Ce guide ne constitue pas un avis juridique.
De quoi s’agit-il ?
Le cadre actuel de gestion des risques liés à l’IA de NIST est l’AI RMF 1.0, publié le 26 janvier 2023. Ce cadre volontaire aide les organisations à identifier et gérer les risques de conception, de développement, d’achat et d’utilisation des systèmes d’IA. NIST a aussi publié NIST-AI-600-1, Cadre de gestion des risques liés à l’IA : profil de l’intelligence artificielle générative, le 26 juillet 2024. Lors de la vérification du 5 octobre 2026, NIST indiquait que l’AI RMF 1.0 était en cours de révision dans le cadre du plan d’action IA de la Maison-Blanche.
Le cadre s’organise autour de quatre fonctions :
| Fonction | Ce qu’il demande |
|---|---|
| Gouverner | Définir les politiques, les rôles et les responsabilités liés à l’IA dans toute l’organisation. |
| Cartographier | Comprendre le contexte : à quoi sert le système d’IA, qui l’utilise et ce qui pourrait mal se passer. |
| Mesurer | Évaluer et suivre les risques liés notamment à l’exactitude, à la fiabilité, à la confidentialité et à la sécurité. |
| Gérer | Hiérarchiser les risques, agir et poursuivre leur surveillance dans le temps. |
Ses exigences pour l’IA et les données
- Des responsabilités claires pour chaque système d’IA et ses décisions
- Savoir où vont les données et qui peut y accéder
- Mesurer si les résultats sont assez exacts pour l’usage prévu
- Conserver les dossiers permettant de vérifier ce que le système a fait
- Un moyen de réagir en cas de problème
- Pour l’IA générative, examiner les risques de confabulation, de confidentialité des données, de résultats nuisibles ou biaisés, de détournement et d’intégrité de l’information, en utilisant le profil NIST-AI-600-1 lorsqu’il convient au cas d’usage
L’apport de Matrix
| Fonction | L’apport de Matrix |
|---|---|
| Gouverner | Votre équipe détient tous les comptes et définit qui utilise quelles applications et quels fichiers. |
| Cartographier | Chaque processus commence par une tâche, un résultat et un évaluateur définis et convenus par écrit avant le début des travaux. |
| Mesurer | L’exactitude est mesurée selon vos exigences. Les processus indiquent un niveau de confiance et signalent les éléments incertains pour vérification. |
| Gérer | Les journaux d’audit locaux permettent la vérification et l’export. Modèles et logiciels ne changent que par des mises à jour que vous approuvez. |
| Données et confidentialité | Matrix fonctionne sur votre site, hors ligne par défaut, et ne se connecte à un service externe que si votre équipe informatique l’approuve, ce qui limite les destinations possibles des données. |
Un déploiement local ne certifie pas un système d’IA au regard de l’AI RMF. L’organisation doit toujours appliquer le cadre, usage par usage.
Ce qui reste à votre charge
- Politique IA, tolérance au risque et rôles de gouvernance de votre organisation
- Décider quels usages de l’IA sont acceptables
- Examiner résultats et journaux d’audit au regard de vos exigences
- Former le personnel
- Appliquer le cadre à tous vos systèmes d’IA, pas seulement à Matrix
- Suivre la révision de l’AI RMF de NIST et décider quand adapter vos contrôles internes
Questions à poser à tout fournisseur d’IA
- Où nos données sont-elles traitées et stockées, et qui peut y accéder ?
- Comment l’exactitude est-elle mesurée pour notre tâche précise ?
- Que se passe-t-il lorsque le système est incertain ?
- Quels enregistrements le système conserve-t-il, et qui les détient ?
- Comment modèles et logiciels évoluent-ils, et qui approuve les changements ?