Référent : mener une appréciation des risques IA pas à pas

L'appréciation des risques suit trois temps : identifier, estimer, évaluer. La méthode est celle d'ISO/IEC 27005 et d'ISO 31000, appliquée à l'IA selon ISO/IEC 23894.

1. Identifier : de quoi parle-t-on ?

1. Les actifs : informations (dossiers clients, données RH, savoir-faire), processus (facturation, recrutement), outils IA, réputation. Chaque actif a un propriétaire responsable.
2. Les menaces et leurs sources : erreur humaine, fraude, fuite, défaillance d'un fournisseur, contenu faux.
3. Les faiblesses : absence de règle, droits trop larges, pas de vérification, outil sans contrat.
4. Les mesures existantes : sont-elles réellement appliquées et efficaces ?
5. Les conséquences : pour la confidentialité, l'exactitude, la disponibilité, et pour les personnes concernées.

Sources utiles : entretiens courts avec les métiers, outils déclarés dans la plateforme, incidents passés, résultats des quiz (les thèmes mal compris signalent des faiblesses).

2. Estimer : quel niveau ?

Avec la grille de l'entreprise (fixée par la direction) : conséquence de 1 à 4, probabilité de 1 à 4. La probabilité tient compte de la motivation et des moyens d'un attaquant, ou de la fréquence des erreurs, et des mesures existantes. Notez qui a coté et sur quelle base.

3. Évaluer : que décider ?

Comparez chaque niveau au seuil d'acceptation de l'entreprise, classez les risques par priorité, puis proposez pour chacun une option de traitement (réduire, éviter, transférer, accepter) et des mesures datées avec un responsable.

Travailler par itérations : un premier passage rapide sur tout le périmètre, puis un approfondissement sur les risques élevés. Mieux vaut un registre simple et à jour qu'une analyse parfaite et périmée.

Faire vivre le registre : revue trimestrielle, et réexamen immédiat à chaque nouvel outil, incident ou changement de loi. Rendez compte à la direction et informez le personnel des risques qui le concernent.