Bibliothèque de prompts pour la gestion de l'IA selon la norme ISO 42001

Create an inventory of our AI systems per ISO 42001:

AI systems we develop/use/provide:
[List AI applications: chatbots, recommendation engines, predictive models, computer vision, NLP, automated decision systems, etc.]

For each AI system, document:
- System name and description
- AI techniques used (machine learning, deep learning, NLP, computer vision, generative AI)
- Purpose and use case
- Development status (research, development, production, retired)
- Internal vs. external use (internal tooling, customer-facing, embedded in products)
- Risk classification (high-risk per EU AI Act, limited risk, minimal risk)
- Data sources and training data
- Stakeholders affected (employees, customers, public)
- Lifecycle stage (design, development, deployment, monitoring, retirement)

Create an AI system register template suitable for ongoing management and regulatory compliance.

Develop a comprehensive AI Management System policy per ISO 42001:

Organization: [name, industry, AI maturity]
AI use cases: [describe key AI applications]

Policy sections aligned with ISO 42001:

1. Gouvernance et supervision de l'IA
- Principes éthiques de l'IA (équité, transparence, responsabilité, sécurité, vie privée)
- Structure de gouvernance (conseil de supervision de l'IA, comité d'éthique de l'IA, rôles pour une IA responsable)
- Engagement de la direction en faveur d'une IA responsable

2. Gestion des risques (Section 6 de l'ISO 42001)
- Méthodologie d'évaluation des risques spécifiques à l'IA
- Traitement des risques et contrôles
- Intégration avec la gestion des risques d'entreprise

3. Gestion du cycle de vie des systèmes d'IA
- Cycle de développement (conception, données, formation, test, déploiement, surveillance)
- Contrôle des modifications pour les modèles et données d'IA
- Contrôle des versions et registre des modèles

4. Transparence et explicabilité
- Exigences de documentation pour les systèmes d'IA
- Mécanismes d'explicabilité (fiches de modèle, fiches techniques, outils d'interprétabilité)
- Divulgation aux parties concernées (lorsque l'IA prend des décisions)

5. Équité, prévention des biais et de la discrimination
- Détection et atténuation des biais dans les données et les modèles
- Métriques d'équité et tests
- Gestion des attributs protégés
- Données d'entraînement diverses et représentatives

6. Vie privée et protection des données
- Minimisation des données pour l'entraînement et l'inférence de l'IA
- Consentement et base légale (alignement RGPD)
- Droits des personnes concernées dans le contexte de l'IA (droit à l'explication, droit de ne pas être soumis à des décisions automatisées)
- Techniques préservant la vie privée (apprentissage fédéré, confidentialité différentielle, données synthétiques)

7. Sécurité, sûreté et robustesse
- Robustesse face aux attaques adversariales et prévention
- Sécurité des modèles (vol de modèle, empoisonnement, contournement)
- Tests de sécurité et validation
- Mécanismes de sécurité et supervision humaine pour les IA à haut risque

8. Supervision et contrôle humains
- Intervention humaine dans les décisions critiques
- Mécanismes de contournement
- Surveillance des performances et décisions du système d'IA

9. Compétence et sensibilisation (Sections 7.2-7.3 de l'ISO 42001)
- Formation à l'IA pour les développeurs, utilisateurs et la direction
- Programme de sensibilisation à une IA responsable

10. Gestion des incidents
- Types d'incidents spécifiques à l'IA (incidents de biais, dérive de modèle, attaques adversariales, préjudices non intentionnels)
- Réponse aux incidents et notification
- Revue post-incident et réentraînement des modèles

Address ISO 42001 Annex A controls relevant to your AI risk profile.

