MAP
5 catégoriesConnaître le contexte et les risques- 1Contexte
- 2Catégorisation
- 3Capacités et objectifs
- 4Risques des composants
- 5Impacts
Contexte · Catégorisation · Capacités et objectifs · Risques des composants · ImpactsMEASURE
4 catégoriesLes évaluer, les analyser et les suivre- 1Méthodes et indicateurs
- 2Fiabilité
- 3Suivi des risques
- 4Retour sur les mesures
Méthodes et indicateurs · Fiabilité · Suivi des risques · Retour sur les mesuresMANAGE
4 catégoriesPrioriser et agir- 1Prioriser et traiter
- 2Bénéfices et impacts
- 3Risques liés aux tiers
- 4Réponse et rétablissement
Prioriser et traiter · Bénéfices et impacts · Risques liés aux tiers · Réponse et rétablissement
GOVERN
S'applique aux trois6 catégories- 1Politiques et processus
- 2Responsabilité
- 3Diversité des effectifs
- 4Culture du risque
- 5Implication des acteurs de l'IA
- 6Chaîne d'approvisionnement
Vous choisissez de l’adopter, souvent pour repérer les lacunes de votre gestion des risques liés à l’IA.
Quiconque conçoit, déploie ou utilise des systèmes d’IA. Ce sont des lignes directrices d’application volontaire, pas une loi.
GOVERN 6 couvre les risques d’IA liés aux logiciels, aux données et aux chaînes d’approvisionnement tiers.
Quiconque exploite une IA conçue par d’autres, y compris les fonctions d’IA intégrées aux logiciels que vous utilisez déjà.
Le NIST AI 600-1 ajoute des actions pour 12 risques de l’IA générative, rattachées au RMF.
Quiconque développe ou utilise l’IA générative, des assistants conversationnels aux outils de création de contenu et de code.
Elle prend en compte le respect substantiel du profil d’IA générative du NIST pour l’un des moyens de défense.
Quiconque exerce une activité au Texas, où la loi de l’État sur l’IA est entrée en vigueur le 1er janvier 2026.
GOVERN 1
Mettez en place des politiques, processus et pratiques pour cartographier, mesurer et gérer les risques liés à l’IA. GOVERN est transversale : elle traverse les trois autres fonctions et les rend possibles.
GOVERN 1.6
Disposez de mécanismes d’inventaire des systèmes d’IA, dotés de ressources selon vos priorités de risque. Vous ne pouvez ni cartographier, ni mesurer, ni gérer une IA que vous n’avez pas repérée.
GOVERN 2
Mettez en place des structures de responsabilité, afin que les bonnes équipes et les bonnes personnes disposent de l’autorité, de la responsabilité et de la formation nécessaires pour gérer les risques liés à l’IA.
GOVERN 6
Disposez de politiques et de procédures pour les risques et les bénéfices de l’IA liés aux logiciels et aux données tiers, ainsi qu’à d’autres enjeux de la chaîne d’approvisionnement.
MAP 1 · MAP
Consignez la finalité du système, où et comment il sera utilisé, ainsi que les lois, normes et attentes applicables (MAP 1.1). Un même modèle peut présenter des risques différents selon le contexte.
MAP 5 · MAP
Caractérisez la manière dont le système pourrait affecter les individus, les groupes, les communautés, les organisations et la société. Ces impacts orientent ce que vous mesurez ensuite.
MEASURE 2
Évaluez les caractéristiques de fiabilité des systèmes, avec les méthodes et les métriques choisies au titre de MEASURE 1. Documentez les jeux de test, les métriques et les outils utilisés (MEASURE 2.1).
MEASURE 3
Disposez de mécanismes pour suivre dans la durée les risques identifiés, y compris imprévus et émergents, ainsi que les performances du système une fois déployé.
MANAGE 1
Déterminez si le système atteint sa finalité prévue et s’il doit être poursuivi (MANAGE 1.1). Priorisez ensuite les risques à partir des constats de MAP et MEASURE, et traitez-les.
NIST, AI RMF
Le NIST n’inflige aucune amende et ne fait rien appliquer. L’adoption du cadre relève de votre choix.
