Qualité et ISO à l'ère de l'IA : comment adapter son système de management de la qualité aux projets IA

Un système de management de la qualité conçu pour des processus stables se heurte à une réalité nouvelle dès qu'un algorithme d'apprentissage entre dans la chaîne de décision : le comportement du système peut changer sans qu'aucune procédure n'ait été modifiée. Pour les responsables qualité, cela ne signifie pas jeter les outils historiques, PDCA, QQOQCP, audits documentaires, mais les faire porter sur de nouveaux objets : la donnée d'entraînement, la dérive de performance, la traçabilité d'une décision automatisée. Les normes ISO évoluent d'ailleurs en ce sens, avec la publication fin 2023 d'ISO/IEC 42001, dédiée au management de l'intelligence artificielle. Savoir articuler ces exigences avec ISO 9001 et ISO/IEC 27001 devient une compétence stratégique pour toute organisation qui déploie de l'IA en production.

Ce qui change réellement dans un système géré par un algorithme apprenant

Un système de management de la qualité repose historiquement sur un postulat simple : un processus bien défini produit un résultat prévisible, et toute déviation provient d'un écart par rapport à la procédure. L'intelligence artificielle, en particulier les modèles d'apprentissage, rompt ce postulat par construction. Un même modèle peut produire des résultats différents dans le temps sans qu'aucune procédure écrite n'ait changé, simplement parce que les données qu'il traite ont évolué.

Cette réalité déplace le centre de gravité du contrôle qualité. Sur un processus classique, l'audit vérifie la conformité à une procédure stable. Sur un processus intégrant de l'IA, il faut en plus vérifier que le système continue de se comporter comme attendu, ce qui suppose une surveillance continue et non plus seulement des contrôles périodiques.

Le responsable qualité doit donc élargir son objet de contrôle : non seulement le processus documenté, mais aussi la donnée qui l'alimente et la performance réelle du système dans le temps. Ignorer cette dimension revient à certifier un processus sur la base d'une photographie qui ne représente plus la réalité quelques mois plus tard.

Cette évolution ne remet pas en cause les fondamentaux de la démarche qualité, elle en déplace l'application. La logique d'amélioration continue, la traçabilité des décisions et la preuve documentée restent les piliers attendus par un client, un partenaire ou un organisme certificateur, simplement appliqués à un objet plus mouvant qu'un processus manufacturier classique.

PDCA face à l'IA : que devient chaque étape ?

Plan : cadrer les données autant que les objectifs

La phase de planification doit désormais inclure une évaluation de la donnée disponible : sa qualité, sa représentativité, son origine légale. Un objectif qualité mal posé sur un projet IA est souvent le symptôme d'une donnée insuffisamment caractérisée en amont. Cette évaluation gagne à être formalisée dans un document propre, distinct du cahier des charges fonctionnel classique.

Do : déployer avec une supervision dès le premier jour

Contrairement à un processus classique où la mise en œuvre précède le contrôle, un système IA doit être instrumenté pour être surveillé dès sa mise en production. Attendre l'étape Check pour installer les indicateurs de suivi revient à naviguer sans instruments pendant la phase la plus risquée.

Check : contrôler la dérive, pas seulement la conformité

Le contrôle qualité classique vérifie qu'un résultat respecte une spécification figée. Pour un système IA, il doit aussi détecter une dérive progressive de performance, souvent invisible sur un contrôle ponctuel mais significative sur une tendance de plusieurs semaines ou mois. Un contrôle unique en fin de projet ne suffit donc plus, il faut une cadence de revue régulière tout au long de la vie du système.

Act : réentraîner et documenter, pas seulement corriger

L'action corrective peut désormais impliquer un réentraînement du modèle plutôt qu'une simple modification de procédure. Chaque réentraînement doit être documenté et tracé au même titre qu'une révision de procédure, afin de préserver l'auditabilité du système dans le temps.

QQOQCP appliqué à un processus qui utilise de l'IA

Le QQOQCP reste un outil de cadrage pertinent, à condition de reformuler chaque question à la lumière des spécificités de l'IA. L'exercice paraît simple mais révèle souvent des angles morts que les équipes projet n'avaient pas anticipés avant le déploiement. Le passer en revue à intervalles réguliers, et pas uniquement au lancement, permet aussi de détecter qu'un usage a dérivé de son cadrage initial.

• Qui : qui a validé les données d'entraînement, qui supervise le modèle en production, qui est responsable d'une décision contestée ?
• Quoi : quelle décision ou recommandation le système produit-il, et avec quel degré d'autonomie par rapport à une validation humaine ?
• Où : où les données sont-elles stockées et traitées, et cela respecte-t-il les exigences de localisation ou de protection applicables ?
• Quand : à quelle fréquence le modèle est-il réévalué, et quand une dérive de performance déclenche-t-elle une alerte ?
• Comment : comment la décision du système peut-elle être expliquée à une personne affectée par celle-ci ?
• Pourquoi : pourquoi ce niveau d'autonomie a-t-il été choisi plutôt qu'un contrôle humain systématique ?