Conduct an AI risk assessment per ISO 42001 Section 6 for [AI system name]:

AI system details:
- Description: [what the AI does]
- AI technique: [ML model type, architecture]
- Data sources: [training data, inference data]
- Use case: [how it's used, who it affects]
- Deployment: [production, pilot, development]

AI-specific risks to assess:

1. Risques de biais et d'équité
- Biais dans les données d'entraînement (biais historique, biais d'échantillonnage, biais de mesure)
- Biais algorithmique (le modèle amplifie les disparités)
- Impact sur les groupes protégés (discrimination basée sur la race, le genre, l'âge, etc.)
- Métriques d'équité : [parité démographique, égalité des chances, impact disparate]

2. Risques de transparence et d'explicabilité
- Modèles en boîte noire (manque d'interprétabilité)
- Incapacité à expliquer les décisions aux utilisateurs/régulateurs
- Conformité avec le droit à l'explication (Article 22 du RGPD)

3. Risques de vie privée
- Ré-identification à partir de données d'entraînement anonymisées
- Attaques par inversion de modèle (extraction de données d'entraînement à partir du modèle)
- Inférence d'appartenance (déterminer si des données faisaient partie de l'ensemble d'entraînement)
- Fuite de données ou mémorisation non intentionnelle

4. Risques de sécurité et de robustesse
- Erreurs de modèle et prédictions incorrectes
- Attaques adversariales (contournement, empoisonnement, portes dérobées)
- Dérive du modèle et dégradation dans le temps
- Cas limites et décalage de distribution
- Défaillances critiques pour la sécurité (dans les systèmes autonomes, l'IA médicale, etc.)

5. Risques de sécurité
- Vol ou extraction de modèle
- Empoisonnement des données pendant l'entraînement
- Entrées adversariales au moment de l'inférence
- Risques de la chaîne d'approvisionnement (ensembles de données empoisonnés, bibliothèques compromises)

6. Risques éthiques et sociétaux
- Préjudices ou conséquences négatives non intentionnels
- Mauvaise utilisation du système d'IA
- Impact environnemental (empreinte carbone de l'entraînement des grands modèles)
- Manipulation ou tromperie (deepfakes, désinformation)

7. Risques de conformité et légaux
- Non-conformité réglementaire (EU AI Act, RGPD, réglementations sectorielles)
- Responsabilité pour les décisions prises par l'IA
- Problèmes de propriété intellectuelle (entraînement sur des données protégées par le droit d'auteur) — voir l'approche de conformité en matière de propriété intellectuelle d'ISMS Copilot

For each risk, assess:
- Likelihood (based on data quality, model complexity, deployment context)
- Impact (severity of harm if materialized)
- Existing controls and mitigations
- Residual risk and treatment plan

Create AI risk register and treatment plan aligned with ISO 42001 risk management requirements.

Create a responsible AI development procedure covering the full AI lifecycle:

1. Conception et définition du périmètre (contrôles 6.2, A.2.1 de l'ISO 42001)
- Définir l'objectif et les exigences du système d'IA
- Identifier les parties prenantes concernées
- Déterminer les critères d'équité et de performance
- Évaluer les exigences réglementaires (classe de risque selon l'EU AI Act, applicabilité du RGPD)
- Documenter l'utilisation prévue et les limitations

2. Collecte et préparation des données (contrôles A.3.x)
- Spécification des exigences en matière de données (volume, qualité, représentativité)
- Sources de données (internes, externes, synthétiques, sous licence)
- Évaluation des biais dans la collecte des données
- Assurance qualité des données (complétude, exactitude, cohérence)
- Étiquetage et annotation des données (contrôle qualité, formation des annotateurs, accord inter-annotateurs)
- Techniques préservant la vie privée (anonymisation, confidentialité différentielle)
- Documentation des données (fiches de données, fiches d'ensemble de données)

3. Développement et entraînement du modèle (contrôles A.4.x)
- Sélection du modèle (choix de l'algorithme, conception de l'architecture)
- Ingénierie et sélection des caractéristiques
- Méthodologie d'entraînement et de validation (divisions entraînement/validation/test, validation croisée)
- Réglage des hyperparamètres
- Détection et atténuation des biais pendant l'entraînement
- Évaluation des performances (exactitude, précision, rappel, F1, AUC, métriques d'équité)
- Documentation du modèle (fiches de modèle, fiches techniques)

