Bridging AI Risk Frameworks: Reconciling ISO/IEC 42001, the NIST AI Risk Management Framework, and the EU AI Act into a Uni ed Governance Taxonomy

Le Casse-tête des Grands Livres de Règles de l'IA

Imaginez que vous essayiez de construire un robot capable d'aider les médecins à diagnostiquer des maladies ou de décider qui obtient un prêt. Vous voulez vous assurer que ce robot est sûr, équitable et qu'il ne blesse accidentellement personne. Mais voici le problème : le monde ne possède pas un seul livre de règles unique pour la construction de robots. Au lieu de cela, il y a trois bibliothécaires très bruyants qui crient des instructions depuis trois coins différents de la pièce. Un bibliothécaire est un juge strict d'Europe qui dit : « Si votre robot fait ce travail spécifique, vous devez suivre ces 100 pages de règles, sinon vous aurez des ennuis. » Un autre est un coach serviable des États-Unis qui dit : « Voici un manuel de jeu flexible pour vous aider à réfléchir aux risques, mais vous n'êtes pas obligé de l'utiliser, sauf si vous voulez avoir l'air sérieux. » Le troisième est une agence de certification mondiale qui dit : « Si vous voulez une étoile dorée pour prouver que votre entreprise est organisée, vous devez suivre cette liste de contrôle spécifique. »

Ce document évolue dans le monde de la Gouvernance de l'Intelligence Artificielle (IA). En termes simples, il s'agit de l'étude de la manière de s'assurer que les systèmes d'IA sont construits et utilisés de manière responsable. Les trois concepts clés que le document mélange sont : l'ISO/IEC 42001 (une norme pour obtenir un certificat prouvant que votre entreprise est bien organisée), le cadre de gestion des risques de l'IA du NIST (un guide volontaire pour aider les équipes à gérer les risques) et la Loi sur l'IA de l'UE (une véritable loi qui interdit les IA dangereuses et impose des règles strictes pour l'IA à haut risque). Tout le monde s'en préoccupe parce que l'IA est désormais partout. Si les entreprises essaient de suivre les trois livres de règles à la fois, elles finissent par écrire les mêmes règles trois fois, s'embrouillent et gaspillent beaucoup d'argent. La grande question est la suivante : pouvons-nous faire en sorte que ces trois livres de règles différents fonctionnent ensemble sans perdre la rigueur de la loi ou la flexibilité du guide ?

La Grande Idée du Document : Une Carte, Trois Destinations

Ce document, écrit par Vinod Dhiman, soutient que tenter de fusionner ces trois livres de règles en une seule liste géante et plate est une mauvaise idée. C'est comme essayer de fusionner une carte d'une ville, un code de la route et un manuel du conducteur sur une seule feuille de papier. Si vous faites cela, vous pourriez omettre le fait qu'une règle est une loi que vous devez obéir, tandis qu'une autre n'est qu'une suggestion. L'auteur suggère qu'au lieu de les aplatir, nous devrions construire une Taxonomie Unifiée de la Gouvernance de l'IA (UAGT). Voyez cela comme un « super-organisateur » ou un manuel d'instructions LEGO qui possède cinq couches différentes.

Voici comment le document décompose la structure :

1. Les Cinq Couches du « Super-Organisateur »
Le document affirme que nous devons examiner la gouvernance de l'IA à travers cinq prismes différents, empilés les uns sur les autres :

• La couche du « Pourquoi » (Finalité Normative) : Quel est l'objectif ? (ex. : « Ne pas être raciste », « Être sûr »).
• La couche du « Qui » (Sujet de Gouvernance) : Qui est responsable ? (ex. : Toute l'entreprise, le robot spécifique, ou la personne qui utilise le robot).
• La couche du « Risque » (Logique de Risque) : Comment mesurons-nous le danger ? (ex. : Est-ce dangereux parce qu'il est sur une « mauvaise liste », ou parce qu'il a réellement causé un dommage dans une situation spécifique ?).
• La couche du « Comment » (Architecture de Contrôle) : Quelles règles spécifiques suivons-nous ?
• La couche de la « Preuve » (Évidence) : Quels documents présentons-nous pour prouver que nous l'avons fait ?

Le document constate que ces trois livres de règles (ISO, NIST et UE) sont tous d'accord sur le « Pourquoi » et le « Comment » pour l'essentiel, mais qu'ils divergent sur la couche du « Qui » et du « Risque ». Par exemple, la loi européenne dit qu'un robot est à « Haut Risque » simplement parce qu'il est utilisé pour le recrutement (une règle basée sur une liste). Mais le guide américain pourrait dire : « Eh bien, mesurons plutôt quel dommage ce robot spécifique a réellement causé. » Le document soutient que nous ne devrions pas forcer ces réponses à être identiques. Au lieu de cela, l'UAGT garde les deux réponses côte à côte. C'est comme avoir un sac à dos avec deux poches : une pour l'étiquette « Haut Risque Juridique » et une pour l'étiquette « Risque Mesuré Faible ». Vous portez les deux, afin de ne pas avoir de problèmes avec la loi, tout en connaissant la situation réelle.

