02 / Conformité et certification
ISO/IEC 42001, un système de management pour les machines qui décident
Nous vous aidons à encadrer l'IA que vous développez, achetez ou utilisez par un système de management, avec des risques, des impacts et des responsabilités écrits et audités.
Présentation
Ce que l'ISO/IEC 42001 vous demande
L'ISO/IEC 42001 est la norme internationale des systèmes de management de l'intelligence artificielle (AIMS). Elle s'adresse aux organisations qui développent, fournissent ou utilisent des systèmes d'IA, et demande un périmètre défini, une appréciation des risques liés à l'IA, une évaluation de l'impact des systèmes d'IA sur les personnes et la société, et des mesures pour traiter ce que vous trouvez.
Sa structure vous semblera familière si vous appliquez l'ISO/IEC 27001 : des clauses pour le système de management, une annexe de mesures et une déclaration d'applicabilité. Le contenu, lui, diffère. Il porte sur les données utilisées par les systèmes d'IA, leur cycle de vie, la transparence envers les utilisateurs et le recours à l'IA de tiers.
Le certificat est délivré par un organisme de certification accrédité. Black Fox vous prépare, teste aussi la sécurité des systèmes concernés si vous le souhaitez, coordonne l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, et vous accompagne pendant celui-ci.
À qui s'adresse ce service
Les organisations qui intègrent l'IA à leurs produits, les fournisseurs dont les clients demandent comment leur IA est gouvernée, et les entreprises qui utilisent l'IA de tiers dans des décisions qui touchent des personnes. C'est aussi une base structurée pour se préparer aux obligations du règlement européen sur l'intelligence artificielle.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Inventaire et périmètre
Nous recensons les systèmes d'IA que vous développez, fournissez ou utilisez, votre rôle pour chacun, et fixons ce que couvre le système de management.
Analyse d'écarts
Une revue au regard des clauses et des mesures de l'annexe A, avec des constats classés par risque et par effort.
Risques et analyses d'impact
Une méthode pour les risques liés à l'IA et pour l'impact des systèmes d'IA sur les personnes et les groupes, appliquée à vos systèmes et tenue à jour.
Mesures et déclaration d'applicabilité
Chaque mesure de l'annexe A examinée, avec une décision justifiée et un renvoi vers sa preuve.
Politiques et cycle de vie
Une politique IA, des rôles et des procédures pour les données, le développement, le déploiement, la surveillance et l'IA de tiers, intégrés à votre SMSI s'il existe.
Audit interne
Un audit interne du système de management, indépendant de ceux qui l'ont construit.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des interlocuteurs et de l'échéance, et signons d'abord un accord de confidentialité si vous le souhaitez.
Inventaire et analyse d'écarts
Entretiens, revue documentaire et parcours de vos systèmes d'IA, avec à la clé un rapport priorisé.
Accompagnement à la mise en œuvre
Nous travaillons avec vos responsables sur les analyses de risques et d'impact, les mesures, les documents et les preuves.
Audit interne
Un audit interne complet au regard de la norme, mené comme le vrai.
Audit de certification
Nous coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou l'organisme accrédité de votre choix, vous aidons à vous préparer et à traiter les éventuels constats.
Ce que vous recevez
- Inventaire des systèmes d'IA et déclaration de périmètre
- Rapport d'analyse d'écarts et plan d'action priorisé
- Appréciation des risques IA et analyses d'impact des systèmes d'IA
- Déclaration d'applicabilité avec renvois vers les preuves
- Politique IA et procédures associées
- Rapport d'audit interne
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
La certification ISO/IEC 42001 suffit-elle pour le règlement européen sur l'IA ?
Non. Ils se recoupent sur certains points, comme la gestion des risques, la documentation et le contrôle humain, mais le règlement a ses propres obligations selon votre rôle et la catégorie de risque de chaque système. La norme vous donne le système de management qui porte ce travail.
Nous utilisons l'IA sans la développer. Est-ce pertinent ?
Cela peut l'être. La norme s'applique aux organisations qui utilisent des systèmes d'IA comme à celles qui les développent ou les fournissent. Vos mesures portent alors sur le choix, l'usage, la supervision et les fournisseurs.
Délivrez-vous le certificat ?
Non. Les certificats sont délivrés par des organismes de certification accrédités, indépendants de ceux qui vous ont accompagné. Nous vous préparons, coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou un organisme de votre choix et vous soutenons pendant celui-ci, pour que vous alliez de la préparation au certificat dans une seule mission.
Peut-elle partager un système de management avec l'ISO/IEC 27001 ?
Oui. Les deux suivent la structure commune qu'utilise l'ISO pour ses normes de systèmes de management, une grande partie peut donc être mutualisée. Les risques, impacts et mesures propres à l'IA demandent malgré tout un travail spécifique.
Services associés
- Conformité et certificationRèglement sur l'IARèglement sur l'IA avec Black Fox Security : inventaire des systèmes d'IA, classification des risques, gouvernance et documentation, tests de sécurité de l'IA.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
Commencez par la liste de ce que fait réellement votre IA
Dites-nous quels systèmes d'IA vous développez, vendez ou utilisez. Nous vous montrerons ce que la norme attend pour chacun.