4. Tests et validation (contrôles A.5.x)
- Tests fonctionnels (fonctionne-t-il comme prévu ?)
- Tests d'équité (analyse d'impact disparate, performance par sous-groupe)
- Tests de robustesse (exemples adversariaux, cas limites, données hors distribution)
- Tests de sécurité (modes de défaillance, sorties dangereuses)
- Validation de l'explicabilité (pouvons-nous expliquer les décisions ?)
- Tests de conformité réglementaire (répond aux exigences de l'EU AI Act si applicable)

5. Déploiement (contrôles A.6.x)
- Planification et approbation du déploiement
- Formation et documentation des utilisateurs
- Configuration de la surveillance et des alertes
- Mécanismes de supervision humaine
- Procédures de retour en arrière
- Déploiement progressif (canari, tests A/B)

6. Surveillance et maintenance (contrôles A.7.x)
- Surveillance des performances (exactitude, latence, disponibilité)
- Surveillance des biais (métriques d'équité en continu)
- Détection de la dérive du modèle (dérive des données, dérive des concepts)
- Détection des incidents (prédictions anormales, erreurs)
- Déclencheurs et procédures de réentraînement
- Gestion des versions des modèles

7. Retrait et mise hors service
- Critères de fin de vie
- Rétention ou suppression des données
- Communication aux utilisateurs
- Planification de la transition (système de remplacement, processus manuels)

For our AI development context: [describe teams, tools, platforms, methodologies]

Include checkpoints, approvals, and documentation requirements at each stage per ISO 42001.

Create a model card for [AI model name] per ISO 42001 transparency requirements:

Model card sections:

1. Détails du modèle
- Nom et version du modèle
- Type et architecture du modèle : [e.g., neural network, random forest, transformer]
- Algorithme et framework d'entraînement : [TensorFlow, PyTorch, scikit-learn]
- Développeurs du modèle et contact
- Date du modèle et étape du cycle de vie
- Licence et restrictions d'utilisation

2. Utilisation prévue
- Utilisations et utilisateurs principaux prévus
- Utilisations hors périmètre (ce pour quoi il NE DOIT PAS être utilisé)
- Considérations éthiques et limitations connues

3. Facteurs (caractéristiques pertinentes)
- Groupes ou facteurs pris en compte (démographie, géographies, contextes d'utilisation)
- Facteurs d'instrumentation et d'environnement

4. Métriques
- Métriques de performance du modèle : [accuracy, precision, recall, F1, AUC, etc.]
- Métriques d'équité et de biais : [parité démographique, égalité des chances, etc.]
- Seuils de décision et compromis

5. Données d'entraînement
- Description et source de l'ensemble de données
- Prétraitement des données et ingénierie des caractéristiques
- Taille et divisions des données d'entraînement
- Biais ou limitations connus dans les données

6. Données d'évaluation
- Ensemble(s) de données d'évaluation utilisé(s)
- Motivation du choix de l'ensemble de données
- Prétraitement appliqué

7. Analyses quantitatives
- Résultats de performance globaux
- Performance par sous-groupes (analyse d'équité)
- Intervalles de confiance ou quantification de l'incertitude

8. Considérations éthiques
- Préjudices et biais potentiels identifiés
- Stratégies d'atténuation mises en œuvre
- Cas d'utilisation sensibles et facteurs de risque

9. Mises en garde et recommandations
- Limitations et modes de défaillance connus
- Recommandations pour une utilisation responsable
- Recommandations pour la surveillance et la maintenance

Our model: [provide details for each section based on your AI system]

Use this model card template for all AI systems to meet ISO 42001 documentation and transparency requirements.

