The NIST AI Risk Management Framework : cartographier la suite de base et la pratique de sécurité

1. Introduction

Praticiens, éditeurs et décideurs traitent de plus en plus « le cadre de sécurité IA du NIST » comme s’il nommait une ligne de base de contrôles unique. Ce n’est pas le cas. Le NIST a publié une famille de documents volontaires sur l’IA depuis 2023, et l’expression renvoie à au moins trois choses : l’Artificial Intelligence Risk Management Framework (AI RMF) lui-même (NIST AI 100-1) ; le Cybersecurity Framework Profile for Artificial Intelligence publié plus tard (NIST IR 8596) ; et, plus largement, l’union de ces documents avec les guides sur l’apprentissage automatique adversarial (NIST AI 100-2) et les contrôles de cybersécurité ordinaires (CSF 2.0, SP 800-53). Les confondre produit deux modes d’échec. Les équipes qui voulaient un programme de sécurité ne mettent en place que des ateliers de gouvernance. Celles qui voulaient une IA digne de confiance ne mettent en place que des listes de durcissement de modèles.

L’AI RMF est paru le 26 janvier 2023 sous NIST AI 100-1, dans le cadre d’un mandat de la National Artificial Intelligence Initiative Act of 2020. Il est volontaire, respectueux des droits, non sectoriel et indépendant du cas d’usage. Son objet n’est pas un système d’information au sens de SP 800-37. Son objet est un système d’IA sociotechnique, et son critère de succès est la fiabilité plutôt que la confidentialité, l’intégrité et la disponibilité seules. Le NIST n’a pas livré le cadre comme un PDF isolé. Il a livré un Playbook compagnon, une Roadmap de travaux de suivi, un exposé détaillé des caractéristiques d’IA digne de confiance dans le document central, et un catalogue communautaire de mises en œuvre et de recoupements via le Trustworthy and Responsible AI Resource Center. Ces cinq ressources constituent le programme AI RMF d’origine. Tout le reste de la pile IA du NIST — le Generative AI Profile (AI 600-1), l’ébauche du Cyber AI Profile (IR 8596), la taxonomie adversarial (AI 100-2) et les profils pour les infrastructures critiques — est une spécialisation qui se rattache à ce programme.

Cet article est une carte, pas une évaluation de modèles ni une prétention de découverte empirique. Nous lisons le corpus public du NIST en date d’août 2026 et les normes auxquelles il est conçu pour s’adosser. Trois observations structurent le reste de l’article.

La suite est le cadre. L’AI RMF 1.0 comprend la partie I (comment cadrer le risque IA et ce que signifie « digne de confiance ») et la partie II (quatre fonctions avec catégories et sous-catégories). Le Playbook, la Roadmap, la discussion des caractéristiques et le catalogue communautaire sont la façon dont le NIST attendait que les organisations opérationnalisent, étendent et partagent ce noyau. Traiter l’AI 100-1 comme l’ensemble du programme sous-estime ce que le NIST a publié au premier trimestre 2023.

La sécurité est une caractéristique, pas le cadre. Le NIST énumère sept caractéristiques d’IA digne de confiance : valide et fiable ; sûr ; secure and resilient ; responsable et transparent ; explicable et interprétable ; respectueux de la vie privée ; et équitable, avec gestion des biais nuisibles. Secure and resilient est une ligne de cette liste. Les quatre fonctions — Govern, Map, Measure, Manage — sont la façon dont une organisation poursuit les sept, y compris les tensions entre elles.

Les instruments de cybersécurité s’ajoutent ; ils ne remplacent pas. Le commentaire du NIST sur le Cyber AI Profile indique que CSF 2.0, l’AI RMF et le Profile sont conçus pour être utilisés ensemble. L’AI 100-2 fournit un vocabulaire d’attaque pour Measure et Manage. SP 800-53 demeure le catalogue de contrôles pour les systèmes qui en ont besoin. ISO/IEC 42001 et le EU AI Act sont des régimes adjacents, pas des documents NIST, et doivent faire l’objet de recoupements plutôt que d’être fusionnés.