2. Les Huit « Compartiments Stables »
Pour rendre cela opérationnel, le document organise toutes les règles en huit compartiments stables (appelés domaines de gouvernance). Ce sont comme huit tiroirs différents dans un classeur qui ne changeront pas même si les lois sont mises à jour. Les compartiments sont :

1. Responsabilité (Accountability) : Qui est responsable ?
2. Évaluation des Risques : Vérifier les dangers.
3. Gouvernance des Données : S'assurer que les données sont propres et équitables.
4. Transparence : Être ouvert sur le fonctionnement de l'IA.
5. Surveillance Humaine : S'assurer qu'un humain surveille l'IA.
6. Robustesse et Sécurité : S'assurer que l'IA ne plante pas ou ne se fait pas pirater.
7. Surveillance (Monitoring) : Surveiller l'IA après son lancement.
8. Tiers et Modèles d'IA : Gérer les outils externes et les grands modèles d'IA.

Le document suggère que les entreprises peuvent placer leurs règles dans ces huit tiroirs. À l'intérieur de chaque tiroir, elles peuvent avoir une « bibliothèque de contrôles » qui satisfait les trois livres de règles à la fois. Par exemple, dans le tiroir « Surveillance Humaine », une entreprise écrit une règle qui dit : « Un humain doit vérifier la décision. » Cette règle unique peut être présentée à l'auditeur ISO (pour obtenir le certificat), à l'équipe NIST (pour montrer qu'ils gèrent les risques) et au régulateur de l'UE (pour prouver qu'ils respectent la loi).

3. Exemples du Monde Réel
Le document teste cette idée avec deux exemples : une IA médicale qui aide les médecins à lire des radiographies et une IA de notation de crédit qui décide qui obtient un prêt.

• Dans le cas médical, l'IA est à « Haut Risque » selon la loi européenne car il s'agit d'un dispositif médical. Le document montre comment l'entreprise peut utiliser l'UAGT pour créer un ensemble de documents prouvant que l'IA est sûre pour le médecin (NIST), sûre pour le système de gestion de l'hôpital (ISO) et conforme à la loi de l'UE.
• Dans le cas du crédit, l'IA est à « Haut Risque » car elle figure sur la « mauvaise liste » de l'UE pour les décisions financières. Le document montre que même si les tests internes de l'entreprise indiquent que l'IA est très sûre, elle doit tout de même suivre les règles strictes de l'UE. L'UAGT les aide à garder la version « Loi Stricte » et la version « Test Interne » séparées mais organisées dans le même dossier.

4. Ce que le Document Dit NE PAS ÊTRE POSSIBLE
Le document est très prudent quant à ce que ce système ne peut pas faire. Il exclut explicitement l'idée que l'obtention d'un certificat ISO signifie automatiquement que vous respectez la loi de l'UE. C'est comme dire que posséder un permis de conduire (ISO) signifie que vous pouvez conduire un camion (Loi de l'UE) sans permis spécial. Le document précise que vous ne pouvez pas « éliminer par la cartographie » les différences. Si l'UE dit qu'un système est à Haut Risque, il reste à Haut Risque, même si vos tests internes disent qu'il est à faible risque. Le document note également que ce système est un « schéma directeur » ou une « carte », et non un produit fini et éprouvé. Il n'a pas encore été testé dans une grande expérience réelle ; c'est une structure proposée basée sur l'analyse des documents.

5. L'« Effet Bruxelles » et les Changements Futurs
Le document mentionne que, puisque la loi de l'UE est très stricte, les entreprises du monde entier suivent souvent les règles de l'UE pour être en sécurité (c'est ce qu'on appelle l'« Effet Bruxelles »). L'UAGT aide les entreprises à faire cela efficacement. Cependant, le document avertit que les règles changent encore. L'UE vient de passer une mise à jour « Digital Omnibus » en 2026 qui a déplacé certaines échéances, et les États-Unis mettent à jour leurs guides. Le document suggère que, bien que les huit compartiments resteront les mêmes, les règles spécifiques à l'intérieur de ces compartiments pourraient devoir être mises à jour à mesure que les lois évoluent.

En Résumé
Le document conclut que nous ne devrions pas essayer de forcer les trois livres de règles à être identiques. Au lieu de cela, nous devrions utiliser cette « Taxonomie Unifiée » pour construire un système de classement intelligent. Ce système permet aux entreprises d'utiliser un ensemble de règles et une preuve unique pour satisfaire la loi stricte de l'UE, le guide flexible des États-Unis et la norme de certification mondiale, tout en même temps. Cela permet de gagner du temps et de l'argent, tout en gardant les règles juridiques strictes et séparées des règles internes de l'entreprise. C'est une façon de mettre fin au chaos de posséder trois livres de règles différents sans prétendre qu'ils sont la même chose.