Playbook 5 — Le dossier de conformité
Un dossier prêt pour l'audit qui répond à un régulateur, à un client et à un auditeur ISO
Trois parties différentes finiront par vous demander ce que vous faites de l’IA, et elles posent la question dans des langues différentes. Un régulateur veut savoir comment la loi s’applique et ce que vous avez fait des parties qui s’appliquent. L’équipe achats d’un client grand compte veut l’assurance qu’en vous engageant, elle n’importe pas son propre risque. Un auditeur ISO 42001 veut la preuve que le système de management existe et tourne. Au fond, elles demandent la même chose.
L’erreur est de construire un dossier séparé pour chacune. Cela produit trois documents qui divergent, et c’est la divergence qui fait échouer un audit — pas le contrôle manquant. Le meilleur geste est un seul dossier de conformité, assemblé à partir des enregistrements que la série gouvernance produit déjà, que chaque lecteur peut ouvrir à l’endroit qui le concerne.
Trois sources l’alimentent. Le registre de documentation de la série de playbooks gouvernance en est la colonne vertébrale : l’inventaire des systèmes d’IA, les fiches projet, le journal des décisions. La série de gestion des risques de l’IA fournit le registre des risques — catégories, scores, traitements. Et les enregistrements exigés par l’Act s’attachent aux mêmes lignes, et c’est tout l’intérêt : la documentation exigée pour un système à risque élevé et son entrée au registre des risques concernent le même système, décrit une fois, référencé deux fois.
Ce que chacun y trouve. Le régulateur y trouve la classification par niveau et les mentions de transparence, rattachées au calendrier du playbook 2. L’équipe achats du client y trouve les enregistrements d’intégration des fournisseurs et les contrôles données et biais, qui répondent à la plupart de son questionnaire avant même qu’il n’arrive. L’auditeur ISO y trouve la correspondance du playbook 3 — chaque domaine d’article pointant vers le document qui le sous-tend, les écarts Support et Amélioration continue étant marqués comme connus plutôt que cachés.
Deux habitudes le maintiennent en vie. D’abord, un seul responsable, pas un comité — le registre meurt dès qu’il appartient à tout le monde. Ensuite, une seule cadence de revue, alignée sur les points de contrôle déjà utilisés : le registre est revu au même rythme de 30/90/180 jours que les mesures de valeur, si bien que le dossier est à jour par construction plutôt qu’assemblé dans la panique.
Un fichier qui contient :
- Un seul registre, vers lequel pointent le registre des risques et les enregistrements de l’Act.
- Niveau, rôle et statut de transparence pour chaque système.
- Les enregistrements de due diligence fournisseurs attachés aux systèmes qu’ils couvrent.
- La correspondance ISO 42001, écarts nommés.
- Un responsable nommé et une date de revue.
Toute la série en une ligne : classez ce que vous avez construit, sachez quelles obligations sont déjà opposables et lesquelles restent à venir, rattachez ce que vous avez déjà écrit aux articles de l’ISO 42001, comblez l’écart de transparence en vigueur aujourd’hui, et tenez un seul fichier qui prouve tout cela — une extension du travail de gouvernance, pas un projet parallèle.