Périmètre
Un chatbot d’assistance et un modèle de tarification d’assurance santé n’ont pas les mêmes obligations. Déterminer quels contrôles conviennent à quel système est un travail manuel et long.
Atténuation
Une revue identifie un risque et l’ajoute à un tableur. Personne ne vérifie si la correction a été faite.
Audit
Résultats de tests, politiques et validations dorment dans des dossiers partagés et des fils de discussion, jusqu’à ce que quelqu’un les réclame avant un audit.
Chaque risque est évalué avant et après son traitement.
Pourquoi c’est important
La conformité aux règles sur l’IA n’est pas une validation ponctuelle. Pour un système d’IA à haut risque, l’EU AI Act fait de la gestion des risques un processus qui couvre tout le cycle de vie du système, avec des réexamens réguliers.1 Son fournisseur doit conserver la documentation technique pendant dix ans après sa mise sur le marché.2 Une fois ces règles applicables, à partir de décembre 2027, les enfreindre peut coûter jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial.3 La documentation doit suivre le rythme du travail.
Qu’est-ce que la gestion des risques et de la conformité de l’IA ?
La gestion des risques et de la conformité de l’IA consiste à vérifier les systèmes d’IA au regard des lois et normes qui s’y appliquent, à traiter leurs risques et à conserver la preuve que ce travail a été fait. Elle transforme des référentiels comme l’EU AI Act en tâches assorties de responsables et d’échéances.
Quels référentiels Enzai couvre-t-il ?
Enzai mène des évaluations au regard de l’EU AI Act, de l’ISO 42001 et du NIST AI RMF. Vous pouvez aussi créer vos propres référentiels, comme une politique IA interne, avec leurs propres contrôles et classifications.
Utiliser Enzai nous rend-il conformes ?
Enzai se charge de l’organisation : évaluations, risques et preuves au même endroit, le travail étant approuvé par vos propres valideurs. C’est à vos auditeurs et aux autorités de contrôle de dire si vous respectez une loi ou réussissez un audit.
Qu’est-ce qui constitue une preuve ?
Cela dépend du contrôle : un formulaire rempli, un document, ou des métriques enregistrées sur un système ou ses modèles, qui se renseignent automatiquement. Pour les risques, les preuves sont les liens, notes ou fichiers qui montrent qu’une mesure d’atténuation est en place.
Comment les risques sont-ils notés ?
Chaque risque est noté selon son impact et sa probabilité, avant et après traitement, pour que vous voyiez ce qu’une mesure d’atténuation a changé. Le registre affiche les deux côte à côte.
Que se passe-t-il quand un référentiel évolue ?
L’évaluation signale qu’une nouvelle version est disponible, et vous basculez quand vous êtes prêt. Conservez vos réponses existantes ou repartez de zéro : les contrôles nouveaux ou mis à jour sont signalés.
