NIST AI RMF.
Comprendre les risques de l’IA dans son usage concret, prendre des décisions justifiées et vérifier l’efficacité des mesures de protection.
- NIST AI 100-1 · AI RMF 1.0
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 8 min
Réponse courte.
Le NIST AI RMF est un cadre volontaire de gestion des risques des systèmes d’IA. L’AI Risk Management Framework 1.0 soutient le développement, l’utilisation et l’évaluation avec les fonctions Govern, Map, Measure et Manage. Il relie examens techniques, responsabilités et analyse des conséquences sur le cycle de vie ; il ne crée pas de procédure générale de certification.
AI RMF 1.0, Playbook et Generative AI Profile.
Le NIST AI RMF 1.0 est une publication du National Institute of Standards and Technology américain du 26 janvier 2023. NIST AI 100-1 décrit les risques pour les personnes, les organisations et la société ainsi que les propriétés d’une IA digne de confiance. Le cadre oriente l’examen vers l’usage réel : la réussite d’un test par un modèle ne détermine pas les conséquences de ses sorties dans un processus opérationnel.
Le NIST AI RMF Playbook complète le cadre par des suggestions d’action volontaires. Selon sa page NIST, il ne constitue pas une liste à appliquer intégralement ; les suggestions adaptées sont sélectionnées selon le contexte propre. NIST AI 600-1 de juillet 2024 est quant à lui un Generative AI Profile distinct. Il approfondit les risques de l’IA générative et complète l’édition de base sans la remplacer par une nouvelle version.
Le NIST annonce une révision d’AI RMF 1.0 sur sa page programme et dans sa FAQ actualisée en août 2026. Cette page se réfère à l’édition de base publiée et aux compléments cités. Pour votre travail, consignez la version, le profil et l’état des sources fondant l’évaluation.
À qui s’adresse l’AI Risk Management Framework.
Selon NIST AI 100-1, chapitre 2, le NIST AI RMF s’adresse à différents acteurs du cycle de vie de l’IA : développement, achats, utilisation et évaluation. La FAQ NIST cite les organisations de différentes tailles et de différents secteurs. Une entreprise achetant une IA externe peut aussi l’utiliser pour examiner son usage, ses dépendances fournisseurs et sa responsabilité propre.
L’examen doit être mené par une équipe pluridisciplinaire. Les spécialistes techniques peuvent, par exemple, vérifier le comportement d’un système, tandis que les responsables métier expliquent quelles erreurs ont des conséquences importantes dans un processus. Protection des données, sécurité et point de vue des personnes concernées complètent ce travail. Selon NIST AI 100-1, chapitre 3, les caractéristiques de confiance peuvent entrer en conflit ; une bonne mesure isolée ne remplace donc pas une décision globale justifiée.
Relier Govern, Map, Measure et Manage.
Les quatre fonctions de NIST AI 100-1, chapitre 5, organisent le travail sur les risques de l’IA. Elles ne sont pas quatre phases de projet devant obligatoirement être achevées l’une après l’autre. Govern est transversale ; les enseignements du fonctionnement et de l’évaluation conduisent à clarifier de nouveau le contexte et à prendre des décisions.
Govern : responsabilités et règles de décision.
Selon le chapitre 5.1, Govern relie le travail technique aux responsabilités, à la tolérance au risque et aux règles organisationnelles. Pour un usage concret, il faut comprendre qui répond de l’évaluation, qui peut décider des risques résiduels et quand procéder à une escalade. La gouvernance reste active après l’approbation et soutient les autres fonctions.
Map : contexte d’utilisation et conséquences possibles.
Selon le chapitre 5.2, Map examine la finalité, l’environnement, les intervenants et les impacts possibles d’un système d’IA. Un assistant de rédaction interne n’a pas les mêmes points de décision qu’une application dont les résultats contribuent au choix de candidatures. La description du contexte révèle les informations manquantes et les hypothèses limitant une évaluation ultérieure.
Measure : vérifier les affirmations avec des méthodes adaptées.
Selon le chapitre 5.3, Measure utilise des méthodes qualitatives et quantitatives pour examiner les risques et les caractéristiques pertinentes du système. Les tests doivent correspondre aux conséquences identifiées et exposer leurs limites. La portée d’un résultat dépend des données, des conditions de test et de l’usage étudié ; l’incertitude fait donc partie de l’évaluation.
Manage : piloter le traitement et le fonctionnement.
Selon le chapitre 5.4, Manage organise les mesures et décisions d’après les risques évalués. Cela comprend le traitement, la surveillance et la gestion des changements ou incidents. Une organisation doit pouvoir expliquer pourquoi elle autorise, restreint ou arrête un usage et quels résultats modifieraient ensuite cette décision.
