Aikido Security a obtenu la certification ISO 42001:2023, la norme internationale pour les systèmes de management de l'IA, une étape que peu de fournisseurs de sécurité ont franchie jusqu'à présent. Cette certification confirme qu'Aikido gère un système de gouvernance structuré et en amélioration continue pour maîtriser les risques liés à ses fonctionnalités dopées à l'IA, sur l'ensemble de notre plateforme.
Qu'est-ce que l'ISO 42001 ?
La norme ISO 42001:2023 est le premier cadre de gouvernance de l'IA conçu spécifiquement pour une certification indépendante par un tiers. Alors que la norme ISO 27001 couvre la sécurité de l'information de manière générale, l'ISO 42001 définit les exigences relatives à la manière dont une organisation conçoit, déploie et supervise les systèmes d'IA de manière responsable, ainsi qu'à la mise à jour de cette gouvernance à mesure que l'IA elle-même évolue.
Ces exigences incluent la définition des limites des systèmes, l'établissement d'une politique d'IA dotée de rôles de gouvernance clairs, la réalisation d'évaluations formelles des risques et des impacts, le suivi des métriques de comportement de l'IA, ainsi que la correction des non-conformités et l'amélioration continue à mesure que les modèles et les environnements évoluent.
L'ISO 42001 certifie qu'Aikido dispose d'un système de management opérationnel et audité pour maîtriser les risques inhérents aux fonctionnalités d'IA, en encadrant la documentation et le suivi quotidien de ces risques. Elle est conçue pour s'appliquer à l'ensemble des contextes et systèmes d'IA.
Pourquoi nous avons obtenu la certification ISO 42001
À mesure que l'utilisation des produits autonomes se développe, la responsabilité se déplace vers les développeurs des systèmes plutôt que vers les utilisateurs des outils. Il est donc primordial de démontrer la fiabilité d'un système non déterministe en garantissant de manière indépendante le cycle de vie du développement logiciel (SDLC) sous-jacent. En obtenant la certification ISO 42001, Aikido prouve qu'elle conçoit des systèmes d'IA fiables et dignes de confiance.
Par exemple, Aikido/ pentest IA analyse les applications en adoptant la même démarche qu'un pirate informatique, tandis que Code Security Audit examine le code source pour détecter ce que les outils basés sur des modèles ne parviennent pas à repérer. Nous proposons divers autres outils d'IA présentés ci-dessous.
Aikido demande à ses clients de lui faire confiance pour les tests d'IA autonomes de leurs applications, ainsi que pour l'utilisation de l'IA dans l'identification, le tri et la correction des vulnérabilités. Obtenir la certification indépendante de notre propre gouvernance de l'IA démontre à nos clients qu'ils peuvent compter sur nous pour encadrer l'IA de manière rigoureuse. La sécurité de nos clients est notre priorité absolue, et nous tenons à garantir un usage éthique et responsable de l'IA.
Les équipes de sécurité et de conformité qui évaluent un fournisseur proposant des fonctionnalités d'IA examinent désormais systématiquement la gouvernance et le traitement des données. La réglementation emboîte le pas : des cadres tels que l'EU AI Act incitent les équipes achats à exiger une preuve de gouvernance de l'IA avant d'intégrer un nouvel outil d'IA en interne, y compris auprès de fournisseurs que le texte ne réglemente pas directement. Pour les acheteurs d'entreprises européennes en particulier, la conformité à l'EU AI Act est devenue un point incontournable des revues de risques des fournisseurs.
Périmètre de la certification
La norme ISO 42001 chez Aikido couvre l'ensemble des fonctionnalités basées sur l'IA de la plateforme, qu'il s'agisse de logiciels ou de matériel : pentest IA (Aikido Attack, Aikido Infinite), pentest IA sur site (Aikido Machine), Code Security Audit, Deep PR Review, scan d'API, Aikido Libraries, Aikido Images, AutoFix, AutoTriage, Aikido Intel, AI Cloud Search et Code Quality. Toute nouvelle fonctionnalité d'IA introduite à l'avenir par Aikido suivra les mêmes processus audités et la même gouvernance.
