Réglementations IA › NIST AI RMF
NIST AI RMF : le cadre américain de gestion des risques de l’IA
Quatre fonctions, sept caractéristiques d’une IA digne de confiance : une méthode volontaire pour identifier, mesurer et traiter les risques.
- DocumentNIST AI 100-1 (AI RMF 1.0)
- Publication26 janvier 2023
- NatureVolontaire, non certifiable
- Structure4 fonctions, 19 catégories, 72 sous-catégories
Le NIST AI RMF en bref : un cadre volontaire pour gérer les risques de l’IA
Publié le 26 janvier 2023 par le National Institute of Standards and Technology (NIST), l’AI RMF aide les organisations à intégrer la fiabilité dans la conception, le développement, l’usage et l’évaluation des systèmes d’IA.
Volontaire
Ce n’est ni une loi ni une norme certifiable : les organisations l’adoptent comme méthode et comme référence commune.
Valable pour tous les secteurs
Le cadre s’applique à toute organisation qui conçoit, développe, déploie ou utilise de l’IA, quels que soient sa taille et son secteur.
Fondé sur des résultats
Il décrit des résultats à atteindre plutôt que des procédures imposées, ce qui le rend souple et adaptable.
Un cadre qui évolue
Il s’accompagne d’un Playbook et de profils, comme celui sur l’IA générative, et il est en cours de révision selon le NIST.
Source : page officielle du NIST.
Les quatre fonctions : Govern, Map, Measure, Manage
Govern s’applique à l’ensemble de la démarche. Map, Measure et Manage s’appliquent à chaque système d’IA, de façon itérative.
Govern : gouverner
Politiques, responsabilités, supervision et culture du risque, à l’échelle de l’organisation.
Map : cartographier
Contexte, finalités, parties prenantes, risques et impacts potentiels de chaque système d’IA.
Measure : mesurer
Analyse, évaluation et suivi des risques et de la fiabilité, avec des indicateurs et des tests.
Manage : traiter
Priorisation et traitement des risques, réponse aux incidents et documentation du risque résiduel.
Sept caractéristiques d’une IA digne de confiance
Le cadre s’appuie sur sept caractéristiques, que la fonction Measure sert à évaluer.
- Valide et fiable (valid and reliable) : le système fonctionne comme prévu pour son usage, avec exactitude et robustesse.
- Sûre (safe) : le système ne met pas en danger les personnes, leur santé ou leurs biens.
- Sécurisée et résiliente (secure and resilient) : le système résiste aux attaques et aux incidents.
- Responsable et transparente (accountable and transparent) : les informations sont accessibles et les responsabilités claires.
- Explicable et interprétable (explainable and interpretable) : le fonctionnement et les résultats se comprennent.
- Protectrice de la vie privée (privacy-enhanced) : les données personnelles sont protégées et leur usage limité.
- Équitable, biais nuisibles maîtrisés (fair, with harmful bias managed) : les biais sont identifiés et traités.
Source : NIST AI 100-1, partie 1.
Les ressources du NIST autour du cadre
Le NIST complète le cadre par des outils pratiques et des profils thématiques.
Playbook
Un guide d’actions suggérées pour atteindre les résultats de chaque fonction, publié avec le cadre.
Profil IA générative
Publié le 26 juillet 2024 (NIST AI 600-1), il aide à identifier les risques propres à l’IA générative et propose des actions de gestion.
Profil infrastructures critiques
Une note de cadrage a été publiée le 7 avril 2026 pour un profil destiné aux opérateurs d’infrastructures critiques.
Selon le NIST, l’AI RMF 1.0 est en cours de révision dans le cadre du plan d’action américain sur l’IA. Il est préférable de s’appuyer sur la démarche plutôt que sur la lettre du texte, et de suivre les publications du NIST.
NIST AI RMF, AI Act, ISO 42001 : trois approches complémentaires
Chaque référentiel répond à une question différente, et tous s’appuient sur la même base : savoir quelles IA sont utilisées, par qui et pour quoi.