Conduct a fairness assessment for [AI system name]:

System context:
- Type de décision : [classification, classement, recommandation, prédiction]
- Individus impactés : [clients, employés, demandeurs de prêt, étudiants, etc.]
- Attributs protégés : [race, genre, âge, handicap, etc. - selon les lois anti-discrimination applicables]
- Préjudices potentiels : [refus de service, tarification injuste, discrimination, préjudice réputationnel]

Fairness assessment methodology:

1. Identifier les groupes protégés
- Définir les attributs sensibles et les groupes (ex. genre : homme/femme/non-binaire ; race : catégories)
- Déterminer si des proxys pour les attributs protégés existent dans les données (code postal → race, nom → genre)

2. Sélectionner les métriques d'équité (choisir celles appropriées au cas d'usage)
- Parité démographique : Taux de résultats positifs égaux entre les groupes
- Égalité des chances : Taux de vrais positifs et de faux positifs égaux entre les groupes
- Parité prédictive : Précision égale (valeur prédictive positive) entre les groupes
- Équité individuelle : Des individus similaires reçoivent des résultats similaires
- Calibration : Les probabilités prédites correspondent aux résultats réels entre les groupes

3. Mesurer l'équité
- Calculer les métriques choisies pour chaque groupe protégé
- Comparer aux seuils d'équité (ex. règle des 4/5 pour l'impact disparate)
- Identifier les disparités et les schémas de biais

4. Analyser les causes profondes des biais
- Biais des données : Sous-représentation, biais historique, biais de mesure dans les données d'entraînement
- Biais algorithmique : Le modèle surajuste le groupe majoritaire, les caractéristiques corrèlent avec les attributs protégés
- Biais de déploiement : Différents schémas d'utilisation entre les groupes

5. Stratégies d'atténuation
- Pré-traitement : Rééquilibrage des données d'entraînement, suppression des biais des données, équilibrage des ensembles de données
- Traitement : Algorithmes d'entraînement sensibles à l'équité, débiasage adversarial, régularisation
- Post-traitement : Ajustement des seuils de décision par groupe, recalibrage des prédictions
- Structurel : Suppression ou masquage des attributs protégés, utilisation de contraintes d'équité

6. Analyse des compromis
- Compromis précision vs. équité (l'atténuation des biais peut réduire la précision globale)
- Conflits entre métriques d'équité (impossible de satisfaire toutes les définitions d'équité simultanément)
- Décision sur les compromis acceptables basée sur les principes éthiques et les exigences légales

Document fairness assessment results, mitigation measures, and residual bias for ISO 42001 compliance and regulatory inquiries.

Our AI system: [describe system, decision context, and protected groups]

Test AI model robustness against adversarial attacks:

AI model: [name and type]
Attack surface: [inference API, model file, training pipeline]

Adversarial threat scenarios:

1. Attaques par contournement (au moment de l'inférence)
- Exemples adversariaux : Entrées soigneusement conçues provoquant des erreurs de classification
- Méthodes de test : attaques FGSM, PGD, C&W
- Défense : entraînement adversarial, assainissement des entrées, robustesse certifiée

2. Attaques par empoisonnement (pendant l'entraînement)
- Empoisonnement des données : Injection d'échantillons malveillants dans les données d'entraînement
- Méthodes de test : inversion d'étiquettes, injection de portes dérobées
- Défense : validation des données, détection d'anomalies, algorithmes d'entraînement robustes

3. Extraction/vol de modèle
- Attaques par requêtes pour répliquer le modèle
- Méthodes de test : vol de modèle via des requêtes API
- Défense : limitation du taux de requêtes, perturbation des sorties, filigranage

4. Inversion de modèle
- Reconstruction des données d'entraînement à partir du modèle
- Méthodes de test : inférence d'appartenance, inférence d'attributs
- Défense : confidentialité différentielle, arrondi des sorties, restrictions de requêtes

5. Injection de prompts (pour les LLM/IA générative)
- Prompts malveillants pour contourner les filtres de sécurité ou extraire des informations sensibles
- Méthodes de test : prompts de jailbreaking, injection indirecte
- Défense : filtrage des prompts, garde-fous de sortie, modération de contenu

Robustness testing procedure:
- Generate adversarial examples using attack libraries (Adversarial Robustness Toolbox, CleverHans, Foolbox)
- Measure model accuracy on adversarial inputs
- Assess transferability of attacks across models
- Document vulnerabilities and mitigation measures
- Integrate into CI/CD (automated adversarial testing)

Create robustness test suite and acceptance criteria: [e.g., model accuracy >X% on adversarial examples].

