1 Intelligence artificielle
1.1 Historique
L'évolution de l'intelligence artificielle depuis les années 1990, norme certifiable ISO 42001
Dès l’Antiquité, des mythes et légendes évoquent des êtres artificiels doués d’intelligence ou de conscience, reflétant une fascination ancienne pour la création de machines intelligentes.
Au XXe siècle, des philosophes et mathématiciens, comme Alan Turing, posent les bases théoriques. En 1950, Turing propose le célèbre "test de Turing", une méthode pour évaluer l’intelligence d’une machine en mesurant sa capacité à imiter une conversation humaine. Il pose la question clé : « Les machines peuvent-elles penser ? »
En 1956 nait le terme « Artificial Intelligence » (Intelligence artificielle – IAintelligence artificielle) lors de la conférence de Dartmouth, organisée par John McCarthy, Marvin Minsky, Claude Shannon et Herbert Simon.
Les chercheurs développent les premiers programmes d’IAintelligence artificielle et réseaux de neurones artificiels, comme le Perceptron de Frank Rosenblatt. Les attentes sont élevées, avec des prédictions optimistes sur la création rapide de machines aussi intelligentes que l’homme. Cependant, les limites technologiques et le manque de données entraînent un premier « hiver de l’IA » dans les années 1970, marqué par une réduction des financements.
L’IAintelligence artificielle connaît un renouveau avec le développement des systèmes experts et l’apprentissage automatique (machine learning). Les algorithmes deviennent capables de s’améliorer grâce aux données, ouvrant la voie à des applications plus dynamiques.
Les progrès en puissance de calcul et l’émergence des processeurs graphiques accélèrent les recherches, notamment en apprentissage profond (deep learning).
Les méga données et les avancées en apprentissage profond permettent des percées majeures :
- reconnaissance d’images
- traitement du langage naturel
- voitures autonomes, etc.
Quelques dates significatives :
1997 : Deep Blue (IBM) bat Garry Kasparov, le champion du monde d’échecs.
2006 : Geoffrey Hinton redonne vie aux réseaux de neurones profonds (deep learning).
2012 : AlexNet (réseau neuronal de Hinton) sur ImageNet marque une victoire spectaculaire en reconnaissance d’images.
2016 : AlphaGo (Google) bat Lee Sedol, l’un des meilleurs joueurs professionnels de Go au monde.
2022–2025 : ChatGPT, Claude, Gemini, Copilot, Mistral etc. rendent l’IA générative accessible au grand public.
Face à la croissance rapide de l’IAintelligence artificielle et aux enjeux éthiques, de sécurité et de fiabilité qu’elle soulève, l’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI) travaillent conjointement à l’élaboration d’un cadre normatif spécifique.
L’ISO/IEC 42001 est la première norme internationale dédiée au système de management de l’intelligence artificielle (IAintelligence artificielle).
La norme est générique car elle s'applique au système de managementensemble de processus permettant d'atteindre les objectifs (voir aussi ISO 9000, 3.5.3) de toute organisationstructure qui satisfait un besoin (voir aussi ISO 9000, 3.2.1), sans aucune contrainte relative à la taille, l'activité ou le type. C'est une norme volontaire internationale qui permet la certification par un organisme accrédité (de certification).
La norme ISO/IEC 42001 a été publiée en décembre 2023, marquant une étape majeure dans l’encadrement de l’IAintelligence artificielle à l’échelle mondiale. Elle est devenue la première norme certifiable pour les systèmes de managementensemble de processus permettant d'atteindre les objectifs (voir aussi ISO 9000, 3.5.3) d’IAintelligence artificielle, offrant une méthodologie structurée pour la gestion des risquesvraisemblance d'apparition d'une menace ou d'une opportunité et de sa gravité (voir aussi ISO Guide 73, 1.1), l’éthique, la transparence et l’amélioration continueprocessus permettant d'améliorer la performance globale de l'entreprise (voir aussi ISO 9000, 3.3.2).
L’ISO 42001 vise à aider les organisationsstructure qui satisfait un besoin (voir aussi ISO 9000, 3.2.1) à maîtriser les biais algorithmiques, protéger la vie privée, assurer la confidentialité des données et garantir la conformitésatisfaction d'une exigence spécifiée (voir aussi ISO 9000, 3.6.11) aux réglementations, comme l’AI Act en Europe.
Elle s’appuie sur une structure commune (HLS – High Level Structure) pour faciliter son intégration avec d’autres normes de management, comme l’ISO 27001 (sécurité de l’information).