Contributions. Cet article apporte quatre contributions :

1. Nous reconstruisons la suite de ressources AI RMF d’origine et montrons comment le Playbook, la Roadmap, les caractéristiques de fiabilité et le catalogue communautaire se rattachent à l’AI 100-1.
2. Nous situons la cybersécurité dans le modèle à sept caractéristiques et précisons ce que « secure and resilient » couvre et ne couvre pas.
3. Nous cartographions les instruments ultérieurs du NIST sur la sécurité IA vers les quatre fonctions, y compris CSF 2.0, IR 8596, AI 100-2, AI 600-1 et la note conceptuelle sur le profil infrastructures critiques.
4. Nous proposons une procédure d’usage et un exemple pour un système de modèle de langage agentique, avec des modes d’échec qui suivent du traitement d’un seul document comme programme entier.

2. Contexte : le risque IA n’est pas le risque système d’information

Le Risk Management Framework classique du NIST (SP 800-37) autorise un système d’information. Il catégorise le système, sélectionne des contrôles SP 800-53, les évalue, autorise l’exploitation et surveille. Cette boucle demeure nécessaire lorsqu’un système d’IA tourne sur une infrastructure fédérale ou autrement contrôlée. Elle n’est pas suffisante pour l’IA, et le NIST le dit : les risques IA diffèrent des risques logiciels traditionnels en nature, pas seulement en degré.

Trois différences comptent pour les équipes sécurité.

L’unité de risque est sociotechnique. Le comportement d’un système d’IA dépend des données d’entraînement, des données d’évaluation, des invites, des outils, des utilisateurs et des processus décisionnels en aval. Un modèle confidentiel et disponible peut rester inéquitable, dangereux ou stratégiquement non conforme. L’AI RMF traite donc les impacts sur les individus, groupes, communautés, organisations et la société comme dans le périmètre, et non comme des externalités pour un bureau éthique séparé.

Les caractéristiques de fiabilité entrent en conflit. Un système plus facile à expliquer peut fuiter davantage sur les données d’entraînement. Un système qui refuse les requêtes à double usage peut être moins « utile » sur un objectif fixé par le développeur. Le NIST inscrit ce problème de compromis comme priorité Roadmap plutôt que de prétendre que les caractéristiques forment un repas gratuit. Un programme sécurité qui n’optimise que la robustesse adversarial peut déplacer le risque vers l’équité, la vie privée ou la sûreté sans réduire le préjudice total.

Le cadre est volontaire et orienté résultats. L’AI 100-1 ne contient pas de catalogue de contrôles numérotés. Il contient des fonctions, catégories et sous-catégories qui décrivent des résultats (« les risques IA sont identifiés et documentés ») plutôt que des mécanismes (« déployer le filtrage d’entrée X »). Le Playbook suggère des actions ; il n’est explicitement pas une liste à cocher dans l’ordre. Les organisations qui ont besoin d’un système de management auditable doivent se tourner vers ISO/IEC 42001 ou lier l’AI RMF à une frontière d’autorisation RMF existante — pas inventer une certification à partir de l’AI 100-1 lui-même.

Ces faits expliquent la confusion de nommage. Les ingénieurs sécurité entendent « framework » et tendent vers CSF ou SP 800-53. Les équipes gouvernance IA entendent « framework » et tendent vers AI 100-1. Les deux instincts sont à moitié justes. Le reste de cet article vise à les garder attachés au même système plutôt qu’à se substituer l’un à l’autre.

3. La suite de ressources AI RMF d’origine

Le lancement de janvier 2023 du NIST était un ensemble, pas un seul fichier. Le tableau ci-dessous liste les cinq ressources que, en pratique, les gens désignent par « l’AI RMF ». Les profils et taxonomies ultérieurs sont des compléments, pas des entrées de ce tableau.

3.1 AI RMF 1.0 (NIST AI 100-1)

L’AI 100-1 comporte deux parties. La partie I cadre le risque IA : qui sont les acteurs IA, en quoi le préjudice IA diffère du préjudice logiciel, et ce que signifie « digne de confiance ». La partie II est le Core : quatre fonctions, chacune décomposée en catégories et sous-catégories.

