• Réponse : Actions immédiates, incluant la possibilité de désactivation du système ;
• Analyse : Recherche des causes racines ;
• Correction : Mise en œuvre d'actions correctives et préventives ;
• Communication : Information des parties prenantes et, si requis, notification aux autorités (AIPD, autorité de contrôle IA).

11. Formation et sensibilisation

L'organisation met en place un programme de formation et de sensibilisation à l'IA responsable :

• Formation initiale : Tous les collaborateurs impliqués dans les systèmes IA reçoivent une formation sur l'IA responsable, les principes éthiques et les obligations réglementaires ;
• Formation continue : Mises à jour régulières sur l'évolution de la réglementation, les bonnes pratiques et les retours d'expérience ;
• Sensibilisation générale : Campagnes de sensibilisation pour l'ensemble du personnel sur l'utilisation responsable de l'IA ;
• Compétences techniques : Formation spécifique pour les équipes techniques (MLOps, tests de biais, explicabilité).

12. Revue et amélioration continue

La présente politique et le SMIA font l'objet d'une amélioration continue à travers :

• Revue de direction : Au minimum annuelle, évaluant la performance du SMIA, les résultats des audits et les incidents ;
• Audit interne : Au minimum annuel, couvrant l'ensemble des exigences ISO 42001 et des contrôles Annexe A ;
• Surveillance des indicateurs : Suivi continu des KPIs définis dans le tableau de bord SMIA ;
• Veille réglementaire : Suivi de l'évolution de la réglementation IA (AI Act, RGPD, normes ISO) ;
• Retour d'expérience : Capitalisation sur les incidents, les audits et les évaluations d'impact.

Cette politique est revue au minimum une fois par an ou à l'occasion de tout changement significatif.

13. Sanctions

Le non-respect de la présente politique peut entraîner :

• Des mesures disciplinaires conformément au règlement intérieur de l'organisation ;
• La suspension ou le retrait de l'accès aux systèmes IA ;
• La désactivation immédiate d'un système IA non conforme ;
• Des poursuites judiciaires en cas de violation de la réglementation applicable.

Tout collaborateur constatant un manquement à cette politique est tenu de le signaler au Responsable SMIA ou via le canal de signalement éthique de l'organisation.

Annexe A — Matrice RACI

R = Responsable (réalise) | A = Approbateur (valide) | C = Consulté | I = Informé

Annexe B — Historique des versions