1.2 Application
Domaine d'application de l'IA
L'intelligence artificielle est l’affaire de tous
La norme ISO/IEC 42001 est applicable à toute entreprise qui conçoit, développe, déploie ou utilise un systèmeensemble de processus interactifs (voir aussi ISO 9000, 3.5.1) d’intelligence artificielle.
Son objectifbut mesurable à atteindre est de rendre la gestion de l’IAintelligence artificielle sûre, transparente, responsable et conforme.
Domaines d’application pratique :
- industrie, fabrication :
- contrôle de la qualité automatisé
- maintenance prédictive
- optimisation des lignes de production
- santé, biotechnologie :
- diagnostic automatisé
- analyse d’imagerie médicale
- suivi patient par IA
- finance, assurance :
- notation de crédit
- détection de fraude
- analyse des risques
- éducation, recherche :
- systèmes de tutorat intelligent
- correction automatisée
- traduction
- IA éducative
- transport, logistique :
- véhicules autonomes
- planification dynamique des itinéraires
- gestion intelligente des entrepôts
- informatique, cybersécurité :
- détection d’anomalies
- défense automatisée
- IA prédictive pour menaces
- secteur public, collectivités :
- IA pour services citoyens
- sécurité urbaine
- gestion des données publiques
- commerce, marketing :
- recommandation de produits
- personnalisation client
- analyse comportementale
Niveaux d’application :
- stratégique :
- gouvernance
- politique IA
- conformité réglementaire
- opérationnel :
- processus de conception
- validation
- déploiement
- maintenance des modèles IA
- technique :
- gestion des données
- architecture des algorithmes
- sécurité et explicabilité
- éthique, conformité :
- évaluation des biais
- traçabilité
- documentation
- responsabilité sociétale
La mise en place d’un système de managementensemble de processus permettant d'atteindre les objectifs (voir aussi ISO 9000, 3.5.3) d’IAintelligence artificielle est toujours :
- issue d’une décision stratégique de la direction
- en accord avec :
- les objectifs de l’organisation
- la culture d’entreprise
- les processus métier
1.3 Principes et étapes
Démarche IA, principes de management de la qualité, préparation et mise en place d'un SMIA, cycle de Deming
L'intelligence artificielle est un processus
La démarche intelligence artificielle (IAintelligence artificielle) est un état d'esprit qui part de la directiongroupe ou personnes chargés de la gestion au plus haut niveau de l'entreprise (voir aussi ISO 9000, 3.1.1) comme décision stratégique prioritaire et s'étend à l'ensemble du personnel. La directiongroupe ou personnes chargés de la gestion au plus haut niveau de l'entreprise (voir aussi ISO 9000, 3.1.1) définit la politique IA, dans laquelle sont fixés les objectifsbut mesurable à atteindre IAintelligence artificielle, qui sont applicables à toutes les activitésensemble de tâches pour obtenir un livrable. L'outil utilisé pour atteindre les objectifsbut mesurable à atteindre est le système de management de l’intelligence artificielle(SMIA).
Tout système de management de l’intelligence artificielle comprend trois démarches distinctes et interdépendantes :
- l’approche processus
- l’approche risque
- l’amélioration continue
Les sept principes de management de la qualitéactivités permettant de maîtriser une entreprise en matière de qualité (voir aussi ISO 9000, 3.3.4) (cf. figure 1-1) nous aiderons à obtenir des performancesrésultats mesurables et attendus du système de management (voir aussi ISO 9000, 3.7.8) durables (cf. ISO 9000 : 2015, § 2.3).
Figure 1-1. Les 7 principes de management de la qualité
Une démarche bien préparée est à moitié réussie
La démarche pour mettre en œuvre un SMIA passe par plusieurs étapes. Un exemple de préparation est montré en figure 1-2.
Figure 1-2. Préparation d'un SMIA
L'étape 1 comporte la détermination des besoins et attentes (exigencesbesoin ou attente implicite ou explicite (voir aussi ISO 9000, 3.6.4)) des parties prenantespersonne, groupe ou organisation pouvant affecter ou être affecté par une entreprise (voir aussi ISO 26000, 2.20) :
- personnel
- clients, consommateurs
- concurrents
- actionnaires, investisseurs
- prestataires externes (fournisseurs, sous-traitants, partenaires)
- organisations et associations de branche
- autorités légales et réglementaires
L'implication de la directiongroupe ou personnes chargés de la gestion au plus haut niveau de l'entreprise (voir aussi ISO 9000, 3.1.1) à son plus haut niveau est réellement indispensable. Les conseils d'un consultant sont souvent sollicités. C’est le moment pour réaliser un état des lieux du système de managementensemble de processus permettant d'atteindre les objectifs (voir aussi ISO 9000, 3.5.3) (ou de ce qui existe). Choisir un organisme externe de certification.