Govern est transversal. Il couvre politique organisationnelle, responsabilité, culture, gouvernance des tiers et engagement des parties affectées. Map, Measure et Manage forment ensuite une boucle sur un système ou cas d’usage IA donné. Map établit le contexte et inventorie les impacts. Measure sélectionne des méthodes, évalue les caractéristiques de fiabilité et suit le risque dans le temps. Manage priorise les traitements, y compris le risque résiduel, la réponse aux incidents et l’exposition aux tiers. Le NIST présente cela comme concurrent et itératif, pas en cascade.

Deux choix structurels passent facilement inaperçus.

D’abord, les profils sont de première classe. Un profil est une mise en œuvre des fonctions pour un contexte, une tolérance au risque et une enveloppe de ressources donnés. Le Generative AI Profile (AI 600-1) et le profil infrastructures critiques à venir sont des instances de profil, pas des cadres concurrents.

Ensuite, le Core décrit des résultats, pas des outils. « MEASURE 2 : les systèmes d’IA sont évalués pour les caractéristiques de fiabilité » ne nomme ni un fournisseur de red team, ni un benchmark de biais, ni une métrique de robustesse adversarial. Ces choix relèvent du Playbook, d’un profil organisationnel ou d’un complément comme l’AI 100-2.

3.2 Le Playbook

Le Playbook est le compagnon de mise en œuvre. Pour chaque sous-catégorie il propose des actions suggérées, des références informatives et des notes sur la documentation. Le NIST est explicite sur trois contraintes : le Playbook est volontaire ; les organisations peuvent utiliser autant ou aussi peu de suggestions que pertinent ; ce n’est pas une séquence à compléter entièrement. La première version web complète a été annoncée le 30 mars 2023, avec le lancement du Resource Center. Le NIST a indiqué que le Playbook sera mis à jour après la révision de l’AI RMF 1.0.

Pour un lecteur sécurité, le Playbook est l’endroit où « secure and resilient » devient tactique — journalisation, évaluation, processus d’incident, questions de chaîne d’approvisionnement — sans devenir SP 800-53. Si une équipe a besoin d’un identifiant de contrôle auditable, elle a quitté le Playbook et devrait le dire.

3.3 La Roadmap

La Roadmap est la liste des lacunes du NIST au moment de la 1.0, pas un calendrier avec dates de livraison. Les priorités publiées incluent l’alignement avec les normes internationales et les recoupements ; l’expansion des tests, évaluation, vérification et validation (TEVV) ; les profils AI RMF ; des guides sur les compromis entre caractéristiques de fiabilité ; des méthodes pour mesurer l’efficacité de l’AI RMF lui-même ; des études de cas ; des facteurs humains ; l’explicabilité liée à la gestion du risque ; des méthodes pour fixer des tolérances au risque raisonnables ; et du matériel pédagogique.

Plusieurs de ces points sont devenus des documents à part entière (profils, taxonomies proches du TEVV). D’autres restent ouverts, surtout le guide sur les compromis et la mesure d’efficacité. Une équipe qui traite la 1.0 comme doctrine figée sera surprise par le processus de révision.

3.4 Trustworthy AI characteristics

Les caractéristiques ne sont pas un cinquième PDF. Elles constituent la partie I de l’AI 100-1, et elles sont l’objet de MEASURE 2. Le point important au niveau de la suite est que le NIST a défini la « bonne IA » avant de définir les quatre fonctions. Les fonctions existent pour poursuivre ces caractéristiques, y compris lorsqu’elles tirent en directions opposées.

3.5 Le catalogue communautaire (AIRC)

Le 30 mars 2023 le NIST a lancé le Trustworthy and Responsible AI Resource Center pour héberger le contenu du Playbook, des recoupements, des perspectives et des cas d’usage contribués. C’est la ressource souvent décrite informellement comme une « base de données de gestion des risques IA » : un catalogue de mises en œuvre communautaires, pas une base de vulnérabilités ni une bibliothèque de contrôles. Sa fonction est sociale — profils et cartographies partagés — plutôt qu’évaluation technique. Il ne faut pas le confondre avec des bases d’incidents ni avec MITRE ATLAS.

