Table de correspondanceNIST AI RMF 1.021 octobre 2026
Mettre en œuvre le NIST AI RMF, contrôle par contrôle
Pour mettre en œuvre le NIST AI RMF dans une entreprise, rattachez chacune de ses 72 sous-catégories à un contrôle doté d’un responsable nommé, exécutez ce contrôle dans le processus métier et conservez l’enregistrement qu’il écrit au moment de l’action. Cette page publie ce rattachement pour nos 15 contrôles de gouvernance, avec la preuve de chacun, ce que le NIST laisse au déployeur et le statut juridique américain au 21 octobre 2026.
Sur cette page
Une correspondance publiée, vérifiable ligne par ligne.
Dans ce document, « nous » désigne Hikari Blue, l’entreprise qui installe le cadre de gouvernance de l’IA d’entreprise chez ses clients puis le leur transfère. La correspondance est la nôtre : le NIST ne l’a ni examinée ni approuvée.
Les identifiants et les intitulés suivent NIST AI 100-1, tableaux 1 à 4 : 4 fonctions, 19 catégories et 72 sous-catégories. GOVERN fixe les politiques et les responsabilités pour toute l’organisation ; MAP établit le contexte de chaque système d’IA, MEASURE évalue et suit ses risques, et MANAGE les traite, jusqu’à la désactivation.
Chaque ligne nomme un contrôle de notre cadre, les sous-catégories pour lesquelles il produit une preuve, et la pièce qu’un auditeur demande, jamais une présentation à son sujet.
15 contrôles, les sous-catégories qu’ils servent et la preuve de chacun.
Chaque ligne se lit de gauche à droite : le contrôle, les sous-catégories du NIST AI RMF 1.0 pour lesquelles il produit une preuve, la pièce qu’un auditeur demande et la nature de cette preuve. Une sous-catégorie peut figurer sur plusieurs lignes, car un contrôle la satisfait rarement seul.
| Contrôle | NIST AI RMF 1.0 | Preuve demandée par un auditeur | Type de preuve |
|---|---|---|---|
| GOV-P-01 · Registre et classification des cas d’usage | GOVERN 1.3 · GOVERN 1.6 · MAP 1.1 · MAP 2.1 · MAP 3.3 | Le registre des cas d’usage, chaque entrée avec la justification de sa classification signée par le responsable des risques IA. | Registre |
| GOV-P-02 · Politique en code | GOVERN 1.1 · GOVERN 1.4 · MANAGE 1.3 | Le dépôt des politiques avec son historique de versions et ses approbations, et le journal des écarts qui liste les règles écrites qu’aucune exécution n’applique. | Registre et journal |
| GOV-P-03 · Choix des modèles et maîtrise des changements | GOVERN 6.1 · GOVERN 6.2 · MAP 4.2 · MANAGE 3.1 · MANAGE 3.2 | La table de routage, avec un modèle principal, un modèle de repli et un corridor par classe de tâches ; les entrées de changement dans la piste ; le compte rendu de la revue trimestrielle des fournisseurs. | Journal et revue |
| GOV-P-04 · Notice d’utilisation et transparence | GOVERN 4.2 · MAP 2.2 | Une notice d’utilisation par système, versionnée avec le modèle, et les textes d’information présentés aux personnes concernées. | Registre |
| GOV-D-01 · Corridor de résidence par charge | MAP 4.2 · MEASURE 2.7 · MEASURE 2.10 | La carte de résidence et le journal des refus des appels hors corridor, revu chaque semaine. | Registre et journal |
| GOV-D-02 · Analyses d’impact avant la production | MAP 5.1 · MEASURE 2.10 · MANAGE 1.1 | Les analyses d’impact signées, sur la protection des données et sur les droits fondamentaux, chacune liée à son entrée du registre et datée avant la première mise en production. | Revue |
| GOV-D-03 · Entrées par référence | MEASURE 2.7 · MEASURE 2.10 | Des échantillons trimestriels d’enregistrements de la piste qui ne contiennent que des références ou des empreintes, et la fiche de décision d’architecture. | Test |
