Cadres, gouvernance et charte

3.2 Standards et référentiels

Un standard ou un référentiel n'est pas une loi : il structure de bonnes pratiques. Le cours en présente plusieurs.

ISO 42001 (2023)

Premier standard international certifiable pour un système de management de l'IA (AI Management System, AIMS). Il est facultatif (pas d'obligation réglementaire), applicable à tout secteur mais particulièrement recommandé pour la santé, la finance et l'éducation. Il s'organise en sept clauses (de la 4 à la 10) :

Pour s'y préparer : audit des pratiques existantes, création de son AIMS, évaluation des risques, politiques éthiques, documentation. À côté : l'EN 304 223 de l'ETSI (cybersécurité de base pour les modèles et systèmes IA).

NIST AI RMF (États-Unis, 2023)

Référentiel de gestion des risques IA de l'institut américain NIST, sans certification ni audit. Son cœur (Framework Core) a quatre fonctions :

• Gouverner : évaluer les impacts et structurer la gestion des risques sur tout le cycle de vie ;
• Cartographier : définir les risques d'un système et la nécessité d'une solution d'IA ;
• Mesurer : analyser, comparer et surveiller les risques avec des indicateurs ;
• Gérer : allouer des ressources, planifier la réponse aux incidents, surveiller et améliorer.

Comme l'AI Act, il est fondé sur les risques : bonne préparation, mais obtenir ISO 42001 ou NIST n'accélère pas la conformité AI Act.

Autres référentiels du cours

• OCDE : principes de l'IA, « premier standard intergouvernemental sur l'IA » (croissance inclusive, droits humains, transparence, robustesse, responsabilité).
• HUDERIA (Conseil de l'Europe) : méthodologie d'évaluation des risques pour les droits humains, la démocratie et l'État de droit, en quatre éléments (analyse des risques COBRA, engagement des parties prenantes, évaluation des risques et impacts, plan d'atténuation).
• France, RIA31 (AFNOR SPEC 2314) : référentiel IA éthique et responsable ; 5 piliers, 13 recommandations, 41 critères ; charte IA responsable de l'INR lancée en octobre 2025.
• AFNOR IA frugale : un service est frugal si on a démontré la nécessité de l'IA plutôt qu'une solution moins consommatrice, si de bonnes pratiques réduisent les impacts, et si les usages restent dans les limites planétaires. C'est le référentiel de l'IA durable.
• Référentiel IA générative (RIAG) de GreenIT.fr : bonnes pratiques par étape du cycle de vie (par exemple : BP 0001 ne pas utiliser l'IA générative si on peut répondre sans, BP 0003 choisir le modèle le plus léger).
• Singapour : Model AI Governance Framework for Agentic AI, en 4 parties (évaluer et fixer les risques en amont, responsabiliser les humains, contrôles techniques, responsabiliser les utilisateurs).
• Royaume-Uni : Data and AI Ethics Framework.

4.1 La gouvernance de l'IA en entreprise

Pourquoi ? 59 % des entreprises n'ont pas de politique IA écrite, alors que plus de la moitié des salariés pratiquent le Shadow AI. « La gouvernance ne ralentit pas l'IA, elle permet d'éviter son échec à long terme. » Et 80 % des systèmes IA seront exclus de l'AI Act, ainsi que tous les utilisateurs : se contenter d'appliquer la loi ne suffit donc pas. Une bonne gouvernance anticipe la loi.

Comment ? Les 5 piliers du Center for Democracy & Technology (CDT), les 5 « P » :

1. People : donner le pouvoir aux experts, via des équipes multidisciplinaires ;
2. Priorités : trier les missions de façon réfléchie ;
3. Processes : établir des structures de gouvernance ;
4. Plateformes : investir dans l'infrastructure d'IA responsable (outils d'évaluation) ;
5. Progrès : suivre les efforts de façon globale.

(Pas de « processeurs » : le quatrième P est « plateformes ».) Outils cités : Trail (conformité selon le niveau de risque, 170+ risques répertoriés) et Fruggr (onglet « AI Governance »).

Les chartes IA responsable

Exemples cités : Cisco (transparence, équité, responsabilisation, confidentialité, sécurité, fiabilité), Groupe La Poste (Charte Data & IA, grilles d'évaluation), Shippeo (confidentialité avec un LLM officiel pour limiter le Shadow AI, et durabilité, avec un comité dédié), Département de l'Isère (6 engagements dont « l'IA peut se tromper : ma vigilance s'impose »), Ville et Eurométropole de Strasbourg. À l'inverse, OpenAI ne figure pas parmi les organisations mises en avant pour une charte.

Pourquoi une charte ? Pour limiter les pratiques problématiques (Shadow AI), encourager un usage responsable, protéger les données de l'entreprise et des clients. Elle ne se copie-colle pas : chacune doit être adaptée aux risques et aux valeurs de l'organisation, et impliquer des rôles différents selon son type et sa taille. Elle ne s'appuie pas que sur la loi : elle peut la précéder.

Écrire sa charte, pas à pas

Les 15 bonnes pratiques de l'annexe (extraits)

• BP1 : revue des risques IA de l'organisation (grille du cours ou référentiel MIT) ; BP2 : évaluation d'impact algorithmique des systèmes existants ; BP3 : détecter les faux contenus et watermarker les siens.
• BP5-6 : audit et mitigation des biais ; BP8 : rendre ses systèmes les plus frugaux possibles ; BP9 : structurer sa stratégie de sécurité ; BP10 : informer sur les risques de confidentialité et le Shadow AI.
• BP11 : établir un RACI ; BP12-13 : s'informer sur les lois et sur une certification ISO 42001 ou NIST ; BP14-15 : établir une charte qui va au-delà de la loi (l'AI Act ne donne aucune responsabilité aux utilisateurs : c'est à la charte de le faire).