Conformité
Conformité et référentiels de sécurité IA
Règlement, norme, framework et référentiel de menaces ne répondent pas à la même question.
Cette section distingue les exigences applicables, les méthodes de gestion du risque, les scénarios de menace et les contrôles techniques qui peuvent produire des preuves vérifiables.
Six notions à ne pas confondre
| Notion | Définition |
|---|---|
| Réglementation | Obligations juridiques applicables selon un périmètre défini. |
| Norme | Exigences ou bonnes pratiques formalisées par un organisme de normalisation. |
| Framework | Cadre méthodologique permettant d’organiser une démarche. |
| Base de connaissance des menaces | Catalogue structuré de tactiques, techniques, risques ou mitigations. |
| Contrôle technique | Mécanisme réellement appliqué dans une architecture. |
| Preuve | Élément permettant de démontrer qu’une activité ou un contrôle existe ou a fonctionné. |
De l’exigence à la preuve
Un outil peut mettre en œuvre un contrôle, produire une trace ou fournir un élément de preuve. Il ne rend pas à lui seul une organisation ou un système conforme.
De l’exigence à la preuve
Cinq étapes : exigence, contrôle, implémentation, preuve, revue. Méthode Sécurité Agentique.
Les référentiels traités
| Référence | Nature | Question principale |
|---|---|---|
| EU AI Act | Règlement européen | Quelles obligations juridiques s’appliquent au système et à l’organisation ? |
| ISO/IEC 42001 | Norme internationale de système de management | Comment organiser un système de management de l’IA ? |
| NIST AI RMF | Framework volontaire de gestion des risques | Comment structurer la gestion des risques IA ? |
| OWASP Agentic | Security guidance | Quels risques spécifiques aux agents faut-il traiter ? |
| OWASP MCP | Security guidance | Comment réduire les risques liés aux serveurs, outils et flux MCP ? |
| MITRE ATLAS | Base de connaissance des menaces | Quelles tactiques et techniques adverses peut-on modéliser et tester ? |
Par sujet technique
| Sujet | Références utiles |
|---|---|
| Gouvernance de l’IA | AI Act · NIST AI RMF · ISO/IEC 42001 |
| Menaces propres aux agents | OWASP Agentic · MITRE ATLAS |
| MCP | OWASP MCP · OWASP Agentic · MITRE ATLAS |
| Runtime et trace des actions | OWASP Agent Control Standard · MITRE ATLAS |
| Gestion des risques | NIST AI RMF · ISO/IEC 42001 · AI Act lorsqu’il s’applique |