| GOV-A-01 · Une identité par agent | GOVERN 1.6 · GOVERN 2.1 · MEASURE 2.8 | Le registre des agents, rapproché chaque semaine du fournisseur d’identité de l’entreprise. | Registre |
| GOV-A-02 · Périmètre et budget déclarés | MAP 3.3 · MEASURE 2.7 · MANAGE 1.3 | La matrice des permissions et le journal des refus, chaque refus portant la version de la politique qui a bloqué l’appel. | Registre et journal |
| GOV-A-03 · Vérification humaine des sorties à enjeu | GOVERN 3.2 · MAP 3.4 · MAP 3.5 | Le champ de vérification humaine de chaque enregistrement, avec l’identité et le motif, et le dossier de compétence du vérificateur. | Journal |
| GOV-A-04 · Chemin d’arrêt et exercice | MEASURE 2.6 · MANAGE 2.3 · MANAGE 2.4 | La procédure d’exploitation de l’arrêt d’urgence (kill switch) et l’historique de ses exercices, avec le temps mesuré entre le déclenchement et l’arrêt, et l’autorisation de reprise. | Test |
| GOV-E-01 · Piste en ajout seul et chaînée | MEASURE 2.4 · MEASURE 2.8 · MANAGE 4.1 | La piste elle-même, un enregistrement à 9 champs par action, et le résultat quotidien de la vérification de la chaîne d’empreintes. | Journal et test |
| GOV-E-02 · Registres de maîtrise de l’IA datés | GOVERN 2.2 · MAP 3.4 | Des attestations de formation datées, liées aux identités des registres des agents et des opérateurs, renouvelées chaque année. | Registre |
| GOV-E-03 · Surveillance et registre des incidents | GOVERN 4.3 · MEASURE 3.1 · MANAGE 4.1 · MANAGE 4.3 | Le registre des incidents : heure de détection, action d’arrêt, décision de notification par régime et cause racine de chaque incident. | Registre |
| GOV-E-04 · Rapport trimestriel au conseil | GOVERN 1.5 · GOVERN 2.3 · MANAGE 1.4 | Le rapport trimestriel signé, chaque chiffre relié aux enregistrements qu’il agrège, et le procès-verbal du conseil qui l’a reçu. | Revue |
3 sections du cadre répondent à GOVERN dans son ensemble.
Les rôles, la cadence et la maturité ne sont pas des contrôles. Ils portent les obligations de responsabilité et de revue que GOVERN impose à l’organisation.
| Section du cadre | NIST AI RMF 1.0 | Preuve demandée par un auditeur | Type de preuve |
|---|---|---|---|
| 2 · Rôles et 3 · Droits de décision | GOVERN 2.1 · GOVERN 2.3 · GOVERN 3.2 | Le tableau des droits de décision signé pour chaque processus métier, avec un seul rôle redevable par décision. | Revue |
| 6 · Cadence | GOVERN 1.5 | Le calendrier des 5 cadences et la trace de chaque revue tenue. | Revue |
| 7 · Modèle de maturité | Profils AI RMF, AI 100-1, section 6 | L’évaluation de maturité lue comme un profil actuel (Current Profile), avec un profil cible daté (Target Profile) et les écarts entre les deux. | Revue |
Types de preuve. Un journal est écrit par le système au moment de l’action. Un registre est tenu par un responsable nommé. Un test est exécuté et son résultat conservé. Une revue est une décision datée d’une personne ou d’une instance nommée.
Les énoncés, responsables et cadences des contrôles sont ceux du cadre de gouvernance de l’IA d’entreprise v1.0, publié le 25 septembre 2026.
36 sous-catégories sur 72 reçoivent une preuve directe. Les 36 autres relèvent d’autres équipes.
Une correspondance qui revendique les 72 sous-catégories masque le travail restant. Les 15 contrôles gouvernent, tracent et arrêtent ; ils n’évaluent pas un modèle et ne rédigent pas de dossier de valeur.
| Fonction | Sous-catégories de l’AI RMF 1.0 | Preuve directe des 15 contrôles | Relevant d’un autre programme |
|---|---|---|---|
| GOVERN | 19 | 13 | 6 |
| MAP | 18 | 8 | 10 |
| MEASURE | 22 | 6 | 16 |
| MANAGE | 13 | 9 | 4 |
| Total | 72 | 36 | 36 |
Où se trouvent les 36 autres sous-catégories.
Tests et évaluation des modèles · 16
MEASURE 1.1 à 1.3, 2.1 à 2.3, 2.5, 2.9, 2.11 à 2.13, 3.2, 4.1 à 4.3, et MAP 2.3.
