Méthode
Six cycles, conduits dans l’ordre, sur chaque système.
L’ordre est fixe parce que chaque étape dépend de la précédente. Évaluer avant de classifier produit des constats sur lesquels personne ne peut agir. Remédier avant d’évaluer corrige ce qui était le plus facile à voir.
Le parcours de conformité
Du premier recensement à la surveillance en production.
Ce qui existe
Quels systèmes, qui en répond, ce qu’ils décident et ce qu’ils touchent. Chaque système reçoit une fiche d’identité et entre au registre.
Ce qui s’applique
Le rôle au sens du règlement, le niveau de risque, et les régimes qui s’ajoutent à l’AI Act.
Ce qui tient
Des preuves réunies contrôle par contrôle, testées plutôt qu’affirmées, à une profondeur fixée par le niveau de risque.
Ce qui se corrige
Les écarts fermés ou atténués, dans l’ordre qui réduit l’exposition le plus vite.
Ce qui s’assume
Une personne nommée accepte, atténue ou retire le système. La décision est consignée.
Ce qui change
Dérive, incidents et évolutions de conception suivis au regard de la position prise. Un changement matériel renvoie à la classification.
Échelle de risque consolidé
Un seul niveau par système, trois paliers.
Les métiers reçoivent un seul repère. Il agrège quatre expositions : réglementation de l’IA, vie privée, cybersécurité, éthique et réputation. L’aiguillage vers les équipes juridiques, vie privée et sécurité se fait en coulisses.
Voie rapide
Un questionnaire allégé et une validation sans comité. La plupart des cas d’usage s’arrêtent ici, et c’est ce qui rend le dispositif tenable.
Revue ciblée
Une revue documentaire et des contrôles sur les dimensions exposées, avec les experts concernés et eux seuls.
Revue complète
Analyses d’impact, tests de biais et de robustesse, passage en comité. Un système à haut risque au sens de l’AI Act est toujours Maximal. L’inverse n’est pas vrai : un cas peut l’être pour une raison de sécurité, de données sensibles ou de réputation.
Principes
Quatre règles que nous ne négocions pas.
Prochaine étape
Appliquer la méthode à un système.
L’audit d’un système d’IA parcourt les trois premiers cycles et prépare les trois suivants.