Une des questions clés qui vient très vite (étape 2) est la nécessité de cette décision. Si cela n'est vraiment pas nécessaire ou si l'estimation des coûts de la démarche de certification dépasse les ressources disponibles ou la valeur des actifs à protéger, on fera mieux d'abandonner tout de suite.
Les bénéfices de la mise en place d'un système d’intelligence artificielle sont souvent :
- image de l'organisation améliorée
- développement et utilisation éthique et responsable du système d'IA
- responsabilités et obligations mieux définies (obligations légales à jour)
- vraisemblance d’apparition diminuée d’incidents IA
- niveau de maîtrise des risques élevé
- ruptures d’activité évitées
- coûts d’assurance réduits
- implication active du personnel dans l’amélioration continue du SMIA
- forte intégration de l’IA aux processus métier
- un pas devant la concurrence
- confiance améliorée des parties prenantes
- part de marché accrue
- meilleure performance financière
Bénéfices d’une application réussie du SMIA :
- conformité réglementaire (AI Act européen, RGPD)
- maîtrise des risques IA (biais, sécurité, conformité)
- réduction des risques juridiques, techniques et de réputation
- fiabilité, traçabilité et performance accrues des pratiques et processus IA
- valorisation de l’entreprise (label IA responsable)
- confiance accrue des clients et partenaires
Pour que l’entreprise ne soit pas bousculée par la résistance aux changements, quelques-uns des principaux défis liés à l’adoption de la norme ISO 42001 et les moyens de les surmonter sont les suivants :
- résistance culturelle (les équipes sont habituées aux processus informels ou même au travail en silos et peuvent percevoir la mise en œuvre de la norme comme une bureaucratie supplémentaire)
- impliquez les leaders de tous les domaines dès le début des ateliers pour les sensibiliser aux avantages de la certification ISO 42001 (tels qu’une sécurité accrue, le renforcement de la réputation, l’amélioration de l’efficacité opérationnelle)
- communiquez les gains tangibles qu’offre la norme, comme la réduction des incidents de biais dans les modèles ou l’amélioration de la qualité des données
- nommez des « ambassadeurs » de l’IA dans chaque département pour travailler en diffusant les bonnes pratiques en interne de manière naturelle et progressive
- complexité technique (en tant que nouvelle technologie, il peut être difficile d’interpréter les exigences de gouvernance des données, d’évaluation des risques algorithmiques et de surveillance humaine requises par la norme ISO 42001, ce qui peut nécessiter une expertise avancée spécifique)
- associez-vous à des cabinets de conseil spécialisés dans la gouvernance de l’IA et/ou embauchez des experts dédiés
- adoptez une approche incrémentielle, qui commence par des processus pilotes sur des projets à faible risque avant de s’étendre à l’ensemble de l’organisation
- utilisez des cadres et des outils open-source qui facilitent la mise en œuvre de mesures d’explicabilité et de surveillance
- manque de compétences en interne (les équipes peuvent ne pas être familières avec les concepts de gestion des risques, l’éthique de l’IA ou la conformité dans le contexte de l’utilisation de l’IA)
- planifiez un programme de formation continue, combinant formation en présentiel, e-learning et mentorat
- encouragez les certifications en IA responsable et d’autres normes ISO qui complètent la norme 42001
- intégrez l’ISO 42001 dans les plans de carrière, en reconnaissant et en récompensant les compétences dans ce domaine et en veillant à ce que les employés connaissent en détail les exigences de la norme
- coût initial de mise en œuvre (les investissements dans le conseil, la technologie et la formation peuvent être considérés comme un obstacle budgétaire, en particulier dans les petites entreprises)
- élaborez une étude de cas qui quantifie les risques évités (amendes, retouches, perte de marché) par rapport à l’investissement réalisé, prouvant ainsi le caractère avantageux de l’adoption d’une certification ISO 42001
- décomposez les dépenses en phases :
- diagnostic
- déploiement
- pilote
- certification
- profitez de subventions, d’incitations sectorielles ou de lignes de crédit pour l’innovation et la numérisation
- intégration avec les processus existants (pour les entreprises qui utilisent plusieurs applications, il peut être difficile d’adapter les systèmes et les flux de travail existants pour répondre aux exigences de documentation ISO, d’audit et d’amélioration continue)
- cartographiez les processus actuels et identifiez les points de convergence avec la norme
- utilisez des applications et des plateformes de gouvernance des données qui se connectent aux systèmes d’intelligence économique et aux pipelines de l’apprentissage machine. Pour faciliter cela, l’idéal est d’avoir un système de gouvernance, de risque et de conformité
- documentez les modifications de manière agile, à l’aide de modèles et de listes de mesure pour simplifier la gestion des documents
- maintien de la conformité dans le temps (après la certification initiale, il peut être difficile de maintenir à niveau l’audit de suivi et une mise à jour continus)
- établissez des cycles d’audit interne réguliers, avec une responsabilité claire au sein d’un comité de gouvernance de l’IA
- intégrez des indicateurs de performance (KPI) dans les tableaux de bord de l’entreprise pour surveiller activement des indicateurs tels que le taux de biais, le temps de réponse et les incidents
- favoriser une culture de rétroaction et d’amélioration continue, où les leçons tirées génèrent des revues périodiques des politiques et des procédures
Plus d’un million et demi d’entreprises dans le monde entier ne peuvent pas se tromper !