Jeux de test, validité, explicabilité, équité, impact environnemental et efficacité des indicateurs. Les équipes modèles et des évaluateurs indépendants produisent ces preuves ; la couche fixe la version du modèle à laquelle elles se rapportent.
Dossier de valeur et tolérance au risque · 9
MAP 1.3 à 1.6, 3.1, 3.2, et MANAGE 1.2, 2.1, 2.2.
Mission, valeur métier, tolérance au risque, exigences, coûts et alternatives sans IA : un travail de diagnostic que le dirigeant responsable tranche avant la construction.
Équipes, culture et retours extérieurs · 8
GOVERN 3.1, 4.1, 5.1, 5.2, MAP 1.2, 5.2, MEASURE 3.3 et MANAGE 4.2.
Composition des équipes, culture de la sûreté, retours extérieurs et voies de recours des utilisateurs. La direction et les propriétaires des systèmes en répondent ; la piste enregistre recours et reprises en main dès qu’ils existent.
Contenu des politiques et bornes du cycle de vie · 3
GOVERN 1.2, 1.7 et MAP 4.1.
Confiance inscrite dans les politiques, mise hors service, et risques juridiques et de propriété intellectuelle des composants tiers. Le responsable des risques IA en répond, avec le conseil juridique.
Les 36 sous-catégories, et les contrôles qui en apportent la preuve.
Paraphrase de NIST AI 100-1 ; le texte officiel fait foi.
| Sous-catégorie | Ce que demande le NIST, en bref | Preuve apportée par |
|---|---|---|
| GOVERN 1.1 | Les exigences légales et réglementaires applicables à l’IA sont comprises, gérées et documentées. | GOV-P-02 |
| GOVERN 1.3 | Le niveau des activités de gestion des risques suit la tolérance au risque de l’organisation. | GOV-P-01 |
| GOVERN 1.4 | La gestion des risques passe par des politiques, des procédures et des contrôles transparents. | GOV-P-02 |
| GOVERN 1.5 | La surveillance et la revue périodique sont planifiées, avec des rôles et une fréquence définis. | GOV-E-04, Section 6 |
| GOVERN 1.6 | Les systèmes d’IA sont inventoriés, avec des moyens fixés selon la priorité des risques. | GOV-P-01, GOV-A-01 |
| GOVERN 2.1 | Les rôles, les responsabilités et les circuits de communication sur les risques de l’IA sont documentés. | GOV-A-01, Sections 2 et 3 |
| GOVERN 2.2 | Le personnel et les partenaires reçoivent une formation à la gestion des risques de l’IA. | GOV-E-02 |
| GOVERN 2.3 | La direction assume la responsabilité des décisions sur les risques de l’IA. | GOV-E-04, Sections 2 et 3 |
| GOVERN 3.2 | Les rôles dans les configurations humain-IA et dans la supervision des systèmes d’IA sont définis. | GOV-A-03, Sections 2 et 3 |
| GOVERN 4.2 | Les équipes documentent les risques et les impacts de l’IA qu’elles utilisent et en rendent compte. | GOV-P-04 |
| GOVERN 4.3 | Des pratiques permettent les tests de l’IA, l’identification des incidents et le partage d’information. | GOV-E-03 |
| GOVERN 6.1 | Des politiques traitent les risques de l’IA liés aux logiciels, aux données et aux chaînes d’approvisionnement tiers. | GOV-P-03 |
| GOVERN 6.2 | Des plans de continuité couvrent les défaillances des données ou des systèmes d’IA tiers à haut risque. | GOV-P-03 |
| MAP 1.1 | La finalité, le contexte, les lois applicables et les conditions d’usage sont documentés. | GOV-P-01 |
| MAP 2.1 | Les tâches et les méthodes prises en charge par le système d’IA sont définies. | GOV-P-01 |
| MAP 2.2 | Les limites du système, ainsi que l’usage et la supervision humaine de ses sorties, sont documentés. | GOV-P-04 |
| MAP 3.3 | Le périmètre d’application visé est précisé et documenté. | GOV-P-01, GOV-A-02 |
| MAP 3.4 | La compétence des opérateurs et des praticiens est définie, évaluée et documentée. | GOV-A-03, GOV-E-02 |
| MAP 3.5 | Les processus de supervision humaine sont définis, évalués et documentés. | GOV-A-03 |
