ISO/IEC 42001:2023 · Annex A
La liste des mesures ISO 42001 : les 38 mesures de l'annexe A
Une ligne claire sur ce que chaque mesure de la norme de système de management de l'IA demande. Libre de lecture. Générez votre déclaration d'applicabilité en quelques minutes avec StandardOS.
Vous appliquez déjà l'ISO 27001 ? Les chapitres 4 à 10 sont la structure harmonisée, la même colonne vertébrale, si bien que la plupart de vos enregistrements de système de management comptent pour les deux. Voir ce que nous couvrons, chapitre par chapitre.
Politiques pour l'IA
3Les mesures sur la formalisation de la position de l'organisation vis-à-vis de l'IA : ce pour quoi elle utilisera ou n'utilisera pas l'IA, et comment cette position reste à jour à mesure que les systèmes changent.
Rôles et gouvernance interne
2Les mesures sur qui, dans l'organisation, est responsable de l'IA, et comment les décisions à son sujet sont prises et remontées.
Ressources derrière un système d'IA
5Les mesures sur ce dont un système d'IA est fait : les données, l'outillage, le calcul et les personnes, et savoir de quoi on dépend réellement.
- A.4.2Écrire ce dont dépend chaque système d'IA
- A.4.3Les données dont un système d'IA a besoin, recensées
- A.4.4Les outils employés pour construire et exploiter les systèmes d'IA
- A.4.5Le calcul et l'infrastructure sur lesquels tournent les systèmes d'IA
- A.4.6Les personnes et compétences dont dépend un système d'IA
Effets sur les personnes et la société
4Les mesures sur les conséquences pour les personnes et pour la société, distinctes des conséquences pour l'organisation. C'est le groupe sans équivalent dans l'ISO 27001, et la raison pour laquelle une appréciation des risques 42001 pose des questions qu'une appréciation sécurité ne pose pas.
La vie d'un système d'IA
9Les mesures sur un système d'IA de sa conception à son retrait : comment il est spécifié, vérifié, mis en production, surveillé en service et finalement retiré.
- A.6.1.2Ce que le développement responsable signifie ici, énoncé en objectifs
- A.6.1.3Des processus de conception et de développement qui portent ces objectifs
- A.6.2.2Écrire ce que le système d'IA doit faire avant de le construire
- A.6.2.3Une trace de la façon dont le système a été conçu et construit
- A.6.2.4Vérifier que le système fait ce qui a été spécifié
- A.6.2.5Mettre un système d'IA en service délibérément, pas par défaut
- A.6.2.6Surveiller un système d'IA en service, et agir quand il dérive
- A.6.2.7Une documentation technique pour ceux qui doivent la comprendre
- A.6.2.8Journaliser ce qu'a fait un système d'IA, pour pouvoir le reconstituer
Données utilisées par les systèmes d'IA
5Les mesures sur les données dont un système d'IA apprend et sur lesquelles il opère : d'où elles viennent, quelle est leur qualité et à quoi elles peuvent être utilisées.
- A.7.2Décider quelles données peuvent servir à construire et améliorer un système
- A.7.3Savoir d'où viennent les données et à quelles conditions
- A.7.4Si les données sont assez bonnes pour l'usage qui en est fait
- A.7.5Garder traçables l'origine et l'histoire des données
- A.7.6Comment des données brutes deviennent données d'entraînement ou d'entrée
Ce que vous dites à l'extérieur
4Les mesures sur ce que l'organisation dit aux personnes extérieures : ce que fait un système, comment il a été construit et comment une personne concernée peut faire part d'une préoccupation.
Utiliser l'IA de façon responsable
3Les mesures sur l'utilisation responsable de l'IA une fois qu'elle fonctionne : à quoi elle peut servir, qui peut l'utiliser, et quelle supervision se situe entre le système et une décision qui affecte quelqu'un.
Fournisseurs et clients
3Les mesures sur l'IA que vous n'avez pas construite et l'IA que vous fournissez à d'autres : ce que vous exigez d'un fournisseur, et ce que vos propres clients sont en droit de savoir.