NIST AI Risk Management Framework et conformité européenne

Le cadre s'organise autour de quatre fonctions : Govern (gouvernance organisationnelle), Map (compréhension du contexte), Measure (analyse et évaluation des risques), Manage (priorisation et traitement) [1]. Chaque fonction se décompose en catégories et sous-catégories, et chaque sous-catégorie fait l'objet de pratiques recommandées.

Le NIST publie également des profils sectoriels (Generative AI Profile en 2024) qui adaptent le cadre à des cas d'usage spécifiques. Le caractère modulaire facilite l'intégration progressive dans une organisation existante.

Plusieurs cartographies publiées en 2024 et 2025 montrent une convergence forte. Les fonctions Govern et Map du RMF couvrent les obligations du Règlement européen sur l'IA en matière de système de gestion des risques (article 9), de gouvernance des données (article 10) et de transparence (articles 13 et 50) [2].

Les fonctions Measure et Manage couvrent les obligations d'exactitude, de robustesse et de cybersécurité (article 15) ainsi que de supervision humaine (article 14). Le RMF n'emporte pas présomption de conformité, mais une organisation qui l'a mis en œuvre dispose d'une bonne base pour franchir la conformité européenne.

La norme ISO/IEC 42001:2023 décrit un système de management de l'intelligence artificielle (AIMS) [3]. Le NIST AI RMF est un cadre de gestion des risques. Les deux sont compatibles : ISO 42001 fournit la structure organisationnelle certifiable (politique, rôles, audit, amélioration continue) ; le NIST AI RMF fournit le contenu opérationnel (méthodes, contrôles, profils sectoriels).

Une organisation peut viser une certification ISO 42001 et utiliser le RMF comme guide d'implémentation des contrôles. C'est l'approche que nous recommandons pour les entreprises mondiales avec présence transatlantique.

Quatre étapes opérationnelles. Premièrement, un audit de l'existant projeté sur les fonctions du RMF, qui révèle les écarts. Deuxièmement, une priorisation par criticité des systèmes IA, avec mise à jour de l'inventaire. Troisièmement, la mise en œuvre des contrôles manquants dans l'ordre Govern, Map, Measure, Manage, en commençant par les systèmes à plus fort impact.

Quatrièmement, un cycle de révision annuel piloté par un comité IA. Le NIST publie des questionnaires d'auto-évaluation et des profils sectoriels (santé, finance) qui accélèrent la mise en route [1].

Trois différences à connaître. D'abord, le RMF ne classe pas les systèmes par niveau de risque obligatoire, alors que le Règlement européen sur l'IA impose une classification (interdit, haut risque, risque limité, minimal) [2]. Ensuite, le RMF n'impose pas de marquage de conformité ni de documentation technique ; le Règlement européen sur l'IA exige les deux pour les systèmes à haut risque.

Enfin, le RMF ne couvre pas les obligations spécifiques RGPD (article 22, AIPD) ; ces obligations doivent être traitées en parallèle [4]. Le RMF est un complément, pas un substitut au cadre européen.