| MAP 4.2 | Les contrôles internes des risques des composants, IA tierce comprise, sont documentés. | GOV-P-03, GOV-D-01 |
| MAP 5.1 | La probabilité et l’ampleur de chaque impact identifié sont documentées. | GOV-D-02 |
| MEASURE 2.4 | Le fonctionnement et le comportement du système sont surveillés en production. | GOV-E-01 |
| MEASURE 2.6 | Les risques pour la sûreté sont évalués ; le système peut s’arrêter sans danger et les temps de réponse aux défaillances sont suivis. | GOV-A-04 |
| MEASURE 2.7 | La sécurité et la résilience sont évaluées et documentées. | GOV-D-01, GOV-D-03, GOV-A-02 |
| MEASURE 2.8 | Les risques de transparence et de responsabilité sont examinés et documentés. | GOV-A-01, GOV-E-01 |
| MEASURE 2.10 | Le risque pour la vie privée est examiné et documenté. | GOV-D-01, GOV-D-02, GOV-D-03 |
| MEASURE 3.1 | Les risques existants, imprévus et émergents sont suivis dans le temps. | GOV-E-03 |
| MANAGE 1.1 | Une décision est prise sur la poursuite du développement ou du déploiement. | GOV-D-02 |
| MANAGE 1.3 | Les réponses aux risques prioritaires sont élaborées, planifiées et documentées. | GOV-P-02, GOV-A-02 |
| MANAGE 1.4 | Les risques résiduels négatifs sont documentés. | GOV-E-04 |
| MANAGE 2.3 | Des procédures permettent de répondre à un risque jusque-là inconnu et de s’en rétablir. | GOV-A-04 |
| MANAGE 2.4 | Des mécanismes et des responsabilités attribuées permettent de remplacer, de désengager ou de désactiver un système. | GOV-A-04 |
| MANAGE 3.1 | Les risques de l’IA tierce sont surveillés et des contrôles appliqués. | GOV-P-03 |
| MANAGE 3.2 | Les modèles pré-entraînés utilisés sont surveillés. | GOV-P-03 |
| MANAGE 4.1 | La surveillance après déploiement, le recours et la reprise en main, la réponse aux incidents et la gestion des changements sont en place. | GOV-E-01, GOV-E-03 |
| MANAGE 4.3 | Les incidents et les erreurs sont communiqués, suivis et traités. | GOV-E-03 |
Le NIST nomme le résultat. Il vous laisse le mécanisme.
Le NIST a publié l’AI RMF 1.0 en janvier 2023, avant que des agents IA n’agissent dans les processus métier des entreprises. Une recherche dans NIST AI 100-1 ne trouve aucune occurrence des mots agent, log ou kill switch.
MANAGE 2.4 demande des mécanismes, avec des responsabilités attribuées, pour remplacer, désengager ou désactiver un système d’IA dont les résultats s’écartent de l’usage prévu. Il ne dit pas qui peut déclencher l’arrêt, en combien de temps le système doit s’arrêter, qui autorise la reprise, ni quel enregistrement prouve l’arrêt.
Le profil IA générative ajoute 4 actions suggérées sous MANAGE 2.4, des plans de communication aux critères de désactivation. Aucune ne fixe de délai d’arrêt.
Ce que la couche d’exploitation de l’IA ajoute.
GOV-A-01 · Une identité par agent
Chaque agent agit sous sa propre identité, délivrée par le fournisseur d’identité de l’entreprise : chaque action est attribuable. Sans elle, MEASURE 2.8 ne peut pas être prouvé dans un processus métier agentique.
GOV-A-02 · Périmètre et budget déclarés
Les outils, les données et le budget de chaque agent sont déclarés. Un appel hors de ce périmètre est refusé avant exécution, puis journalisé avec la version de la politique qui l’a refusé.
GOV-A-04 · Chemin d’arrêt et exercice
Tout opérateur ou vérificateur nommé arrête un agent, un modèle ou un processus métier en une action ; seul le responsable des risques IA autorise la reprise. L’exercice enregistre le temps entre le déclenchement et l’arrêt.
GOV-E-01 · Piste en ajout seul et chaînée
9 champs par action, chaînés par empreinte, exportés vers un régulateur sans reconstitution. Le NIST demande de la documentation ; cet enregistrement est la documentation.
