Playbook 3 — La correspondance ISO 42001

L’ISO/IEC 42001 est la norme de système de management pour l’IA : un ensemble d’articles qui décrivent comment une organisation gouverne l’IA, pas une spécification technique du modèle. Lue à côté de la série de playbooks gouvernance, l’essentiel est déjà fait. Le geste utile est une correspondance — rattacher ce qui existe aux articles de la norme, puis nommer les écarts au lieu de reconstruire.

Les exigences de système de management de la norme traversent six domaines d’articles : Contexte, Direction, Planification, Support, Fonctionnement et Évaluation des performances, l’Amélioration continue fermant la boucle. Voici comment le travail existant s’aligne.

Direction — l’orientation, la politique et les rôles. Le playbook 1 (« Démarrer la gouvernance ») pose la règle de gouvernance proportionnée et les niveaux de risque ; le playbook 5 (« Des rôles sans département ») nomme qui possède quoi. C’est l’article Direction, fait.

Planification — l’évaluation et le traitement des risques. La série de gestion des risques de l’IA est exactement cela : sept catégories, une méthode de notation, un traitement par catégorie. Elle correspond à l’article Planification de la norme presque ligne pour ligne.

Fonctionnement — les contrôles qui font tourner le système au quotidien. Les playbooks 2 à 4 (« Fournisseurs et achats », « Données et biais », « Déploiement et cycle de vie ») couvrent ce que vous achetez, les données qu’il touche et la manière dont il est mis en service. C’est le cœur opérationnel.

Évaluation des performances — vérifier si tout cela fonctionne. La série Mesurer la valeur, le risque, les coûts et les KPI, avec ses points de contrôle à 30/90/180 jours, couvre le volet mesure, et le playbook 6 (« Registre de documentation ») fournit les enregistrements.

Deux écarts méritent d’être nommés, parce que ce sont les parties que la série existante ne produit pas.

Le premier est l’article Support — le volet documenté des ressources et des compétences. La norme attend la preuve que les personnes sont formées et que le système dispose de ressources adéquates. Ce n’est pas un dépôt de politiques ; c’est un registre de qui a été formé à quoi, quand et par qui. C’est le seul endroit où la nouvelle série Gestion du changement et cette norme se rencontrent.

Le second est l’Amélioration continue — une cadence définie pour revoir et mettre à jour le système de management lui-même, pas seulement les systèmes individuels. La plupart des entreprises ont au mieux une revue annuelle. La norme la veut comme une habitude.

Un terme mérite d’être emprunté directement : la Déclaration d’applicabilité. Elle liste chaque contrôle applicable et, pour chacun, s’il s’applique, pourquoi ou pourquoi non, et son état de mise en œuvre. Le triage du playbook 1 le fait déjà de manière informelle. Le nommer dans le registre rend l’alignement lisible pour un auditeur ou un client qui mène une due diligence.

Une vérification de la correspondance :

• Chaque domaine d’article a un document ou un playbook nommé derrière lui.
• Les deux écarts — Support et Amélioration continue — sont reconnus, pas invisibles.
• Votre registre indique quels contrôles s’appliquent et pourquoi.
• Vous savez qu’il s’agit d’un alignement, pas d’une certification : une correspondance n’est pas un audit.

Suite : le playbook 4 comble l’écart de transparence qui est en vigueur dès maintenant.