Les risques qualité propres à l'IA : dérive, biais, traçabilité

La dérive de performance constitue la non-conformité la plus difficile à détecter avec les outils qualité classiques, précisément parce qu'aucune règle n'a été violée. Le modèle continue de fonctionner selon sa conception initiale, mais son environnement a changé. Sans indicateur dédié, cette dérive peut passer inaperçue pendant des mois, jusqu'à un incident visible côté client ou métier.

Le biais algorithmique est aussi un problème de qualité au sens strict du terme : un système qui produit des résultats systématiquement moins fiables pour une partie de la population ne respecte pas une exigence implicite de constance et d'équité du processus. Le traiter uniquement comme un enjeu éthique, en dehors du système qualité, prive l'organisation d'un levier de détection déjà existant.

Le manque de traçabilité des décisions automatisées fragilise directement la capacité d'audit. Si personne ne peut reconstituer pourquoi un système a produit telle recommandation à telle date, avec quelle version de modèle et quelles données, l'organisation ne peut plus démontrer la maîtrise du processus, condition centrale de toute certification qualité.

Documenter et auditer un processus IA : ce qu'il faut pouvoir montrer

Un audit qualité sur un processus intégrant de l'IA doit pouvoir s'appuyer sur une documentation qui va au-delà de la procédure écrite habituelle. L'auditeur doit pouvoir retracer l'origine des données utilisées, la version du modèle en vigueur à une date donnée, et les critères de validation appliqués avant chaque mise en production.

En pratique, cela suppose de tenir un registre dédié, parfois appelé fiche modèle, qui centralise ces informations et les met à jour à chaque évolution significative. Ce registre devient la pièce maîtresse de la preuve de maîtrise du processus, au même titre que les enregistrements qualité classiques sur un processus manufacturier. Sans cette centralisation, l'information existe souvent quelque part chez les équipes techniques, mais elle reste inexploitable au moment d'un audit.

• Origine et traitement des données d'entraînement et de validation
• Version du modèle en production et historique des réentraînements
• Critères et résultats des tests de performance avant mise en production
• Points de supervision humaine et conditions de leur déclenchement
• Journal des incidents et des actions correctives liées au modèle

ISO 9001, ISO/IEC 27001, ISO/IEC 42001 : qui couvre quoi ?

ISO 9001 reste le cadre de référence pour tout système de management de la qualité, y compris lorsqu'il intègre des processus IA : approche processus, amélioration continue, gestion des risques et des parties intéressées s'appliquent sans modification de principe. La différence tient à la nature des objets à intégrer dans ce cadre, pas à la remise en cause du cadre lui-même.

ISO/IEC 27001, la norme de référence en sécurité de l'information, prend une importance particulière avec l'IA, car les données d'entraînement et les modèles eux-mêmes deviennent des actifs à protéger, au même titre qu'une base de données classique. La confidentialité des données d'entraînement, l'intégrité du modèle et la maîtrise des accès aux environnements d'entraînement relèvent directement de son périmètre.

ISO/IEC 42001, publiée fin 2023, est la première norme internationale dédiée spécifiquement au management de l'intelligence artificielle. Elle structure des exigences propres à l'IA, gestion du risque algorithmique, impact sur les personnes, transparence, sans remplacer ISO 9001 ou ISO/IEC 27001. Une organisation mature l'utilise en complément de ces deux normes, pas comme un substitut. Pour une PME qui découvre ces enjeux, il est généralement plus réaliste de commencer par renforcer ses pratiques qualité et sécurité existantes que de viser d'emblée une certification sur les trois référentiels à la fois.

Les indicateurs qualité à suivre pour un système IA en production

Le suivi d'un système IA en production combine des indicateurs techniques et des indicateurs de gouvernance. Sur le plan technique, la stabilité des métriques de performance dans le temps, le taux d'intervention humaine sur les décisions signalées comme incertaines, et la fréquence des réentraînements donnent une image de la santé du modèle. Aucun de ces indicateurs pris isolément ne suffit à conclure sur la maîtrise du processus.

Sur le plan de la gouvernance, le délai de traitement des incidents liés au modèle, le taux de complétude de la documentation exigée, et le nombre de décisions contestées ou révisées par un opérateur humain complètent utilement le tableau de bord qualité. Ces indicateurs rejoignent des pratiques déjà connues des responsables qualité, appliquées à un objet nouveau.

Le rôle du responsable qualité change, pas seulement ses outils

Le responsable qualité qui s'approprie ces nouveaux objets de contrôle ne change pas de métier, il l'étend. La rigueur méthodologique, la culture de la preuve et la capacité à structurer un audit restent les mêmes compétences fondamentales. Ce qui change, c'est la nécessité de dialoguer directement avec les équipes data, au même titre qu'un responsable qualité industriel dialogue historiquement avec la production.

Les organisations qui réussissent cette transition ne cherchent pas l'exhaustivité normative dès le premier projet. Elles commencent par intégrer un processus IA pilote dans leur système qualité existant, documentent ce qui doit l'être, mesurent ce qui doit l'être, puis étendent progressivement cette rigueur à mesure que les usages de l'IA se multiplient dans l'organisation. C'est cette progressivité, plus qu'une refonte complète du système qualité, qui rend la démarche tenable dans la durée.

Questions fréquentes