GOV-P-02 · Politique en code
Une règle écrite sans point d’application est consignée comme un écart, et chaque enregistrement porte l’identifiant et la version de la politique appliquée.
- Time to Stop d’une IA : définition et méthode Comment chronométrer le chemin du premier signal à l’arrêt vérifié, lors d’un Kill Switch Drill sur table. Auto-déclaré.
- Architecture de référence : les 4 contrôles testables Le contrôle C4 précise le test d’arrêt qu’un acheteur exécute et sa condition de réussite.
Volontaire au NIST, cité par la loi texane, en sortie de la loi du Colorado.
Le NIST publie le cadre pour un usage volontaire. Son poids juridique vient des lois des États qui le citent, et cette liste a changé en 2026. Chaque statut ci-dessous a été lu dans sa source primaire le 21 octobre 2026.
| Texte | Ce qu’il dit de l’AI RMF | Statut au 21 octobre 2026 |
|---|---|---|
| NIST AI 100‑1, AI RMF 1.0 | 4 fonctions, 19 catégories, 72 sous-catégories. Le NIST indique que le cadre est destiné à un usage volontaire. | Publié le 26 janvier 2023. Le NIST indique qu’il est en cours de révision au titre du plan d’action IA de la Maison-Blanche ; la version 1.0 reste le texte publié. |
| NIST AI 600‑1, Generative AI Profile | 12 risques propres à l’IA générative ou aggravés par elle, avec des actions suggérées rattachées aux sous-catégories de l’AI RMF. | Publié le 26 juillet 2024. Cité par la loi texane depuis le 1er janvier 2026. |
| NIST AI RMF Playbook | Des actions suggérées par sous-catégorie. Le NIST précise qu’il ne s’agit ni d’une liste de contrôle ni d’une suite d’étapes à suivre intégralement. | Mis à jour environ deux fois par an selon le NIST, qui le mettra à jour après la révision de l’AI RMF. |
| Texas HB 149, Texas Responsible Artificial Intelligence Governance Act | Article 552.105(e)(2)(D) du Business and Commerce Code : un défendeur ne peut être tenu responsable lorsqu’il découvre une violation par un processus de revue interne tout en se conformant pour l’essentiel à la dernière version du profil IA générative du NIST, ou à un autre cadre de gestion des risques de l’IA reconnu au niveau national ou international. | Signée le 22 juin 2025, en vigueur depuis le 1er janvier 2026. Appliquée par le seul procureur général du Texas, après une mise en demeure de 60 jours ; amendes civiles jusqu’à 200 000 $ par violation non corrigeable. |
| Colorado SB24-205, Consumer Protections for Artificial Intelligence | Programmes de gestion des risques des déployeurs appréciés au regard de la dernière version du NIST AI RMF, d’ISO/IEC 42001 ou d’un cadre équivalent (C.R.S. 6-1-1703(2)). Un moyen de défense dans les actions du procureur général pour qui découvre et corrige une violation et respecte par ailleurs l’AI RMF et ISO/IEC 42001, ou un équivalent (6-1-1706(3)). | Signée le 17 mai 2024. Obligations reportées au 30 juin 2026 par SB25B-004, signée le 28 août 2025. Depuis le 27 avril 2026, une ordonnance d’une US District Court interdit au procureur général d’engager des poursuites tant que la procédure réglementaire n’est pas close et que le tribunal n’a pas statué dans X.AI LLC v. Weiser. |
| Colorado SB26-189, Automated Decision-Making Technology | Abroge et réécrit la même partie du droit du Colorado autour des technologies de décision automatisée. Le texte adopté ne mentionne ni le NIST AI RMF ni un moyen de défense fondé sur un cadre. | Signée le 14 mai 2026. L’essentiel des dispositions entre en vigueur le 1er janvier 2027 et s’applique aux décisions à enjeu prises à partir de cette date. |
Au Texas, depuis le 1er janvier 2026, la conformité pour l’essentiel au profil IA générative conditionne un moyen de défense prévu par la loi, et cette conformité se démontre par des enregistrements, pas par une politique.
Au Colorado, la référence légale à l’AI RMF ne survit pas à la réécriture qui entre en vigueur le 1er janvier 2027, et une suspension approuvée par le tribunal gèle l’application du texte de 2024 depuis le 27 avril 2026. Les guides qui présentent encore la loi du Colorado comme une protection fondée sur le NIST décrivent un texte en voie de disparition.