NIST AI RMF
Comment raisonner et traiter les risques de l’IA avec méthode.
AI Act
Ce que la loi exige, système par système.
ISO/IEC 42001
Comment organiser durablement la gouvernance de l’IA et la faire certifier.
Comment Fruggr s’aligne sur le NIST AI RMF
La navigation de la plateforme suit la même logique : gouverner, cartographier et mesurer, puis traiter.
Govern
Rôles, responsabilités, politiques et contrôles réunis dans une même plateforme, avec des preuves à jour.
Map et Measure
Un registre vivant des systèmes d’IA, y compris le Shadow AI, la classification des risques et la mesure des usages réels : coûts, consommation, impact.
Manage
Des actions correctives et un suivi du ROI par initiative, pour traiter les risques sans freiner la valeur.
pour couvrir les quatre fonctions du NIST AI RMF : gouverner, cartographier, mesurer et traiter les risques de l’IA, avec en plus le suivi des coûts et du ROI. Voir comment Fruggr pilote le ROI de l’IA →
Sources officielles et pour aller plus loin
Les informations de cette page s’appuient sur les publications du NIST.
Sources officielles
- AI Risk Management Framework, page officielle du NIST
- NIST AI 100-1 : AI RMF 1.0, janvier 2023
- AI RMF Playbook, Trustworthy and Responsible AI Resource Center
- NIST AI 600-1 : profil sur l’IA générative, juillet 2024
Voir aussi
- Réglementations IA : vue d’ensemble
- AI Act, le règlement européen sur l’IA
- ISO/IEC 42001, la norme de management de l’IA
- Shadow AI et registre des systèmes d’IA
Questions fréquentes sur le NIST AI RMF
Qu’est-ce que le NIST AI RMF ?
Le NIST AI Risk Management Framework (AI RMF 1.0, document NIST AI 100-1) est un cadre volontaire publié le 26 janvier 2023 par le National Institute of Standards and Technology, aux États-Unis. Il aide les organisations à gérer les risques de l’IA et à intégrer la fiabilité dans la conception, le développement, l’usage et l’évaluation des systèmes d’IA.
Le NIST AI RMF est-il obligatoire ou certifiable ?
Non. Il est d’usage volontaire et ne donne pas lieu à une certification. Les organisations l’utilisent comme méthode et comme référence commune, par exemple pour répondre aux questions de clients ou de partenaires sur la gestion de leurs risques liés à l’IA.
Le NIST AI RMF concerne-t-il une entreprise européenne ?
Il n’a pas de valeur réglementaire en Europe. Il est toutefois largement utilisé comme méthode, en particulier par les organisations qui travaillent avec des clients, des filiales ou des fournisseurs nord-américains. Il se combine bien avec l’AI Act et l’ISO/IEC 42001.
Quelles sont les quatre fonctions du NIST AI RMF ?
Govern (gouverner) pose les politiques, les responsabilités et la culture du risque. Map (cartographier) établit le contexte et identifie les risques de chaque système. Measure (mesurer) analyse, évalue et suit ces risques. Manage (traiter) priorise les risques, y répond et documente le risque résiduel.
Quelle différence entre le NIST AI RMF, l’AI Act et l’ISO 42001 ?
L’AI Act est un règlement européen obligatoire qui dit ce qui est exigé. L’ISO/IEC 42001 est une norme certifiable qui dit comment organiser et prouver une gouvernance de l’IA. Le NIST AI RMF est un cadre volontaire qui dit comment raisonner et traiter les risques. Ils se complètent.
Le NIST AI RMF va-t-il évoluer ?
Oui. Selon le NIST, l’AI RMF 1.0 est en cours de révision dans le cadre du plan d’action américain sur l’IA. Il est donc préférable de s’appuyer sur la démarche plutôt que sur la lettre du texte, et de suivre les publications du NIST.
Gérer les risques de l’IA : faites le point sur vos usages
En une démo, voyez comment Fruggr recense vos systèmes d’IA, mesure leurs usages et suit vos risques.