Aligner sécurité de l’information et gouvernance de l’IA ? Le guide expert des normes ISO 27001 & 42001

Gouverner la donnée et l’intelligence artificielle dans le cadre des normes de management reconnues à l’échelle internationale : Une nouvelle exigence stratégique

La sécurité de l’information, telle que définie par les normes de gestion ISO, est un socle depuis longtemps reconnu par les RSSI et DPO. Mais une transformation silencieuse est en cours : les systèmes d’intelligence artificielle (IA), qu’ils soient visibles (chatbots, analyse prédictive) ou intégrés (moteurs de recommandation, détection de fraude), prennent désormaisdes décisions ou influencent des processus critiques.

Dans ce contexte de normalisation, les entreprises souhaitant obtenir la certification ISOne peuvent plus se contenter d’un système de management de la sécurité(SMSI) centré sur les données. Il devient essentiel d’y adjoindre, dans une logique de certification du système et de conformité aux exigences dela norme, un système de management de l’intelligence artificielle (SMIA), capable d’encadrer les risques propres à l’IA : opacité algorithmique, biais, supervision humaine, impact sociétal, etc.

La norme ISO/IEC 27001:2022reste le cadre de référence pour la gestion de la sécurité de l’information. Mais elle ne suffit plus à elle seule pour répondre aux défisposés par des systèmes intelligents, évolutifs, et parfois autonomes. C’est là qu’intervient la norme ISO/IEC 42001:2023, première norme internationale de gouvernance des systèmes d’IA publiée par l’organisation internationale de normalisation (ISO).

Ce guide s’inscrit dans une démarche de certification et propose une analyse croisée des référentiels ISOde ces deux normes, pour aider les RSSI, DPO, chefs de projet conformité, directeurs innovation ou transformation à :

• Comprendre les fondamentaux des systèmes de management du SMSI et du SMIA
• Identifier les points communs, les complémentarités, mais aussi les angles morts
• Structurer deux feuilles de route concrètes pour un déploiement efficace et convergent
• Construire une gouvernance informationnelle et algorithmique cohérente, alignée avec les exigences réglementaires et les attentes des parties intéressées,     au service de la confiance, de la conformité, et de l’innovation durable

1. Synthèse des normes ISO/IEC 27001:2022 etISO/IEC 42001:2023

ISO/IEC 27001:2022- Système de management de la sécurité de l'information (SMSI)

Objectif: Assurer la confidentialité, l’intégrité et la disponibilité de l’information via une approche de gestion des risques.

Principes clés :
- Approche systémique et contextuelle (analyse du contexte organisationnel).
- Implication du leadership et des parties prenantes.
- Cycle PDCA (Plan-Do-Check-Act).
- Intégration avec les processus métiers.

Exigences principales :
- Gouvernance et politique de sécurité (clarté des rôles et responsabilités).
- Appréciation et traitement des risques.
- Objectifs mesurables, surveillance, audit interne, amélioration continue.
- Mesures de sécurité listées en Annexe A alignées avec l’ISO 27002.

ISO/IEC 42001:2023 - Système de management de l’intelligence artificielle (SMIA)

Objectif: Gouverner les systèmes d’IA de manière responsable et transparente, tout aulong de leur cycle de vie.

Principes clés :
- Cadre éthique et technique de gouvernance des systèmes IA.
- Prise en compte du contexte, des impacts, des biais et des risques spécifiques à l’IA.
- Cycle de vie IA intégré à la gestion (conception, déploiement, surveillance, fin de vie).
- Approche par les parties prenantes et critères de confiance (transparence, équité, robustesse).

Exigences principales :
- Inventaire des systèmes IA.
- Gouvernance, supervision humaine, transparence algorithmique.
- Objectifs IA, responsabilités, documentation, évaluation des impacts.
- Amélioration continue, audits, contrôles adaptés au cycle de vie IA.

2. Comparaison stratégique entre deux référentiels de normes de management : le SMSI certifiéISO/IEC 27001 et le SMIA conforme à la norme ISO/IEC 42001

‍

‍

3. Roadmaps de mise en œuvre

Déploiement d’un SMSI – ISO/IEC 27001

Phase1 – Initialisation :
- Définir le périmètre et les objectifs du SMSI
- Nommer un chef de projet / RSSI
- Réaliser une analyse de contexte (interne/externe)
- Identifier les parties prenantes
Livrables : charte projet, analyse contextuelle, cartographie parties prenantes

Phase 2 – Appréciation des risques :
- Réaliser une appréciation des risques (identification, analyse, évaluation)
- Définir les critères d’acceptation du risque
- Élaborer un plan de traitement des risques
Livrables : rapport d’appréciation, plan de traitement, déclaration d’applicabilité