Dans les deux États, l’actif durable est le même : des enregistrements qui montrent ce que le système a fait, sous quelle règle, approuvé par qui.
Ceci n’est pas un avis juridique. L’application d’une loi à un système donné relève d’un conseil juridique.
90 jours sur un processus métier, fonction par fonction.
Nous installons le cadre sur un processus métier déjà en production, puis nous l’étendons. Chaque étape se clôt sur des pièces, et chaque pièce répond à des sous-catégories nommées.
- 01
Jours 1 à 30 · GOVERN et MAP
Enregistrer et classer les cas d’usage, nommer le dirigeant responsable et le responsable des risques IA, signer le tableau des droits de décision et rédiger la notice d’utilisation du premier processus métier.
Preuves : registre des cas d’usage (GOVERN 1.6, MAP 1.1), droits de décision signés (GOVERN 2.1, GOVERN 2.3), notice d’utilisation (MAP 2.2), liste des écarts au regard des 15 contrôles.
- 02
Jours 31 à 60 · MEASURE et MANAGE
Traduire les politiques en code, donner à chaque agent son identité et son périmètre, démarrer la piste chaînée et mener le premier exercice d’arrêt d’urgence.
Preuves : dépôt des politiques (GOVERN 1.4), registre des agents (GOVERN 1.6), piste en service (MEASURE 2.4), compte rendu d’exercice avec temps d’arrêt mesuré (MANAGE 2.4).
- 03
Jours 61 à 90 · Profils et reporting
Former et nommer les vérificateurs, tenir la cadence hebdomadaire, émettre le premier rapport au conseil à partir de la piste, et lire le niveau de maturité comme un profil actuel NIST, avec un profil cible daté.
Preuves : attestations de formation datées (GOVERN 2.2), premier rapport au conseil (GOVERN 2.3), profils actuel et cible (AI 100-1, section 6).
Les 90 jours et les niveaux de maturité sont ceux du cadre de gouvernance, sections 7 et 8. Le transfert à l’équipe du client dépend du plan de transfert, pas des 90 jours.
Les questions que posent les acheteurs sur le NIST AI RMF.
Le NIST AI RMF est-il obligatoire ?
Non. Le NIST indique que l’AI RMF est destiné à un usage volontaire, et le cadre ne prévoit aucune sanction propre. Il acquiert un poids juridique par les lois qui le citent : depuis le 1er janvier 2026, l’un des moyens de défense prévus par la loi texane exige la conformité pour l’essentiel à son profil IA générative ou à un autre cadre reconnu. La référence de la loi du Colorado de 2024 disparaît avec la loi réécrite qui entre en vigueur le 1er janvier 2027.
Par où commence la mise en œuvre du NIST AI RMF ?
Par un inventaire et un processus métier déjà en production. GOVERN 1.6 demande un inventaire des systèmes d’IA et MAP 1.1 leur finalité et leur contexte documentés ; un registre des cas d’usage avec une classification signée répond aux deux. Installez les contrôles sur ce processus, conservez les preuves dès sa première action, puis étendez processus par processus.
Combien de temps dure une mise en œuvre ?
Sur un processus métier déjà en production, notre parcours d’adoption dure 90 jours en 3 étapes, chacune close sur des pièces. L’extension dépend du nombre de processus et de leur classe de risque, pas du cadre.
Une organisation peut-elle être certifiée au regard du NIST AI RMF ?
NIST AI 100-1 ne prévoit aucun dispositif de certification, et le NIST écrit que ses actions ne constituent pas une liste de contrôle. Les organisations qui ont besoin d’un certificat recourent à ISO/IEC 42001:2023, une norme de système de management ; le NIST AI Resource Center recense une table de correspondance entre les deux. Les mêmes enregistrements servent aux deux.
Quel lien entre le NIST AI RMF et l’EU AI Act ?
L’AI RMF est un cadre volontaire de résultats ; l’EU AI Act est une loi, qui impose des obligations opérationnelles aux déployeurs. Chacun des 15 contrôles porte les deux : cette table nomme ses sous-catégories NIST, et le cadre de gouvernance nomme ses articles de l’AI Act. Un même enregistrement répond aux deux.