Notre démarche
La certification a suivi le parcours habituel de tout audit de système de management ISO : une revue de préparation interne, un audit de phase 1 axé sur la documentation pour vérifier que les politiques et procédures répondent effectivement à la norme, et un audit de phase 2 visant à tester la robustesse du système de gouvernance lors de tests de contrôle réels. Les éventuelles non-conformités identifiées en cours de route doivent être corrigées ou faire l'objet d'un plan de remédiation documenté avant l'octroi de la certification.
Ayant déjà mis en place les normes SOC 2 et ISO 27001, Aikido disposait déjà d'une grande partie des processus et de la documentation sous-jacents. La nouveauté avec l'ISO 42001 a consisté à cartographier spécifiquement la couche d'IA, en retraçant la manière dont chaque fonctionnalité d'IA parvient à une décision et quelles données l'alimentent, puis en mettant en place un suivi pour assurer une surveillance continue au fil du temps.
Y parvenir a nécessité une véritable collaboration entre les équipes de conformité, de développement et GTM (Go-to-Market), tout en renforçant notre collaboration avec nos partenaires cloud et IA.
Ce que cela implique si vous évaluez un fournisseur de sécurité en IA
Si vous intégrez un outil de sécurité basé sur l'IA dans un environnement réglementé, l'ISO 42001 vous apporte une garantie audité de manière indépendante quant à la maîtrise réelle des risques liés à son IA, bien au-delà de la simple promesse du fournisseur.
Une gouvernance de l'IA évaluée par un tiers reste rare sur le marché des outils de sécurité. La plupart des fournisseurs vendant des produits dopés à l'IA continuent de brandir la certification SOC 2 à l'échelle de l'entreprise comme unique gage de conformité, or la SOC 2 couvre des contrôles de sécurité généraux. Une certification dédiée à la gouvernance de l'IA, qui atteste précisément de la manière dont l'IA d'un fournisseur est encadrée, est beaucoup plus rare.
Cela s'explique généralement par la bureaucratie et la lenteur caractéristiques de la culture d'une entreprise. La rapidité d'exécution et la garantie d'un haut niveau de qualité font partie de l'ADN d'Aikido. C'est pourquoi nous avons obtenu cette certification.
FAQ
La certification ISO 42001 garantit-elle que l'IA d'Aikido est infaillible ? L'ISO 42001 certifie qu'Aikido dispose d'un système de management opérationnel et audité pour maîtriser les risques générés par ses fonctionnalités d'IA. Il s'agit d'une certification du système de gouvernance, et non d'une garantie de sécurité pour chaque modèle ou résultat d'IA individuel.
En quoi l'ISO 42001 diffère-t-elle de la SOC 2 ? La SOC 2 évalue les contrôles de sécurité généraux à l'échelle d'une entreprise. L'ISO 42001 est spécifique à l'IA : elle concerne la façon dont une organisation documente et surveille les risques introduits par ses systèmes d'IA, et la manière dont cette gouvernance s'adapte aux évolutions de l'IA.
L'ISO 42001 équivaut-elle à un logiciel de gouvernance de l'IA ? Un logiciel de gouvernance de l'IA désigne une catégorie d'outils que les entreprises utilisent pour suivre et gérer les risques liés à l'IA en interne. L'ISO 42001 est une certification indépendante par un tiers qui audite l'efficacité réelle de cette gouvernance, quels que soient les outils utilisés par l'entreprise pour l'appliquer.
Demander notre certificat
Aikido est conforme aux normes ISO 27001:2022, ISO 42001 et SOC 2 Type II de l'AICPA, et met actuellement en œuvre le cadre FedRAMP. Nous respectons également pleinement le RGPD.
Si vous évaluez Aikido dans le cadre d'un audit de conformité, vous pouvez demander notre certification ISO 42001 via notre centre de confiance.