Naaia est une entreprise française spécialisée dans la conformité IA / gestion des risques IA. Elle souhaitait ouvrir la voie en France pour montrer qu’une démarche complète, opérationnelle et certifiée est possible au moyen d’une norme reconnue internationalement pour rassurer clients et partenaires.
Naaia a obtenu la certification ISO 42001 le 10 septembre 2024, devenant ainsi la première entreprise française certifiée selon cette norme, et l’une des premières en Europe et dans le monde. Cette certification atteste de son engagement en faveur d’une gestion éthique, responsable et performante de son système d’intelligence artificielle et renforce également sa position sur le marché de la conformité IA.
La troisième étape doit déterminer si cette démarche reçoit l'approbation du personnel. Une campagne de communication en interne est lancée sur les objectifs du SMIA. Le personnel est sensibilisé et comprend que sans sa participation le projet ne pourra aboutir.
Ayez confiance, le succès viendra avec l'implication et l'effort de tout le personnel !
Définir la vision (ce que nous voulons être), la mission (pourquoi nous existons) et le plan stratégique de l'organisationstructure qui satisfait un besoin (voir aussi ISO 9000, 3.2.1). L'étape suivante (4) comprend l'établissement d'une ébauche de la politique IAintelligence artificielle et des objectifsbut mesurable à atteindre IA. Si vous ne possédez pas encore un exemplaire de la norme ISO 42001, c'est le moment de l'obtenir (cf. le § 2.1 du présent module).
La planification est la dernière étape (5) de la préparation du projet d'obtention de la certification ISO 42001. Une période raisonnable se situe entre 12 à 24 mois (chaque organisationstructure qui satisfait un besoin (voir aussi ISO 9000, 3.2.1) est spécifique et unique). Les ressources (financières et en personnel) sont confirmées par la directiongroupe ou personnes chargés de la gestion au plus haut niveau de l'entreprise (voir aussi ISO 9000, 3.1.1). L'engagement de la directiongroupe ou personnes chargés de la gestion au plus haut niveau de l'entreprise (voir aussi ISO 9000, 3.1.1) est formalisé par écrit et communiqué à l'ensemble du personnel. Une personne est nommée chef du projet d’obtention du certificat ISO 42001.
L'établissement et la mise en place d’un SMIA sont montrés dans la figure 1-3.
Figure 1-3. Mise en œuvre du SMIA
L'étape 1 consiste à identifier et définir les processusactivités qui transforment des éléments d'entrée en éléments de sortie (voir aussi ISO 9000, 3.4.1), les interactions, les pilotes, les responsabilités et les brouillons de certains documentstout support permettant le traitement d'une information (voir aussi ISO 9000, 3.8.5 et information documentée). Avec la participation du maximum de personnes disponibles sont rédigés les premières versions des fiches de processusactivités qui transforment des éléments d'entrée en éléments de sortie (voir aussi ISO 9000, 3.4.1), des descriptions de fonction et des instructions de travail.
Dans l'étape 2 sont fixées les ressources nécessaires pour atteindre les objectifsbut mesurable à atteindre IA. Une planification des tâches, responsabilités et délais est établie. Une formation des auditeurs internes est prise en compte.