Phase 3 – Mise en œuvre :
- Déployer les mesures de sécurité (ISO 27002)
- Rédiger les politiques et procédures
- Former et sensibiliser les équipes
Livrables : politiques ISO 27001, procédures, plan de communication interne

Phase 4 – Surveillance et amélioration :
- Mettre en place les indicateurs de pilotage
- Réaliser des audits internes
- Conduire la revue de direction
- Mettre en œuvre des actions correctives
Livrables : tableau de bord, rapports d’audit, revue de direction, plan d’amélioration continue

Déploiement d’un SMIA – ISO/IEC 42001

Phase1 – Préparation :
- Identifier les systèmes IA existants et leurs usages
- Définir le périmètre du SMIA (types d’IA, impacts, parties prenantes)
- Définir les rôles (responsable IA, éthique, supervision…)
Livrables : inventaire des systèmes IA, cartographie des rôles, gouvernance IA initiale

Phase 2 – Analyse de risques IA :
- Identifier les risques techniques, éthiques, de biais ou de sécurité
- Réaliser des évaluations d’impact (EIA, biais, effets indirects)
- Déterminer les exigences de transparence, supervision humaine, équité
Livrables : cartographie des risques IA, fiches d’impact, politiques de supervision

Phase 3 – Déploiement :
- Mettre en œuvre les contrôles spécifiques (cycle de vie, explicabilité…)
- Intégrer les exigences IA dans les processus existants (conception, achat, data, SI)
- Former les équipes (dev, juridique, métiers, éthique)
Livrables : référentiel SMIA, procédures IA, plan de formation

Phase 4 – Surveillance continue :
- Mettre en place la veille technologique et réglementaire IA
- Réaliser des audits des systèmes IA et évaluations périodiques
- Documenter les incidents, dérives, feedback utilisateurs
- Réviser la gouvernance IA périodiquement
Livrables : rapports de surveillance, rapport d’audit SMIA, synthèse des incidents, revue de gouvernance

Les tips Entregens concernant l’iso 27001 et l’iso 42001:

Voici une synthèse claire des limites identifiés pour ISO/IEC27001 et ISO/IEC 42001, vec une brève explication pour chaque :

ISO/IEC 27001:2022– points de vigilance

1. Absence de prise en compte spécifique des systèmes d’intelligence artificielle

·      Problème :L’ISO 27001 ne différencie pas les risques posés par des systèmes traditionnels et ceux propres à l’IA (biais, opacité, apprentissage continu).

·      Conséquence: Un SMSI conforme peut rester aveugle aux risques éthiques, d’explicabilité ou de dérive algorithmique.

·      Solution :Compléter avec ISO/IEC 42001 ou NIST AI RMF pour adresser les exigences spécifiques à la gouvernance IA.

2. Approche statique de la sécurité

·      Problème :Le SMSI repose sur des contrôles figés, souvent documentaires, peu adaptés àdes environnements IA dynamiques ou en mise à jour continue (ex. LLM, reinforcement learning).

·      Conséquence: Risque de non-prise en compte des dérives post-déploiement ou des vulnérabilités émergentes dans les modèles IA.

·      Solution :Introduire des mécanismes de surveillance continue et de gouvernance adaptative issus de l’ISO 42001 ou de l’ISO 24028 (fiabilité et robustesse IA).

‍

ISO/IEC 42001:2023– – points de vigilance

‍

1. Peu de lien explicite avec les exigences juridiques (ex. RGPD, AI Act)

·      Problème :La norme évoque la gestion des impacts éthiques ou sociétaux, mais ne référence pas directement les obligations légales comme la base légale du traitement, les droits des personnes ou la minimisation des données.

·      Conséquence: Une organisation pourrait être conforme à ISO 42001 mais non conforme au RGPD ou à l’AI Act.

·      Solution :Croiser ISO 42001 avec les guides CNIL, les exigences du CEPD, ou les clauses contractuelles types (ex. AI Act Internal Auditors Guide).

2. Difficulté à rendre operationnelle la supervision humaine dans les systèmes IA autonomes

·      Problème :La norme demande à assurer une supervision humaine « adéquate », mais ne précise pas les modalités techniques ou organisationnelles (seuils d’alerte, contrôle en boucle fermée, etc.).

·      Conséquence: Les entreprises peinent à garantir que la supervision est effective, surtout dans des environnements à grande échelle ou temps réel.

·      Solution :S’appuyer sur l’ISO/IEC 24028 (transparence et robustesse), SHAP/LIME pour l’explicabilité, ou sur les bonnes pratiques issues des audits IA

‍