4. Caractéristiques de fiabilité et la ligne sécurité

Le modèle de fiabilité du NIST est la partie de l’AI RMF la plus souvent ignorée par les programmes sécurité et la plus souvent traitée comme programme entier par les programmes IA responsable. Les deux coupes perdent la structure.

4.1 Sept caractéristiques

L’AI 100-1 indique que les systèmes d’IA dignes de confiance sont, combinés :

1. Valid and reliable — ils performent comme prévu dans des conditions attendues et raisonnablement inattendues, avec des limites documentées.
2. Safe — ils ne mettent pas en danger la vie, la santé, les biens ou l’environnement humains dans des conditions d’usage définies.
3. Secure and resilient — ils résistent à des événements adverses inattendus, y compris accès, usage ou perturbation non autorisés, et se rétablissent.
4. Accountable and transparent — les acteurs peuvent être identifiés et l’information sur le système est disponible pour ceux qui en ont besoin.
5. Explainable and interpretable — la sortie IA et le comportement du système peuvent être compris à un niveau adapté au public et à la décision.
6. Privacy-enhanced — ils intègrent des valeurs de vie privée comme l’anonymat, la confidentialité et le contrôle.
7. Fair, with harmful bias managed — ils gèrent les biais nuisibles et les risques de discrimination associés.

La validité est décrite comme prérequis aux autres : un système invalide ne peut être équitable ou sûr de façon robuste. Au-delà, le NIST ne classe pas les six restantes. La Roadmap signale plutôt les compromis comme problème ouvert de recherche et d’orientation.

4.2 Ce que couvre « secure and resilient »

En langage RMF, secure and resilient est la caractéristique qui recoupe la triade CIA classique et les résultats CSF. Elle inclut la confidentialité des poids de modèle, des données d’entraînement et des invites ; l’intégrité des données, modèles et sorties d’outils ; la disponibilité de l’inférence et du pipeline environnant ; et la résilience sous attaque, décalage de distribution et panne opérationnelle.

Elle n’inclut pas, à elle seule :

• si l’objectif déclaré du modèle correspond aux valeurs du déployeur (responsabilité) ;
• si les refus et la politique à double usage sont adéquats (sûreté, souvent aussi équité) ;
• si les explications sont fidèles (explicabilité) ;
• si les données d’entraînement ou journaux créent un préjudice à la vie privée (vie privée) ;
• si les évaluations sont statistiquement valides (validité).

L’apprentissage automatique adversarial se situe à la frontière. Évasion, empoisonnement, attaques vie privée et usage abusif génératif sont des événements sécurité, mais aussi validité, vie privée et sûreté. C’est pourquoi le NIST a rédigé une taxonomie dédiée plutôt que d’intégrer entièrement l’AML dans Identify-Protect-Detect-Respond-Recover du CSF.

4.3 Comment les quatre fonctions s’appliquent à la ligne sécurité

Une lecture centrée sécurité des quatre fonctions a du contenu, et elle est plus étroite qu’un programme AI RMF complet :

Govern. Qui possède le risque modèle versus la sécurité applicative versus la politique de sûreté ? Les modèles tiers, corpus RAG et outils sont-ils dans le processus de risque fournisseur ? Existe-t-il une politique d’usage acceptable qui n’est pas seulement une politique de sécurité de l’information ?

Map. Qu’est-ce que le système d’IA — modèle, invites, outils, récupération, évaluateurs, humains dans la boucle ? Qui est lésé s’il échoue fermé, échoue ouvert ou est orienté ? Quels environnements sont entraînement, évaluation et production, et le modèle peut-il inférer la différence ?

Measure. Quels tests existent pour jailbreaks, injection d’invite, exfiltration de données, empoisonnement, inférence d’appartenance et abus d’outils — et quels tests existent pour les caractéristiques non sécurité que ces attaques peuvent induire ? Les métriques sont-elles suivies dans le temps ou seulement au lancement ?