Le NIST AI RMF couvre-t-il les agents IA ?
Pas nommément. NIST AI 100-1 n’emploie pas le mot agent, et le profil IA générative ne mentionne les agents autonomes qu’une fois, comme une menace de sécurité à évaluer. Les résultats demandés s’appliquent pourtant : MANAGE 2.4 exige un moyen de désactiver un système et MEASURE 2.8 la responsabilité. L’identité de chaque agent, le périmètre de ses outils et un chemin d’arrêt par agent sont la manière dont un déployeur y répond.
Documents de référence et sources primaires.
Chaque date et chaque statut de cette page proviennent des sources ci-dessous, consultées le 21 octobre 2026.
Documents de référence
- Cadre de gouvernance de l’IA d’entreprise v1.0 15 contrôles avec responsables, cadences, preuves et ancrages dans l’AI Act. CC BY 4.0.
- Gouvernance de l’IA Pourquoi la gouvernance est une architecture : moteur de politiques, boucle de supervision humaine, piste d’audit.
- Architecture de référence de la couche d’exploitation de l’IA v1.0 4 plans, 4 contrôles testables et l’enregistrement à 9 champs.
- KILLSWITCH by Hikari Blue · Time to Stop Définition et méthode pour chronométrer un arrêt, lors d’un Kill Switch Drill sur table.
- The US does not have an AI Act. It has regulators. Note du 16 août 2026 sur la mosaïque réglementaire américaine : NIST, Colorado, régulateurs sectoriels, FTC. (en anglais)
Sources primaires, consultées le 21 octobre 2026
- NIST AI 100-1 · Artificial Intelligence Risk Management Framework (AI RMF 1.0) (ouvre dans un nouvel onglet) NIST, janvier 2023. Tableaux 1 à 4 : fonctions, catégories et sous-catégories. PDF.
- NIST · AI Risk Management Framework (ouvre dans un nouvel onglet) Dates de publication, usage volontaire, révision au titre du plan d’action IA de la Maison-Blanche.
- NIST AI 600-1 · Generative Artificial Intelligence Profile (ouvre dans un nouvel onglet) NIST, juillet 2024. 12 risques et actions suggérées par sous-catégorie, MANAGE 2.4 compris. PDF.
- NIST AI Resource Center · AI RMF Playbook (ouvre dans un nouvel onglet) Actions suggérées par sous-catégorie, volontaires, mises à jour environ deux fois par an.
- NIST AI Resource Center · Crosswalks (ouvre dans un nouvel onglet) Tables de correspondance entre l’AI RMF et d’autres cadres, ISO/IEC 42001 compris.
- Texas Legislature Online · HB 149, enrolled text (ouvre dans un nouvel onglet) Articles 552.101 à 552.105 du Business and Commerce Code, et la date d’entrée en vigueur.
- Texas Legislature Online · HB 149, bill history (ouvre dans un nouvel onglet) Signée le 22 juin 2025, en vigueur le 1er janvier 2026.
- Colorado General Assembly · SB24-205 (ouvre dans un nouvel onglet) Signée le 17 mai 2024 ; articles 6-1-1703(2) et 6-1-1706(3) de la loi adoptée.
- Colorado General Assembly · SB25B-004 (ouvre dans un nouvel onglet) Signée le 28 août 2025 ; obligations de SB24-205 reportées au 30 juin 2026.
- Colorado General Assembly · SB26-189 (ouvre dans un nouvel onglet) Signée le 14 mai 2026 ; loi adoptée, section 5 sur les dates d’entrée en vigueur.
- Colorado Legislative Council Staff · SB26-189, final fiscal note (ouvre dans un nouvel onglet) 8 septembre 2026. L’ordonnance du 27 avril 2026 et les dates d’entrée en vigueur. PDF.
Rattachez un processus métier au NIST AI RMF.
30 minutes avec un associé désigné. Nous plaçons un processus métier que vous exploitez déjà face aux 15 contrôles et aux sous-catégories du NIST qu’ils servent, et montrons les preuves qui existent aujourd’hui et celles qui manquent. Vous repartez avec la carte, que nous travaillions ensemble ou non.
- Un processus métier que vous exploitez déjà, rattaché aux sous-catégories du NIST
- Les preuves qui existent aujourd’hui, et celles qui manquent
- Qui doit porter chaque écart