Address ISO 42001 control A.5.3 (robustness evaluation) and A.6.5 (security of AI system).

Implement continuous monitoring for AI systems per ISO 42001 control A.7.3:

AI system: [name]
Deployment: [production environment]

Monitoring dimensions:

1. Surveillance des performances
- Exactitude, précision, rappel, score F1 (par rapport à la référence)
- Latence et débit des prédictions
- Taux et types d'erreurs
- Retours et corrections des utilisateurs

2. Surveillance de la dérive des données
- Changements dans la distribution des entrées (décalage des covariables)
- Tests statistiques : divergence KL, test de Kolmogorov-Smirnov, indice de stabilité de la population (PSI)
- Détection de la dérive des caractéristiques
- Alertes lorsque la dérive dépasse les seuils

3. Surveillance de la dérive du modèle (dérive des concepts)
- Dégradation des performances du modèle dans le temps
- Changements dans la distribution de la vérité terrain
- Comparaison des prédictions vs. résultats réels
- Déclencheurs pour le réentraînement du modèle

4. Surveillance de l'équité
- Métriques d'équité en continu par groupe démographique
- Surveillance de l'impact disparate
- Alertes en cas de dégradation de l'équité

5. Surveillance de la sécurité et des anomalies
- Entrées hors distribution (détection OOD)
- Prédictions anormales (seuils de confiance, estimations d'incertitude)
- Sorties dangereuses ou nuisibles (modération de contenu, classificateurs de sécurité)

6. Surveillance de la sécurité
- Détection d'attaques adversariales
- Schémas de requêtes inhabituels (potentielle extraction de modèle)
- Contrôle d'accès et authentification aux API de modèle

7. Surveillance de l'explicabilité
- Suivi des explications fournies aux utilisateurs
- Surveillance des prédictions à faible confiance nécessitant une revue humaine
- Dérive de l'importance des caractéristiques

Monitoring implementation:
- Logging and telemetry (predictions, inputs, metadata)
- Dashboards and visualization (Grafana, custom dashboards)
- Alerting rules and thresholds
- Automated responses (circuit breakers, fallback to simpler model, human escalation)
- Regular review meetings (weekly/monthly model health reviews)

Create monitoring playbook: what to monitor, thresholds, alert recipients, response procedures.

Integration with incident management: AI-specific incidents (bias discovered, model drift, adversarial attack) → incident response procedure.

Develop an AI incident response procedure per ISO 42001 control A.8.1:

AI-specific incident types:

1. Incidents de biais ou d'équité
- Découverte de résultats discriminatoires
- Préjudice causé à un groupe protégé
- Impact disparate dépassant les seuils

2. Dégradation des performances du modèle
- Baisse de l'exactitude en dessous d'un niveau acceptable
- Dérive du modèle détectée
- Erreurs systématiques dans les prédictions

3. Incidents de vie privée
- Fuite de données d'entraînement
- Attaque par inversion de modèle ou inférence d'appartenance
- Ré-identification d'individus

4. Incidents de sécurité
- Attaque adversariale réussie
- Vol ou extraction de modèle
- Empoisonnement des données détecté

5. Incidents éthiques ou réputationnels
- Mauvaise utilisation ou conséquences non intentionnelles de l'IA
- Réactions négatives du public ou attention médiatique
- Enquête réglementaire

Incident response workflow:

1. Détection et signalement
- Détection automatisée (alertes de surveillance)
- Signalements des utilisateurs (mécanismes de feedback, lignes directes)
- Découverte interne (audits, revues, tests)