Manage. Quel est le risque résiduel après atténuations ? Quel est le parcours d’incident lorsqu’une action du modèle cause un préjudice qui n’est pas un incident sécurité classique ? Comment sont traitées les mises à jour de modèles tiers ?

Ce n’est toujours pas une ligne de base de contrôles. C’est une façon de remarquer que « nous avons fait une red team une fois » est une activité Measure, pas un système Govern ou Manage.

5. Compléments : cybersécurité et profils spécialisés

Si la suite est le tronc, les documents de cette section sont les branches que l’on étiquette le plus souvent à tort « le cadre de sécurité IA du NIST ». Ils sont réels, utiles et plus étroits.

5.1 CSF 2.0

Le Cybersecurity Framework 2.0 organise les résultats cybersécurité en six fonctions : Govern, Identify, Protect, Detect, Respond, Recover. Il est neutre technologiquement et déjà largement déployé. Il ne sait pas ce qu’est un poids de modèle, une injection d’invite ou une fuite de chaîne de pensée. Utiliser CSF seul sur un système LLM capture typiquement le compte cloud et l’application environnants et manque les modes de défaillance propres au modèle.

Le chevauchement lexical de « Govern » avec l’AI RMF est une coïncidence de nommage et un alignement d’esprit. Govern CSF est la gouvernance cybersécurité. Govern AI RMF est la gouvernance de fiabilité IA, qui inclut la sécurité et bien plus.

5.2 Cyber AI Profile (NIST IR 8596)

Le Cybersecurity Framework Profile for Artificial Intelligence, publié comme ébauche préliminaire initiale en décembre 2025, est le document NIST le plus proche d’un « cadre de sécurité IA » au sens courant. Il applique les résultats CSF 2.0 à l’IA et s’organise autour de trois domaines :

1. Secure — cybersécurité des composants du système IA (modèles, données, pipelines, agents, infrastructure).
2. Defend — utiliser l’IA pour renforcer les opérations défensives, y compris les nouveaux modes de défaillance que cela introduit.
3. Thwart — résilience face aux attaques facilitées par l’IA (hameçonnage automatisé, logiciels malveillants, intrusion).

L’intention déclarée du NIST est que CSF 2.0, l’AI RMF et ce Profile soient utilisés ensemble, et non que le Profile remplace l’AI 100-1. L’ébauche assigne des niveaux de priorité aux considérations comme guide de planification ; les organisations doivent ajuster ces priorités à leur propre tolérance au risque. À la rédaction de cet article, le document demeure une ébauche en voie d’une initial public draft après la période de commentaires de janvier 2026.

5.3 Taxonomie d’apprentissage automatique adversarial (NIST AI 100-2)

NIST AI 100-2 est un rapport de terminologie et taxonomie, mis à jour en 2025. Il classe les attaques par paradigme d’apprentissage, stade du cycle de vie, objectifs de l’attaquant, capacités et connaissance. Pour les systèmes prédictifs les classes principales sont évasion, empoisonnement et attaques vie privée. Pour les systèmes génératifs il ajoute l’usage abusif. Il discute aussi des atténuations et de leurs limites.

C’est le document à citer lorsque Measure a besoin d’un langage partagé pour « ce qui est arrivé au modèle ». Ce n’est pas un cadre de gouvernance ni un profil CSF. ATLAS est un paysage de menaces praticien connexe ; l’AI 100-2 est le vocabulaire NIST destiné à éclairer futures normes et guides de pratique.

5.4 Generative AI Profile (NIST AI 600-1)

NIST AI 600-1 est un profil AI RMF, pas un profil CSF. Il applique Govern–Map–Measure–Manage aux risques uniques ou amplifiés dans les systèmes génératifs : confabulation, confidentialité des données, sécurité de l’information, contenu nuisible, homogénéisation, configuration humain–IA, et plusieurs autres. Une équipe qui déploie des LLM ou agents et met en œuvre la 1.0 sans la 600-1 utilise le cadre général sans la liste de risques GenAI que le NIST a déjà rédigée.