Texas HB 149 (TRAIGA)
La loi texane sur l’IA prend en compte le profil d’IA générative du NIST pour l’un des moyens de défense
Texas HB 149, §552.105(a)
Sanction maximale au Texas par violation non corrigeable, soit la responsabilité que ce moyen de défense permet d’éviter
Pas en octobre 2026. Selon le NIST, l’AI RMF 1.0 « est en cours de révision dans le cadre de l’AI Action Plan de la Maison Blanche », mais aucun texte révisé n’a été publié et aucune date n’a été fixée. [1]
Depuis le 1er janvier 2026, la loi texane sur l’IA protège le défendeur qui découvre une violation grâce à un examen interne tout en respectant pour l’essentiel le profil d’IA générative du NIST ou un autre cadre reconnu. [5]
Le NIST décrit le Playbook comme « ni une liste de contrôle, ni une série d’étapes ». Il propose des actions volontaires pour chaque sous-catégorie, et vous retenez celles qui correspondent à votre contexte. [3]
Le NIST AI RMF est-il obligatoire ?
Non. Le NIST l’a publié pour un usage volontaire, et il n’existe aucune certification. Il apparaît pourtant dans la loi : la loi texane sur l’IA, appelée TRAIGA, considère le respect substantiel du profil d’IA générative du NIST comme un élément de l’un des moyens de défense en matière de responsabilité. Les organisations l’adoptent aussi par choix, souvent pour repérer les lacunes de leur gestion des risques liés à l’IA et donner à leurs équipes un langage commun pour en parler.
Quelles sont les quatre fonctions du NIST AI RMF ?
GOVERN définit les politiques et les responsabilités pour gérer les risques liés à l’IA, et traverse les trois autres fonctions. MAP établit le contexte de chaque système et ses impacts possibles. MEASURE teste et suit les risques, avec des méthodes et des métriques choisies. MANAGE priorise les risques, les traite et planifie la réponse. Ensemble, elles regroupent 19 catégories : six dans GOVERN, cinq dans MAP et quatre chacune dans MEASURE et MANAGE.
Qu’est-ce que le profil d’IA générative du NIST (AI 600-1) ?
C’est un complément à l’AI RMF, publié le 26 juillet 2024, et non un remplacement. Il recense 12 risques propres à l’IA générative ou aggravés par elle : informations chimiques, biologiques, radiologiques ou nucléaires (NRBC), confabulation, contenus dangereux ou haineux, confidentialité des données, impacts environnementaux, biais préjudiciables, configuration humain-IA, intégrité de l’information, sécurité de l’information, propriété intellectuelle, contenus obscènes ou abusifs, et intégration dans la chaîne de valeur. Il associe ensuite des actions suggérées aux sous-catégories du cadre.
Quand le NIST publiera-t-il le cadre révisé ?
Le NIST ne l’a pas indiqué. L’America’s AI Action Plan de juillet 2025 lui a demandé de réviser le cadre, et le NIST indique que le Playbook sera mis à jour une fois ce travail achevé. D’ici là, la version 1.0 et le profil d’IA générative restent en vigueur. En avril 2026, le NIST a également publié une note conceptuelle pour un profil consacré aux infrastructures critiques. Dans Enzai, les cadres sont versionnés : vous choisissez quand une évaluation passe à une nouvelle version.
Peut-on obtenir une certification NIST AI RMF ?
Non. Il n’existe aucune certification pour l’AI RMF. Si vous avez besoin d’un certificat, l’ISO/IEC 42001 est la norme certifiable pour un système de management de l’IA, et ce sont des organismes de certification accrédités qui délivrent les certificats. Les deux couvrent des domaines similaires, notamment la responsabilité, l’appréciation des risques et le traitement des risques : vous pouvez donc les mener comme un seul programme plutôt que de faire deux fois le même travail.
Comment Enzai vous aide-t-il avec le NIST AI RMF ?
Vous pouvez créer l’AI RMF comme votre propre cadre dans Enzai, avec ses sous-catégories en guise de contrôles, puis évaluer chaque système d’IA au regard de ce cadre. Classez d’abord un système, et seuls les contrôles adaptés sont créés. Les responsables, les échéances et les approbations servent GOVERN. L’inventaire sert GOVERN 1.6 et MAP. Les métriques enregistrées comme preuves servent MEASURE, et le registre des risques, avec les mesures d’atténuation et leurs preuves, sert MANAGE.
Sources · Vérifiées en oct. 2026
