La gouvernance de l'IA en entreprise s'est stabilisée autour de deux références. La norme ISO/IEC 42001:2023 définit les exigences d'un système de management de l'intelligence artificielle, dans le même esprit certifiable que l'ISO/IEC 27001 pour la sécurité de l'information. Le cadre de gestion des risques liés à l'IA du NIST (AI Risk Management Framework), publié en janvier 2023 et complété en 2024 par un profil consacré à l'IA générative, organise le travail en quatre fonctions : Govern, Map, Measure et Manage.
Ils ne s'adressent pas au même public. L'ISO/IEC 42001 est conçue pour la certification et la revue de direction. Le cadre du NIST est volontaire et descriptif. Les directions achats interrogent de plus en plus sur les deux.
La dépendance commune
Placés côte à côte, les deux textes laissent apparaître une exigence présente dans presque chaque clause : il faut pouvoir montrer ce que le système a fait.
- Cartographier le contexte d'un système suppose de savoir quelles données il touche réellement, et non ce qu'indique le schéma d'architecture.
- Mesurer la performance et la dérive suppose de disposer des entrées et des sorties de décisions réelles dans la durée.
- Gérer un incident suppose de pouvoir reconstituer une décision précise après coup.
- La revue de direction suppose la preuve que les contrôles ont fonctionné, et pas seulement qu'ils ont été conçus.
Chacun de ces points repose sur un journal de décisions complet, infalsifiable et rattaché à la version du modèle, du prompt ou de la règle qui l'a produite. Sans lui, un programme de gouvernance se réduit à un ensemble de politiques décrivant un système que personne ne peut inspecter.
Construire le journal d'abord
C'est pourquoi Opsian traite la piste d'audit comme une infrastructure et non comme une fonctionnalité de reporting. L'identité, l'état en temps réel et des décisions encadrées n'ont de valeur que si chaque décision peut être rejouée : qui, quoi, quand, et sur quels éléments. Une organisation qui dispose de cet historique peut adopter l'ISO/IEC 42001, répondre à un questionnaire aligné sur le NIST ou à un régulateur avec les mêmes éléments. Celle qui ne l'a pas devra les rédiger à la main, à chaque fois.