Dans cet article
Si votre entreprise utilise l'IA pour répondre aux clients, rédiger des offres ou trier des demandes, il existe désormais en Arabie saoudite une référence nationale sur la manière d'en gérer les risques. Le 14 juillet 2026, la SDAIA a lancé le cadre national de gestion des risques de l'IA pour les entités publiques et privées, avec une méthode en 4 phases, 7 principes et 7 grands types de risques. Le 14 octobre 2026, la SDAIA a indiqué avoir adopté 23 normes nationales liées à l'IA. Le cadre est un guide, pas une nouvelle amende, mais il fixe les questions que l'on posera à votre entreprise. Première étape : la liste de tous les outils d'IA utilisés par votre équipe.
Qu'a lancé exactement la SDAIA ?
Selon l'agence de presse saoudienne, le cadre propose une méthodologie nationale unifiée pour identifier, évaluer, traiter et surveiller les risques de l'IA, afin que les entités publiques et privées adoptent cette technologie de façon sûre et responsable. La SDAIA explique pourquoi la gestion classique des risques informatiques ne suffit pas : les risques de l'IA peuvent apparaître de façon inattendue en production, les performances d'un système peuvent évoluer avec le temps, et son comportement peut être difficile à expliquer ou à reproduire.
Le cadre comprend un scénario d'application : une entité publique qui utilise un modèle pour préparer des rapports internes, suivie à travers chaque phase. Il est consultable via le lien officiel de la SDAIA. Pour une vue plus large des règles de gouvernance des données de la SDAIA, lisez notre article Gouvernance des données et IA responsable selon les règles de la SDAIA.
Les quatre phases, appliquées à une entreprise privée
La méthode est un cycle de vie en 4 phases liées. Voici ce que cela donne dans une PME qui utilise un assistant IA pour répondre aux clients sur WhatsApp :
- 1. Définir le contexte et le périmètre : Quel est l'outil ? Que fait-il exactement ? Qui l'utilise ? Quelles données y entrent, et contiennent-elles des données personnelles de clients ?
- 2. Identifier et évaluer les risques : Et si l'assistant annonçait un mauvais prix, promettait un service que vous n'offrez pas, ou montrait les données d'un client à un autre ? Chaque risque est noté sur une matrice qui croise sa probabilité et l'ampleur de son impact.
- 3. Traiter les risques : Une décision par risque : le réduire (validation humaine avant l'envoi d'un prix), l'éviter (bloquer l'accès de l'outil à certaines données) ou l'accepter si l'impact est faible.
- 4. Surveiller et réexaminer en continu : Comme les performances peuvent dériver, relisez régulièrement un échantillon de réponses, consignez les erreurs et réévaluez à chaque changement d'outil ou de fournisseur.
7 principes sur lesquels votre entreprise sera interrogée
Le cadre repose sur 7 principes : intégrité et équité, vie privée et sécurité, humanité, fiabilité et sûreté, transparence et explicabilité, redevabilité et responsabilité, bénéfices sociaux et environnementaux. Il classe les risques de l'IA en 7 grands types pour qu'aucune catégorie essentielle ne soit oubliée. Concrètement, posez ces questions pour chaque outil : traite-t-il les clients équitablement ? Savons-nous où vont les données ? Pouvons-nous expliquer sa décision à un client qui se plaint ? Et qui, nommément, en répond lorsqu'il se trompe ?
23 normes nationales : du « quoi » au « comment »
Lors du 10e Forum des normes, organisé par l'organisme saoudien de normalisation, de métrologie et de qualité (SASO) à Riyad le 14 octobre 2026, la SDAIA a expliqué que les politiques et les cadres définissent ce que les systèmes d'IA doivent atteindre, tandis que les normes précisent comment ces exigences sont mises en œuvre, mesurées et prouvées. Elle a indiqué avoir publié plus de 10 cadres et outils réglementaires pour l'IA et adopté 23 normes nationales liées à l'IA, couvrant la gouvernance et les systèmes de management, la qualité des données d'entraînement, la sûreté, la robustesse, la sécurité et la vie privée, ainsi que les cadres de référence et les mégadonnées, selon le quotidien Al-Madina. Pour vous : si vous fournissez de la technologie à des entités publiques ou à de grandes entreprises, attendez-vous à retrouver ces normes dans les cahiers des charges.