5.5 SP 800-53 et overlays de contrôles IA

SP 800-53 demeure le catalogue de contrôles pour les systèmes fédéraux américains et pour de nombreux programmes privés qui l’utilisent déjà. Le NIST développe des overlays de contrôles orientés IA : sélections et interprétations de contrôles existants pour des types de systèmes IA, plutôt qu’un catalogue de remplacement. Tant que les overlays ne sont pas finalisés, le chemin honnête de mise en œuvre est : RMF autorise la plateforme ; AI RMF gouverne le modèle ; CSF / Cyber AI Profile priorisent les résultats cyber ; SP 800-53 (ou un catalogue privé) concrétise les contrôles techniques.

5.6 Profil infrastructures critiques

En avril 2026 le NIST a publié une note conceptuelle pour un profil AI RMF sur l’IA digne de confiance dans les infrastructures critiques. Le public visé est les opérateurs CI en contextes IT, OT et ICS qui doivent énoncer des exigences de fiabilité aux fournisseurs et équipes internes. C’est un profil sectoriel de l’AI 100-1, pas un remplacement de la réglementation cyber sectorielle.

5.7 Révision de l’AI RMF 1.0

Le NIST indique que l’AI RMF 1.0 est en révision dans le cadre du White House AI Action Plan, et que le Playbook sera mis à jour après cette révision. Tout article de cartographie, y compris celui-ci, doit être lu comme une carte de la suite de l’ère 1.0 plus les compléments publiés jusqu’à mi-2026 — pas comme un gel du texte 2.0.

6. Carte d’usage

La question pratique n’est pas quel document est « le » cadre. C’est quel document répond à quelle question.

1. Quels résultats devons-nous viser ? → AI RMF 1.0 + profil (600-1 ou sectoriel)
2. Comment pourrions-nous les poursuivre ? → Playbook + exemples AIRC
3. Quels sont les résultats cyber ? → CSF 2.0 + Cyber AI Profile
4. Que peut-il arriver au modèle ? → AI 100-2 (+ ATLAS)
5. Quels contrôles concrétisent cela ? → SP 800-53 / overlay / ISO 27001

Ignorer une ligne est courant ; prétendre que la ligne ignorée était couverte est l’erreur habituelle.

6.1 Procédure

1. Nommer le système et les acteurs (Map). Noter le ou les modèles, magasins de données, outils, évaluateurs, utilisateurs et parties affectées. Si cet inventaire n’existe pas, ni CSF ni le Playbook ne sauveront le programme.

1. Choisir un profil. Les systèmes généraux utilisent la 1.0 telle quelle. Les systèmes génératifs et agentiques ajoutent AI 600-1. Les opérateurs CI doivent suivre le profil infrastructures critiques. Un profil est une décision de périmètre, pas de la paperasse pour elle-même.

1. Mettre Govern en place avant le théâtre de Measure. Assigner des propriétaires pour le risque modèle, la sécurité applicative, la politique de sûreté et l’IA fournisseur. Décider explicitement la tolérance au risque — l’item 9 de la Roadmap existe parce que cette étape est habituellement simulée.

1. Traiter la cybersécurité via CSF, pas par métaphore. Cartographier les considérations Secure / Defend / Thwart de l’IR 8596 sur les catégories CSF existantes. Ne pas réécrire le SGSI autour des sous-catégories AI 100-1.

1. Donner à Measure un vocabulaire d’attaque. Utiliser les classes AI 100-2 (évasion, empoisonnement, vie privée, usage abusif) comme taxonomie minimale pour les tests centrés modèle. Ajouter des évaluations non sécurité pour validité, équité, vie privée et sûreté ou cesser de revendiquer ces caractéristiques.

1. Concrétiser les contrôles dans un vrai catalogue. SP 800-53, la cartographie de contrôles d’un fournisseur cloud ou ISO/IEC 27001 peuvent porter les objets techniques. Enregistrer le risque résiduel dans Manage, y compris des préjudices qui n’apparaîtront jamais dans un SIEM.

