Comment intégrer le risque IA dans votre ISMS et votre registre des risques existants

L'IA n'a pas cassé votre ISMS ; elle a simplement révélé ses angles morts.

La plupart des organisations tentent de gérer le risque IA avec les mêmes modèles et la même logique que pour les systèmes informatiques classiques. Ça ne fonctionne pas. L'IA introduit de nouveaux modes de défaillance, de nouvelles dépendances, de nouvelles exigences de gouvernance et de nouvelles formes de préjudice.

La solution n'est pas de remplacer votre ISMS. Il s'agit de le faire évoluer ; en intégrant le risque IA dans votre structure existante.

Voici comment procéder correctement.

Votre ISMS sait déjà traiter le risque. Il a simplement besoin de nouvelles entrées.

Le risque IA s'intègre naturellement dans ISO 27001, ISO 27005 et ISO 31000 ; à condition de :

• définir les actifs IA
• comprendre les modes de défaillance IA
• élargir vos critères de risque
• ajouter des contrôles spécifiques à l'IA
• mettre à jour vos preuves et votre surveillance
• relier les risques IA à la sécurité de l'information traditionnelle

Vous n'avez pas besoin d'un système de gestion du risque IA parallèle. Vous devez connecter l'IA à celui que vous avez déjà.

Voici la méthode, étape par étape.

1. Commencer par identifier les actifs IA (l'étape souvent oubliée)

Le risque IA commence par la visibilité. La plupart des entreprises ne savent pas où l'IA se trouve dans leur architecture.

Répertoriez quatre catégories d'actifs IA :

1. Modèles IA LLM, classificateurs, moteurs de recommandation, modèles de scoring.
2. Pipelines IA et flux de données Données d'entraînement, données d'inférence, étapes de prétraitement.
3. Systèmes intégrant l'IA Chatbots, outils d'aide à la décision, fonctionnalités IA RH/finance/relation client.
4. Services tiers / GPAI Azure OpenAI, Claude, Gemini, modèles via API, IA embarquée dans les SaaS.

Vous ne pouvez pas évaluer le risque IA tant que vous ne savez pas :

• quelle IA vous utilisez
• où elle se situe
• comment elle affecte vos processus
• quelles données elle traite
• quelles décisions elle influence

Inventaire avant analyse ; toujours.

2. Classifier chaque actif IA selon des dimensions spécifiques à l'IA

La classification traditionnelle des actifs (confidentialité, intégrité, disponibilité) ne suffit pas.

L'IA introduit de nouvelles dimensions :

• autonomie (degré d'indépendance du modèle)
• impact sur les décisions (consultatif vs. critique)
• sensibilité des données (entraînement + inférence)
• criticité du modèle (impact métier en cas d'erreur)
• risque de dérive du modèle
• besoins en explicabilité
• exposition aux biais
• catégorie réglementaire (AI Act : minimal / limité / haut risque)

Ces classifications permettent de prioriser les risques par la suite.

Un chatbot à usage interne = criticité faible. Un modèle de détection de fraude bancaire = haut risque. Un modèle de tri RH = régulé. Un LLM orienté client = impact moyen à élevé.

Votre ISMS a besoin de ces catégories pour ajuster les critères de risque de façon pertinente.

3. Enrichir vos critères de risque avec les modes de défaillance IA

C'est là que la plupart des registres de risques échouent. Les risques IA ne ressemblent pas aux risques traditionnels.

Ajoutez ces modes de défaillance spécifiques à l'IA dans vos critères :

Risques liés aux données

• empoisonnement des données d'entraînement
• fuite via les prompts
• mémorisation non intentionnelle
• exposition de données sensibles dans les sorties
• étiquetage incorrect des données

Risques liés au modèle

• hallucinations
• biais et discrimination
• dérive du modèle
• perte d'explicabilité
• mauvaise calibration
• attaques adversariales
• dépendance excessive / biais d'automatisation

Risques opérationnels

• sorties incorrectes dans des processus critiques
• modifications non supervisées du comportement du modèle
• interruptions des services IA cloud
• dépendance fournisseur (vendor lock-in)
• sous-traitants cachés

Risques de gouvernance

• absence de supervision humaine
• décisions du modèle non documentées
• jeux de données non vérifiés
• absence de gestion des versions
• utilisation abusive des modèles par les collaborateurs
• non-conformité réglementaire (EU AI Act)

Ces éléments intègrent votre dictionnaire des risques.

Une fois définis, les risques IA deviennent gérables ; comme les risques cyber ou les risques vie privée.

4. Intégrer des scénarios IA dans votre méthode d'analyse de risques ISO 27005 existante

Les risques IA s'inscrivent parfaitement dans une analyse de risques par scénarios classique.

Exemple de structure :

Menace : Hallucination du modèle dans le support clientVulnérabilité : Absence de mécanisme de vérification humaineImpact : Mauvais conseil → préjudice client → responsabilitéVraisemblance : Moyenne (selon le cas d'usage)Contrôle : Processus de supervision humaineRisque résiduel : Faible

Autre scénario :

Menace : La dérive du modèle altère la précision de la détection de fraudeVulnérabilité : Absence de suivi des performances dans le tempsImpact : Perte financièreContrôle : Surveillance de la dérive + déclencheurs de réentraînement

L'IA ne nécessite pas de nouvelle méthode ; simplement de nouveaux scénarios, de nouvelles menaces, de nouveaux contrôles.