Le regard d'Origami
Nous lisons ce cadre comme un signal de direction plutôt qu'une obligation immédiate. Il est indicatif aujourd'hui, mais les grandes organisations bâtissent leurs politiques dessus, puis en répercutent les exigences sur leurs fournisseurs. Une entreprise qui tient déjà un registre écrit de ses outils d'IA et de leurs risques répondra à ces questions en une journée ; celle qui n'en a pas repartira de zéro, sous la pression d'une échéance.
Inutile pour autant de créer un service des risques. Pour une PME, un seul tableau à cinq colonnes (outil, usage, données, risque principal, responsable de la décision) couvre l'essentiel des phases 1 et 2. Et lorsque vos systèmes enregistrent chaque réponse automatique et permettent une validation humaine avant les décisions sensibles, la phase 4 devient automatique au lieu d'être une charge. C'est ce que nous construisons dans le cadre de nos services.
À faire cette semaine
- Listez tous les outils d'IA utilisés par votre équipe, y compris les abonnements personnels que les salariés utilisent pour le travail.
- Pour chaque outil, notez les données qui y entrent et signalez celles qui contiennent des données personnelles de clients ou de salariés.
- Notez les 3 principaux risques de chaque outil en probabilité et en impact, et commencez par le plus élevé.
- Désignez une personne responsable par outil et fixez une revue tous les 3 mois.
- Lisez le scénario d'application du document de la SDAIA et servez-vous-en comme modèle.
Sources
- Agence de presse saoudienne — SDAIA Introduces National Framework for Managing AI Risks (14 juillet 2026) : spa.gov.sa
- Agence de presse saoudienne — annonce en arabe avec le lien vers le cadre : spa.gov.sa
- SDAIA — document du cadre national de gestion des risques de l'IA : sdaia.gov.sa
- SASO — 10e Forum des normes 2026 : saso.gov.sa
- Al-Madina — la SDAIA sur le rôle des normes dans les applications de l'IA : al-madina.com
- Al-Jazirah Online — même couverture (14 octobre 2026) : al-jazirahonline.com
Questions fréquentes
Le cadre national de gestion des risques de l'IA de la SDAIA est-il obligatoire pour les entreprises privées ?
La SDAIA l'a présenté lors de son lancement, le 14 juillet 2026, comme une référence indicative pour les entités publiques et privées, sans annoncer d'amende associée. Il fixe toutefois la méthode que les grandes organisations utiliseront pour évaluer leurs fournisseurs : l'appliquer tôt est donc judicieux.
Quelles sont les quatre phases du cadre national de gestion des risques de l'IA ?
Définir le contexte et le périmètre, identifier et évaluer les risques, les traiter, puis surveiller et réexaminer en continu. Le niveau de chaque risque est noté sur une matrice qui croise sa probabilité et l'ampleur de son impact.
Quelles sont les 23 normes nationales d'IA adoptées par la SDAIA ?
Le 14 octobre 2026, la SDAIA a indiqué avoir adopté 23 normes nationales liées à l'IA couvrant la gouvernance et les systèmes de management, la qualité des données d'entraînement, la sûreté, la robustesse, la sécurité et la vie privée, les cadres de référence et les mégadonnées. L'annonce n'en publiait pas la liste détaillée.
Par où commencer pour une petite entreprise qui utilise ChatGPT ou des outils similaires ?
Listez chaque outil d'IA utilisé par l'équipe et les données qui y entrent, notez les 3 principaux risques de chaque outil, désignez un responsable par outil et faites une revue tous les 3 mois.
Suivez Origami sur Google
Ajoutez Origami à vos sources préférées : nos articles apparaîtront en premier pour vous dans la recherche Google et les actualités à la une.