Appliquer concrètement le NIST AI RMF.
Délimiter le cas d’usage.
Pour commencer concrètement, choisissez un processus précis soutenu par l’IA et documentez sa finalité, les limites du système, son responsable et la version du cadre utilisée.
Examiner ensemble le contexte.
Recensez les intervenants, les personnes concernées, les fournisseurs et les conséquences possibles, puis consignez les hypothèses contradictoires comme des questions ouvertes à examiner.
Déterminer les risques et les besoins d’évaluation.
Hiérarchisez les scénarios de risque pertinents et déterminez les examens techniques, évaluations métier et informations supplémentaires nécessaires à une décision solide.
Justifier le traitement et l’approbation.
Reliez les résultats aux protections, aux incertitudes restantes et à une décision assumée par un responsable, avec ses conditions et restrictions.
Suivre le fonctionnement et les changements.
Définissez les retours, incidents ou changements déclenchant une réévaluation et les personnes chargées du travail qui en découle.
Apporter des preuves par des décisions vérifiables.
Une évaluation inspirée du RMF devient traçable grâce à son périmètre, ses méthodes et ses résultats documentés. NIST AI 100-1, chapitres 4 et 6, traite de l’efficacité et des profils adaptés au contexte. Une analyse justifiée des risques, des évaluations traçables, des limites documentées et des décisions de traitement vérifiées sont notamment pertinentes. Un questionnaire rempli ne montre pas à lui seul qu’un risque est maîtrisé.
Le cadre volontaire ne contient pas de procédure de certification comparable à une norme ISO de système de management. Lors d’une évaluation externe, vérifiez l’application, la version, les méthodes et la date réellement examinées. Une attestation privée doit être jugée selon ces informations et ne doit pas être traitée comme une autorisation générale du NIST. Aucune durée générale de certificat ne découle de l’AI RMF.
D’autres référentiels pour d’autres décisions.
ISO 42001 décrit les exigences d’un système de management de l’IA et une certification indépendante possible. L’AI Act européen crée des obligations légales distinctes selon le système, le rôle et la date d’application. Le NIST CSF soutient le travail sur les risques de cybersécurité ; utiliser ces instruments ne remplace pas l’analyse contextuelle des risques de l’IA et n’entraîne pas un respect mutuel automatique.
Dans Secani.
Secani propose un catalogue de travail éditorial relatif au NIST AI RMF 1.0 en allemand et en anglais. Le profil d’IA enregistré comprend notamment le rôle, l’usage génératif, les modèles externes et le statut opérationnel. Le catalogue signale l’examen spécialisé restant à effectuer et ne couvre pas intégralement le profil distinct d’IA générative ni les futures révisions du NIST. Aucune décision automatique de conformité ou de certification n’en découle.
Commencer par une décision concrète sur l’IA.
Choisissez un usage pour lequel votre organisation doit justifier solidement une autorisation ou une restriction. Réunissez les informations de contexte, évaluations et décisions existantes et désignez le responsable. Vous pourrez alors vérifier les informations manquantes pour décider et le travail prioritaire. Ce point de départ est une recommandation pratique ; le Playbook ne prescrit pas de séquence universelle de projet.
Sources.
- NIST : AI Risk Management Framework et état de révision
- NIST AI 100-1 : AI RMF 1.0, chapitres 1–6
- NIST : questions fréquentes sur l’AI Risk Management Framework
- NIST : AI RMF Playbook
- NIST AIRC : Playbook et conseils d’application
- NIST AIRC : AI RMF Core, chapitre 5
- NIST AI 600-1 : Generative Artificial Intelligence Profile
- NIST : publication du profil d’IA générative
Questions fréquentes.
Le NIST propose l’AI RMF comme cadre volontaire. Les exigences légales ou contractuelles applicables à un usage concret de l’IA doivent être examinées séparément.
Non. La gouvernance est transversale ; les fonctions sont reliées de manière répétée selon le contexte. Ni le Core ni le Playbook ne constituent une séquence à exécuter intégralement pour chaque usage.
Non. NIST AI 600-1 est un profil complémentaire d’AI RMF 1.0 pour l’IA générative et ne remplace pas l’édition de base.
L’AI RMF ne crée pas de procédure de certification comparable à une norme ISO de système de management. Une évaluation externe doit être jugée selon sa méthode et son périmètre réel ; elle ne remplace pas un examen juridique distinct de conformité.
Traiter les risques de l’IA de manière traçable.
Secani facilite le travail sur le catalogue éditorial AI RMF et le profil d’IA associé.
Cette page présente les publications NIST de manière générale. Les sources originales citées et les exigences légales applicables à chaque usage font foi.