2. Évaluation initiale et triage
- Classification de la gravité (critique/élevé/moyen/faible)
- Portée et utilisateurs affectés
- Contention immédiate nécessaire ? (désactiver le système d'IA, revenir à un processus manuel)

3. Contention et atténuation
- Mettre le système d'IA hors ligne si nécessaire
- Retour à une version précédente du modèle
- Mise en place de contrôles compensatoires temporaires (revue humaine, filtrage des sorties)

4. Investigation et analyse des causes profondes
- Examiner les données d'entraînement, le comportement du modèle, les prédictions
- Identifier la source du biais, la faille du modèle ou le vecteur d'attaque
- Documenter les conclusions

5. Remédiation
- Réentraîner le modèle avec des données corrigées ou des contraintes d'équité
- Appliquer des correctifs ou des défenses
- Mettre à jour les procédures pour prévenir la récurrence

6. Communication
- Notifier les individus affectés (transparence)
- Notification réglementaire si requise
- Communication interne (direction, juridique, relations publiques)
- Divulgation publique (si approprié)

7. Récupération et leçons apprises
- Redéployer le système d'IA remédié
- Surveillance renforcée pour détecter une récurrence
- Mettre à jour les évaluations des risques et les contrôles
- Revue et documentation post-incident

Create incident response playbooks for each AI incident type with roles, timelines, and communication templates.

Ensure alignment with organizational incident management and ISO 42001 requirements.

Map our AI systems to EU AI Act requirements and align with ISO 42001:

AI system inventory: [list AI systems]

For each AI system, assess:

1. Classification des risques selon le règlement européen sur l'IA
- IA interdite : [catégorisation biométrique, notation sociale, manipulation nuisible, scraping indiscriminé] → Ne pas déployer
- IA à haut risque : [CV screening, scoring de crédit, application de la loi, infrastructures critiques, dispositifs médicaux, identification biométrique, évaluation éducative/emploi, services essentiels] → Exigences strictes
- Risque limité : [Chatbots, deepfakes, reconnaissance des émotions] → Obligations de transparence
- Risque minimal : [jeux vidéo avec IA, filtres anti-spam] → Codes de conduite volontaires

2. Exigences pour l'IA à haut risque (si applicable)
- Système de gestion des risques : Sections 6, 8.1 de l'ISO 42001 → Évaluation et traitement des risques liés à l'IA
- Gouvernance des données : Contrôle A.3 de l'ISO 42001 → Qualité des données d'entraînement, atténuation des biais
- Documentation technique : Contrôles A.2.2, A.4.5 de l'ISO 42001 → Documentation du système, fiches de modèle
- Conservation des enregistrements et journalisation : Contrôle A.7.1 de l'ISO 42001 → Journaux automatisés pour l'auditabilité
- Transparence envers les utilisateurs : Contrôles A.6.3, A.6.4 de l'ISO 42001 → Information des utilisateurs, explicabilité
- Supervision humaine : Contrôle A.6.7 de l'ISO 42001 → Mécanismes d'intervention humaine
- Exactitude, robustesse, cybersécurité : Contrôles A.5.x, A.6.5 de l'ISO 42001 → Tests et mesures de sécurité

3. Exigences pour l'IA à usage général (GPAI)
- Si nous fournissons des modèles de base ou des GPAI : Transparence, conformité au droit d'auteur, divulgation de la consommation d'énergie
- Modèles à risque systémique (grande échelle) : Tests adversariaux, signalement des incidents graves, évaluation des modèles

4. Obligations de transparence (toute IA)
- Informer les utilisateurs lorsqu'ils interagissent avec une IA (Article 52 du règlement européen sur l'IA)
- Étiquetage des deepfakes
- Divulgation de la reconnaissance des émotions ou de la catégorisation biométrique

Create compliance mapping table: AI system | AI Act classification | Applicable requirements | ISO 42001 controls addressing | Compliance status | Gaps

Develop AI Act compliance roadmap aligned with ISO 42001 implementation.

Note: EU AI Act enforcement begins phased in 2024-2026. Track implementation timelines for your AI systems.