Trois noms reviennent dès qu’une organisation décide de structurer sa gouvernance de l’IA. Ils sont régulièrement présentés comme un choix.
Ils n’en sont pas un, et l’erreur coûte cher : on en évalue trois, on en retient un, puis on recommence l’exercice complet six mois plus tard quand un client ou un régulateur demande l’autre.
Ce que chacun fait, et que les autres ne font pas
NIST AI RMF : la méthode
Un cadre volontaire, organisé en quatre fonctions.
Govern met en place la supervision, les politiques et la responsabilité. Map identifie le contexte et les risques d’un système donné. Measure établit comment on évalue la performance et le niveau de risque. Manage met les contrôles en place et maintient la surveillance.
Ce qu’il n’est pas : certifiable. Personne ne vous délivrera d’attestation NIST AI RMF, et ce n’est pas une lacune. Ce cadre répond à « comment raisonner sur le risque », pas à « comment le prouver ».
ISO 42001 : le système auditable
Une norme de système de gestion, construite comme ISO 27001 : politique, rôles, objectifs, évaluation des risques, déclaration d’applicabilité, revue de direction, amélioration continue.
Sa propriété distinctive est qu’un auditeur externe accrédité peut se prononcer dessus. C’est donc la seule des trois qui produit un artefact reconnu par un tiers, ce qui en fait la réponse à une question de client ou d’appel d’offres.
La loi européenne sur l’IA : les obligations
Elle ne se choisit pas. Elle s’applique ou non, selon ce que fait votre système et où il est utilisé, avec des obligations qui varient selon la catégorie de risque.
C’est la couche légale, et elle a une caractéristique que les deux autres n’ont pas : le non-respect n’est pas un écart de maturité, c’est une infraction.
La correspondance existe officiellement
L’argument de la pile n’est pas une opinion d’architecture. Il est documenté par NIST lui-même.
NIST publie un crosswalk qui mappe 71 exigences de l’AI RMF aux clauses correspondantes d’ISO 42001. Les quatre fonctions s’y retrouvent : Govern renvoie principalement aux clauses 5 et 6, Map à l’évaluation d’impact, Measure à la surveillance, Manage aux contrôles opérationnels.
Ce document est utile à deux moments. Au début, pour éviter de bâtir deux programmes. Et plus tard, quand quelqu’un demande la couverture NIST d’un système déjà certifié ISO — la réponse existe sans nouveau travail.
L’ordre qui fonctionne
ISO 42001 comme colonne vertébrale, si vous opérez dans plusieurs juridictions ou si vos clients posent des questions sur votre gouvernance de l’IA.
La raison est pratique plutôt que doctrinale : c’est la seule des trois qui produit quelque chose qu’on peut montrer. Un programme fondé sur NIST est défendable en discussion et invisible en appel d’offres.
NIST AI RMF comme méthode à l’intérieur, et non comme programme parallèle. Quand ISO 42001 demande une évaluation des risques, NIST vous dit comment la conduire. Les deux ne se disputent pas le même espace.
La loi européenne en deltas, en dernier. Vous ne repartez pas de zéro : vous identifiez les endroits où ses obligations dépassent ce que le système de gestion couvre déjà, et vous ne traitez que ceux-là.
Cet ordre est le seul des six possibles qui ne produit pas de travail dupliqué.
Le contexte québécois, qui change la priorité
Une précision importante pour une organisation d’ici.
Si vous n’avez pas d’activité dans l’Union européenne, la loi européenne sur l’IA n’est pas votre obligation opérante. La Loi 25 l’est, elle ne mentionne jamais l’intelligence artificielle, et elle encadre quand même votre déploiement — c’est le sujet d’un autre texte sur ce site.
L’ordre devient alors : les obligations de la Loi 25 en premier, parce qu’elles s’appliquent aujourd’hui et qu’elles ne dépendent pas de la taille de l’organisation. ISO 42001 ensuite, quand un client le demande ou quand vous voulez pouvoir le démontrer. NIST comme méthode tout du long.
La loi européenne reste utile à lire même sans y être soumis : ses exigences de documentation technique et de journalisation automatique sont plus détaillées que celles des deux autres cadres, et elles indiquent assez bien vers quoi les attentes convergent.
Ce qui décide réellement du résultat
Aucun de ces trois cadres ne réduit un risque. Ils décrivent comment s’organiser pour le faire.
Le travail qui réduit le risque est ailleurs, et il est ordinaire : savoir quels outils IA tournent chez vous, sous quelle identité, avec accès à quoi, et journalisés comment. Un programme de gouvernance bâti par-dessus un inventaire qui n’existe pas produit une déclaration d’applicabilité exacte au sujet d’un parc que personne n’a compté.
Commencez par compter. Le cadre décrit ensuite ce que vous faites déjà, ce qui est beaucoup plus rapide à écrire.
Besoin d’aide pour mettre cela en œuvre ?
Nous travaillons avec votre équipe pour concevoir, construire et exploiter les contrôles décrits ci-dessus.