1. Documenter l’espace négatif. Si l’organisation ne met en œuvre que Secure-and-resilient + CSF, dire « nous menons un programme cybersécurité IA informé par l’AI RMF », et non « nous mettons en œuvre l’AI RMF ».

6.2 Exemple : un système de chat agentique

Considérez un assistant hébergé qui récupère des documents privés, appelle des outils et agit sur plusieurs tours — la forme de nombreux agents LLM en production.

Map. Le système n’est pas « le modèle ». C’est le modèle, l’invite système, les corpus récupérés, les API d’outils, la mémoire de session, les évaluateurs et les opérateurs humains. Les parties affectées incluent les utilisateurs finaux, les tiers dont les données apparaissent en récupération, et quiconque est de l’autre côté d’un appel d’outil. La liste de risques GenAI de l’AI 600-1 est dans le périmètre ; une lecture 1.0 centrée ML prédictif ne l’est pas.

Govern. Propriétaires distincts pour : sécurité applicative (authn/z, isolation locataire) ; contrôle des changements modèle et invite ; politique de sûreté (refus, double usage) ; modèles fournisseurs. Le Govern tiers (GOVERN 6 / MANAGE 3) s’applique aux API de modèles de fondation comme au SaaS.

Measure. Les classes usage abusif et vie privée de l’AI 100-2 couvrent jailbreaks, injection d’invite via documents récupérés et exfiltration de données par outils. Elles ne couvrent pas la confabulation qui nuit à un utilisateur sans attaquant, ni les échecs systématiques de refus sur certaines langues. Ce sont des mesures validité, sûreté et équité. Un rapport de red team qui ne compte que le taux de succès d’attaque est un Measure incomplet par rapport à la 600-1.

Manage. Les types d’incident incluent les brèches classiques et les actions d’outils achevées et nuisibles, les fuites de secrets dans les journaux, et l’alignement simulé ou le raisonnement trompeur découvert si le modèle est évalué pour cela. La reprise peut signifier un retour en arrière d’invite ou de modèle, pas seulement la rotation d’identifiants.

Overlay CSF / IR 8596. Secure couvre la pile de service et le pipeline d’entraînement ou de fine-tuning. Defend couvre tout usage de modèles dans les flux SOC — et le risque d’injection d’invite que cela crée. Thwart couvre des attaquants utilisant d’autres modèles contre ce système (credential stuffing avec leurres générés, découverte automatisée de vulnérabilités).

Rien de cela n’exige de prétendre que l’IR 8596 est l’AI 100-1, ou que l’AI 100-1 est SP 800-53.

6.3 Modes d’échec

Nous observons quatre erreurs de catégorie récurrentes dans les affirmations publiques (pas un échantillon statistique ; une typologie) :

• Conformité PDF. Traiter une feuille Playbook complétée comme mise en œuvre de MEASURE 2.
• Synecdoque sécurité. Équivaloir mise en œuvre AI RMF et évaluation de robustesse adversarial.
• Synecdoque éthique. Équivaloir mise en œuvre AI RMF et tableau de bord d’équité sans parcours d’incident.
• Théâtre de certification. Annoncer « certifié NIST AI RMF » alors que le NIST n’offre aucune telle certification pour la 1.0.

Le dernier est le plus trompeur. ISO/IEC 42001 est le système de management IA certifiable. L’AI RMF est un cadre de résultats volontaire qui peut être aligné avec ce système.

7. Travaux connexes

La pile propre du NIST. Cet article est une lecture de cette pile plutôt qu’un concurrent. Les sources primaires sont AI 100-1, le Playbook et la Roadmap, AIRC, AI 600-1, AI 100-2, CSF 2.0 et IR 8596. SP 800-37 et SP 800-53 demeurent la colonne autorisation et contrôles pour les systèmes d’information fédéraux.

Systèmes de management internationaux et droit. ISO/IEC 42001 spécifie un système de management IA auditable. ISO/IEC 22989 fournit le vocabulaire ; ISO/IEC 42005 traite l’évaluation d’impact. La Roadmap AI RMF listait déjà les recoupements vers cette famille comme priorité majeure. Le EU AI Act est une réglementation contraignante par niveaux de risque pour les systèmes dans son périmètre. Ce n’est pas un profil NIST. Les recoupements conviennent ; l’identité non. Les OECD AI Principles sont à altitude plus élevée et ont informé une grande partie du vocabulaire IA digne de confiance 2019–2023 que le NIST a distillé.