5. Intégrer les risques IA dans le registre des risques en utilisant les colonnes existantes

Votre registre des risques n'a pas besoin de nouveaux champs ; mais il nécessite une logique étendue.

Utilisez la même structure :

• actif
• menace
• vulnérabilité
• vraisemblance
• impact
• contrôles
• propriétaire du risque
• risque résiduel
• plan de traitement

Ajoutez simplement des éléments spécifiques à l'IA dans l'analyse.

Exemples directement exploitables :

Risque : « Le LLM fournit un conseil juridique erroné. » Risque : « Le modèle de présélection RH discrimine des groupes protégés. » Risque : « Le fournisseur GPAI modifie ses conditions ou le comportement du modèle sans préavis. » Risque : « Le code généré par l'IA introduit des vulnérabilités de sécurité. » Risque : « Les biais du jeu de données compromettent l'équité et la confiance. » Risque : « Des prompts non maîtrisés entraînent une fuite de données. »

Même architecture ; contenu nouveau.

6. Relier les risques IA aux contrôles existants ISO 27001 / 27002

Les risques IA se mappent naturellement sur les contrôles existants :

• Contrôle d'accès → prévient la fuite via prompts/données
• Gestion des changements → couvre les mises à jour de modèles
• Journalisation et surveillance → couvre le comportement des modèles
• Développement sécurisé → s'applique aux pipelines d'entraînement
• Gestion des fournisseurs → couvre la dépendance aux GPAI
• Continuité d'activité → couvre les interruptions de services IA

C'est pourquoi ISO 27001 n'a pas besoin d'être réécrit pour l'IA ; ses contrôles soutiennent déjà les fondations nécessaires.

Il suffit d'ajouter des interprétations spécifiques à l'IA.

Exemple : Contrôle 8.28 (Codage sécurisé) → inclut désormais la revue du code généré par IA. Contrôle 5.7 (Renseignement sur les menaces) → inclut désormais le renseignement sur les menaces IA. Contrôle 8.16 (Surveillance) → inclut désormais la surveillance de la dérive des modèles.

Vous étendez l'environnement de contrôle ; vous ne le reconstruisez pas.

7. Ajouter des mesures de gouvernance IA issues de ISO/IEC 42001 (optionnel mais pertinent)

ISO/IEC 42001 est le pendant gouvernance IA de ISO 27001. La certification complète n'est pas obligatoire ; mais vous devriez en emprunter la logique.

Ajoutez ces éléments de gouvernance :

• règles de supervision humaine
• gouvernance des jeux de données
• documentation du cycle de vie
• exigences d'explicabilité
• rôles des responsables IA
• gestion des versions de modèles
• signalement des incidents liés aux défaillances IA

Ces éléments s'intègrent sans friction dans votre ISMS et votre modèle de gestion des risques.

8. Mettre à jour vos plans de traitement des risques avec des contrôles IA

Les traitements typiques comprennent :

• intégration de points de contrôle humain dans la boucle (human-in-the-loop)
• mise en place de contrôles qualité sur les jeux de données
• restriction des prompts
• ajout de contrôles d'accès aux systèmes IA
• introduction de mécanismes d'explication
• limitation de l'autonomie pour les processus critiques
• surveillance de la dérive
• techniques anti-hallucination
• tests de détection des biais
• amélioration du jeu de données d'entraînement
• documentation de la traçabilité du modèle

Ce sont les équivalents IA du patching, de la segmentation ou de la journalisation en cybersécurité.

9. Intégrer la surveillance du risque IA dans vos processus ISMS

Le risque IA doit être surveillé en continu car les systèmes IA évoluent dans le temps.

Intégrez des tâches de surveillance dans :

• les revues de risques
• la gestion des changements
• les audits internes
• la gestion des incidents
• les revues fournisseurs
• les programmes de formation
• les boucles d'amélioration continue

Votre ISMS dispose déjà de ces processus ; le risque IA en fait simplement partie.

10. Rendre le risque IA visible pour les dirigeants

Les dirigeants doivent comprendre :

• les risques IA
• l'impact sur les opérations
• les exigences de gouvernance
• l'exposition réglementaire (EU AI Act)
• les dépendances vis-à-vis des fournisseurs GPAI

Ajoutez l'IA comme section dans :

• les rapports de risque au Conseil
• les revues ISMS trimestrielles
• les revues de direction

Le message pour les dirigeants est simple :l'IA accroît à la fois les opportunités et l'exposition ; et l'organisation doit la gouverner.

Pour conclure

Le risque IA n'est pas une discipline nouvelle. C'est une extension de la gestion des risques existante.

Une fois les actifs IA définis, les nouveaux types de menaces ajoutés et les contrôles IA intégrés, votre ISMS devient pérenne ; prêt pour les obligations du AI Act, les attentes du marché et la gouvernance interne.

L'IA ne nécessite pas de démanteler votre ISMS. Elle exige de lui apprendre de nouveaux réflexes.

C'est l'évolution de la gouvernance moderne.

Si vous souhaitez intégrer le risque IA dans ISO 27001, ISO 27005 et votre registre des risques existant (sans complexité inutile), c'est exactement ce que nous enseignons dans le Cyber Academy AI Risk Manager et ISO/IEC 42001 Lead Auditor et Lead Implementer. Rejoignez la prochaine session et pérennisez votre gouvernance.