La plupart des organisations disposent déjà d'un registre des risques. Presque aucune ne possède un véritable registre des risques IA.
Elles copient-collent des risques de cybersécurité, ajoutent « IA » dans le titre, et espèrent que ça suffit. Ce n'est pas le cas. L'IA génère de nouveaux comportements, de nouvelles dépendances, de nouveaux modes de défaillance et de nouvelles obligations réglementaires que votre registre actuel n'a pas été conçu pour couvrir.
Bonne nouvelle : vous n'avez pas besoin d'un nouveau cadre de gestion des risques, mais d'un cadre plus adapté, ajusté aux réalités de l'IA.
Voici la méthode pratique, éprouvée sur le terrain, pour construire un registre des risques IA qui fonctionne vraiment.
Le risque IA n'est pas « un risque cyber avec une touche d'originalité ». Les systèmes IA :
- évoluent dans le temps,
- dépendent de jeux de données que vous ne contrôlez pas toujours,
- s'appuient sur des fournisseurs que vous ne voyez pas toujours,
- produisent des résultats que vous ne pouvez pas pleinement prédire,
- influencent des décisions que vous ne pouvez pas toujours tracer.
Votre registre des risques doit refléter cette réalité.
Le secret est simple :combinez la logique de ISO 27005, ISO 31000 et ISO/IEC 42001, sans tout réinventer.
Voici la méthode, étape par étape.
1. Commencez par identifier vos actifs IA
Votre registre des risques IA commence par un inventaire précis. On ne peut pas évaluer ce qu'on n'a pas identifié.
Recensez quatre catégories d'actifs :
Systèmes IA LLM, classifieurs, modèles prédictifs, chatbots, moteurs de scoring.
Pipelines IA et sources de données Jeux de données d'entraînement, données d'inférence, prétraitement.
Services embarquant de l'IA Outils de présélection RH, modèles de détection de fraude, moteurs de recommandation, copilotes IA.
Modèles externes et GPAI Azure OpenAI, Claude, Gemini, API HuggingFace, fonctionnalités SaaS intégrant de l'IA.
Si vous sautez cette étape, le registre des risques s'effondre.
2. Catégorisez les actifs IA par niveau d'exposition au risque
Tous les systèmes IA ne se valent pas.
Utilisez des critères de criticité propres à l'IA :
- autonomie (quel est le degré d'indépendance du système ?)
- criticité des décisions
- impact métier
- sensibilité des données
- exigence d'explicabilité
- probabilité de dérive
- exposition des utilisateurs
- catégorie réglementaire (EU AI Act : risque minimal, limité, élevé)
Ces critères vous donnent la grille de lecture pour prioriser les risques.
3. Enrichissez votre catalogue de menaces avec les modes de défaillance IA
Les bibliothèques de menaces traditionnelles ignorent 80 % des risques IA. Vous avez besoin de menaces et de vulnérabilités spécifiques à l'IA.
Menaces liées aux données
- biais dans les données d'entraînement
- empoisonnement des données
- labels incorrects
- fuite via les prompts
- exposition de données personnelles dans les sorties
Menaces liées au modèle
- hallucinations
- prompts adversariaux
- dérive du modèle
- perte de reproductibilité
- absence d'explicabilité
Menaces opérationnelles
- indisponibilité des services IA
- mises à jour non maîtrisées du modèle
- mésusage par les collaborateurs
- sur-dépendance aux résultats de l'IA
Menaces de gouvernance et de conformité
- non-respect des exigences de l'AI Act
- documentation du modèle manquante
- périmètre de supervision humaine non défini
- outils IA non approuvés en cours d'utilisation
- absence de piste d'audit pour les décisions IA
Ces menaces alimentent directement vos scénarios de risque.
4. Rédigez des scénarios de risque selon la structure standard ISO 27005
Vous n'avez pas besoin d'une nouvelle méthode. Vous avez besoin de nouveaux scénarios.
Exemple de scénario 1
Menace : Un chatbot IA hallucine des conseils médicaux incorrects.Vulnérabilité : Aucune revue humaine ni validation des sorties.Impact : Responsabilité juridique, atteinte à la réputation, préjudice patient.Probabilité : MoyenneContrôles : Revue humaine dans la boucle, filtrage des prompts, restrictions d'usage.Risque résiduel : Faible
Exemple de scénario 2
Menace : La dérive du modèle réduit la précision de la détection de fraude.Vulnérabilité : Aucune surveillance des performances du modèle dans le temps.Impact : Perte financière, incident réglementaire.Contrôles : Surveillance de la dérive, calendrier de réentraînement, seuils d'alerte.Risque résiduel : Moyen
Exemple de scénario 3
Menace : Des collaborateurs partagent des données sensibles avec un LLM externe.Vulnérabilité : Absence de politique d'usage de l'IA ou de contrôles sur les prompts.Impact : Fuite de données, violation GDPR.Contrôles : Restrictions d'accès, politique, formation, surveillance.Risque résiduel : Faible/Moyen
C'est le niveau de clarté que les auditeurs attendront lors de l'application de l'AI Act.