L'étape 3 permet de définir et mettre en œuvre les méthodes permettant de mesurer l’efficacitécapacité de réalisation des activités planifiées avec le minimum d'efforts (voir aussi ISO 9000, 3.7.11) et l’efficiencerapport financier entre le résultat obtenu et les ressources utilisées (voir aussi ISO 9000, 3.7.10) de chaque processusactivités qui transforment des éléments d'entrée en éléments de sortie (voir aussi ISO 9000, 3.4.1). Des audits internes permettent d'évaluer le degré de la mise en place du systèmeensemble de processus interactifs (voir aussi ISO 9000, 3.5.1).
Les non-conformitésnon-satisfaction d'une exigence spécifiée (voir aussi ISO 9000, 3.6.9) en tout genre sont répertoriées à l'étape 4. Une esquisse des différents gaspillagestout ce qui ajoute des coûts mais pas de valeur est établie. Des actions correctivesaction pour éliminer les causes d'une non-conformité ou tout autre événement indésirable et empêcher leur réapparition (voir aussi ISO 9000, 3.12.2) sont mises en place et documentées.
Une première appréciation des outils et domaines d'application du processusactivités qui transforment des éléments d'entrée en éléments de sortie (voir aussi ISO 9000, 3.4.1) d'amélioration continueprocessus permettant d'améliorer la performance globale de l'entreprise (voir aussi ISO 9000, 3.3.2) est faite à l'étape 5. Des risquesvraisemblance d'apparition d'une menace ou d'une opportunité et de sa gravité (voir aussi ISO Guide 73, 1.1) sont déterminés, des actions sont planifiées et des opportunités d’amélioration sont saisies. Une approche de prévention des non-conformitésnon-satisfaction d'une exigence spécifiée (voir aussi ISO 9000, 3.6.9) et d'élimination des causes est établie. La communication en interne et en externe est établie et formalisée.
Pour effectuer l'audit à blanc du SMIA (étape 6) les documentstout support permettant le traitement d'une information (voir aussi ISO 9000, 3.8.5 et information documentée) sont vérifiés et approuvés par les personnes appropriées. Une revue de directionexamen périodique réalisé par la direction du système de management pour son amélioration continue permet d'évaluer le respect des exigencesbesoin ou attente implicite ou explicite (voir aussi ISO 9000, 3.6.4) applicables. La politique et les objectifsbut mesurable à atteindre IAintelligence artificielle sont finalisés. Un responsable IAintelligence artificielled'une autre organisationstructure qui satisfait un besoin (voir aussi ISO 9000, 3.2.1) ou un consultant pourra fournir de précieuses remarques, suggestions et recommandations.
Quand le système est correctement mis en place et respecté, la certification du SMIA par un organisme externe devient une formalité (étape 7).
Un exemple de plan de projet de certification comportant 26 étapes est présenté dans l'annexe 01. 
Une méthode pertinente pour évaluer le niveau de performancerésultats mesurables et attendus du système de management (voir aussi ISO 9000, 3.7.8) de votre système de management de l’intelligence artificielle est la logique RADAR du modèle d’excellence de l’EFQM (European Foundation for Quality Management) avec ses 9 critères et sa note globale sur 1000 points.
Le cycle PDCA, ou cycle de Deming (figure 1-4) s’applique à la maîtrise de tout processusactivités qui transforment des éléments d'entrée en éléments de sortie (voir aussi ISO 9000, 3.4.1). Les cycles PDCA (de l'anglais Plan, Do, Check, Act ou Planifier, Dérouler, Comparer, Agir) sont une base universelle de l’amélioration continueprocessus permettant d'améliorer la performance globale de l'entreprise (voir aussi ISO 9000, 3.3.2).
Figure 1-4. Le cycle de Deming
- Plan – Planifier, définir le contexte, les enjeux et les processus, faire preuve de leadership, établir la politique et les objectifs (articles 4, 5, 6 et 7)
- Do – Dérouler, traiter les risques, développer, mettre en œuvre et maîtriser les processus, faire preuve de leadership, apporter le support (articles 5, 7 et 8)
- Check – Comparer, vérifier, évaluer les risques, la performance, inspecter, analyser les données, réaliser des audits et des revues de direction, faire preuve de leadership (articles 5 et 9)
- Act – Agir, adapter, faire preuve de leadership, traiter les non-conformités, réagir avec des actions correctives et trouver de nouvelles améliorations (nouveau PDCA), (articles 5 et 10)
Pour approfondir ses connaissances sur le cycle de Deming et ses 14 points de la théorie du management vous pouvez consulter le livre "Hors de la crise" W. Edwards Deming, Economica, 2002 paru pour la première fois en 1982.