SE-C09·Avancé·18 min

IA dans la GRC : NIST AI RMF et ISO 42001

NIST AI RMF, ISO 42001, éthique IA et gouvernance des systèmes d'IA dans le cadre GRC.

👤 CISO · IT Admin
Objectifs d'apprentissage
  • NIST AI RMF : cadre de gestion des risques liés à l'IA
  • ISO 42001 : première norme internationale pour les systèmes de management IA
  • Gérer les risques de l'IA générative en entreprise

NIST AI RMF : cadre de gestion des risques liés à l'IA

Le NIST AI Risk Management Framework (2023) propose 4 fonctions : Gouverner (politiques d'IA), Cartographier (inventaire des systèmes IA et risques), Mesurer (tests, évaluations), Gérer (remédiation et surveillance). Il s'intègre naturellement au NIST CSF et aux pratiques GRC existantes, sans remplacer les contrôles de cybersécurité classiques.

🔔 À retenir : 🔔 Le NIST AI RMF est gratuit et adapté aux organisations de toute taille. Il aborde autant les risques liés aux biais et à l'explicabilité qu'aux risques de sécurité classiques.

ISO 42001 : première norme internationale pour les systèmes de management IA

ISO/IEC 42001 (2023) est le premier système de management certifiable pour l'IA. Structure similaire à ISO 27001 (annexe SL) : politique IA, évaluation des risques IA, contrôles spécifiques (biais, transparence, responsabilité). Demande croissante des grandes entreprises et des régulateurs européens (AI Act).

✓ Bonne pratique : ✓ Si votre organisation développe ou utilise de l'IA dans des décisions à impact élevé (crédit, santé, RH), ISO 42001 devient un avantage concurrentiel et une protection contre les risques réglementaires.

Gérer les risques de l'IA générative en entreprise

L'IA générative (ChatGPT, Claude, Copilot) introduit des risques spécifiques : fuite de données confidentielles via les prompts, hallucinations dans des décisions critiques, dépendance à un fournisseur, at-taques par prompt injection. Une politique d'usage IA claire, des règles de données sensibles et un inventaire des usages sont les premières mesures à prendre.

⚠ Attention : ⚠ 40 % des employés utilisent des outils IA personnels au travail sans autorisation selon certaines études. Le shadow AI est le nouveau shadow IT : inventoriez avant d'interdire ou d'encadrer.

Checklist pratique

Votre progression est sauvegardée localement dans votre navigateur.

Points clés à retenir

  • NIST AI RMF (2023) : 4 fonctions — Gouverner, Cartographier, Mesurer, Gérer
  • ISO 42001 (2023) : premier système de management certifiable pour l'IA
  • L'IA générative introduit des risques spécifiques : fuite de données, hallucinations, prompt injection
  • Shadow AI = nouveau shadow IT : inventorier avant d'interdire ou d'encadrer