5. Évaluez les risques correctement (l'IA exige des dimensions supplémentaires)
La probabilité et l'impact s'appliquent toujours, mais avec des facteurs supplémentaires propres à l'IA.
Ajoutez les dimensions suivantes à votre logique de notation :
- risque de dérive
- risque lié à la qualité des données
- exigence d'explicabilité
- dépendance à un système IA tiers
- niveau d'autonomie
- prédictibilité du modèle
- potentiel de discrimination
- exposition transfrontalière des données
Ces facteurs influencent la notation probabilité/impact.
Vous n'avez pas besoin de nouvelles colonnes, seulement d'une évaluation plus approfondie.
6. Associez chaque risque à des contrôles spécifiques à l'IA
Les risques IA requièrent à la fois des contrôles de sécurité et des contrôles de gouvernance.
Les contrôles IA typiques comprennent :
- validation des jeux de données
- filtrage du contenu
- tests de biais
- supervision humaine
- contrôle d'accès basé sur les rôles
- surveillance de la dérive
- politiques d'usage
- journalisation et traçabilité
- gestion des versions de modèle
- gestion des incidents liés aux défaillances IA
- mécanismes d'explicabilité
- évaluation des fournisseurs de solutions IA
Associez les contrôles aux risques de la même façon que vous le faites avec ISO 27001.
7. Intégrez les risques IA dans votre registre des risques existant
Vous n'avez pas besoin d'un registre séparé. Vous devez enrichir celui qui existe déjà.
Ajoutez les risques IA dans votre registre principal, en incluant :
- « actif IA » comme catégorie d'actif
- « modèle IA » ou « pipeline de données IA » comme type d'actif
- menaces et vulnérabilités spécifiques à l'IA
- contrôles dédiés
- notation mise à jour
- responsable du système IA clairement désigné
- implications réglementaires (AI Act, GDPR, règles sectorielles)
Cela garantit que la gouvernance IA s'intègre dans votre ISMS et ne reste pas une initiative isolée.
8. Intégrez les risques IA dans vos processus GRC existants
Le registre des risques n'est utile que s'il est ancré dans la gouvernance.
Les risques IA doivent alimenter :
- la gestion des changements
- la gestion des fournisseurs
- la gestion des incidents
- l'audit interne
- la sensibilisation et la formation
- les revues de l'ISMS
- le reporting au Conseil
Les risques IA évoluent plus vite que les systèmes informatiques traditionnels ; la gouvernance doit suivre.
9. Révisez les risques IA plus fréquemment que les risques traditionnels
Les systèmes IA changent :
- par le réentraînement,
- par la dérive,
- par l'apparition de nouveaux cas d'usage,
- par les mises à jour de modèles chez les fournisseurs,
- par les jalons réglementaires.
Une révision trimestrielle est un minimum. Mensuelle pour les systèmes IA à fort impact.
Les risques IA ne se gèrent pas en mode « configuré et oublié ».
10. Fournissez un modèle simple et lisible à toutes les équipes
Voici un modèle de registre des risques IA prêt à l'emploi que vous pouvez adopter dès aujourd'hui. Utilisez-le dans Excel, Notion, Confluence ou votre plateforme GRC existante.
📄 Modèle de registre des risques IA (Téléchargement)
Pour conclure
Un registre des risques IA n'est pas un exercice de conformité. C'est un outil de visibilité, un mécanisme de contrôle, et le socle de votre gouvernance IA.
Si vous le construisez correctement, vous ne faites pas que protéger l'organisation. Vous rendez possible une adoption de l'IA sûre, scalable et maîtrisée.
La gouvernance IA ne consiste pas à freiner l'innovation. Elle consiste à s'assurer que l'innovation ne se retourne pas contre vous.
Si vous souhaitez construire un programme complet de gestion des risques IA, avec templates, contrôles et alignement sur ISO/IEC 42001, c'est exactement ce que nous enseignons dans le cours AI Risk Manager de Cyber Academy. Rejoignez la prochaine session et construisez un registre des risques IA qui résiste à l'examen.