Guides de développement sécurisé. Les lignes directrices CISA et NCSC pour le développement sécurisé de systèmes IA sont plus proches du domaine Secure de l’IR 8596 que de l’AI 100-1 dans son ensemble. Ce sont des entrées utiles Measure/Manage, pas un modèle Govern substitut pour l’équité ou la responsabilité.

Paysages de menaces. MITRE ATLAS catalogue les tactiques adverses contre les systèmes IA. Biggio et Roli passent en revue la première décennie du ML adversarial. Weidinger et al. taxonomisent les risques des modèles de langage au-delà du cadre adversarial. Amodei et al. ont cadré le risque d’accident qui n’est pas d’abord un problème d’attaquant. L’AI RMF est délibérément plus large que l’une de ces listes ; l’AI 100-2 est le document NIST qui absorbe le plus directement le sous-ensemble adversarial.

Alignement comme problème de fiabilité. Le travail sur des assistants utiles, honnêtes et inoffensifs et sur l’entraînement constitutionnel touche la sûreté, la responsabilité et la validité plus que la cybersécurité classique. Il appartient tout de même à Map et Measure pour les systèmes agentiques : un modèle qui se conforme stratégiquement sous supervision est un mode d’échec Manage pertinent même lorsqu’aucun contrôle SP 800-53 n’a échoué. L’AI RMF n’utilise pas « alignement » comme primitive ; les organisations qui s’en soucient devraient le traiter comme risque nommé dans Map, pas comme synonyme de secure-and-resilient.

8. Discussion

8.1 Ce que cette cartographie ne fait pas

Nous n’avons pas mesuré si les organisations qui revendiquent un alignement AI RMF diffèrent en taux d’incident de celles qui ne le font pas. L’item 5 de la Roadmap (efficacité du cadre) demeure un flux de travail NIST ouvert. Nous n’avons pas non plus produit un nouvel overlay de contrôles ni un recoupement complet vers ISO/IEC 42001 ou le EU AI Act ; ce sont des projets de taille document, dont certains vivent déjà dans AIRC.

L’article est donc une contribution cartographique. Son mode d’échec est celui habituel des cartes : paraître plus autoritaire que le terrain, surtout pendant la révision de la 1.0.

8.2 Cadres volontaires et langage d’approvisionnement

Parce que l’AI 100-1 est volontaire et orienté résultats, c’est un mauvais objet de clauses d’approvisionnement binaires (« le fournisseur doit être conforme AI RMF »). Une clause plus précise nomme le profil (p. ex. AI 600-1), les caractéristiques dans le périmètre, les preuves attendues pour Measure et le catalogue de contrôles utilisé pour concrétiser les objets techniques Protect/Detect. Lorsqu’un système de management certifiable est requis, ISO/IEC 42001 est l’instrument prévu. Lorsqu’un ensemble de contrôles sécurité certifiable est requis, SP 800-53 ou un équivalent demeure l’instrument prévu.

8.3 L’écart de mesure

Govern et Map peuvent se faire en ateliers. Measure ne le peut pas. L’item TEVV de la Roadmap existe parce que l’évaluation sociotechnique des systèmes IA reste méthodologiquement mince par rapport aux affirmations que les acheteurs veulent entendre. Les équipes sécurité ne devraient pas combler cet écart en surchargeant les taux réussite/échec de red team pour tenir lieu de validité, équité et sûreté. Cette substitution est ainsi que « cadre de sécurité IA du NIST » devient une formule marketing.

8.4 Agents, outils et le texte de 2023

L’AI 100-1 précède le déploiement généralisé d’agents utilisant des outils. L’AI 600-1 et l’IR 8596 sont les documents qui commencent à rattraper. Un agent qui peut envoyer du courriel, modifier l’infrastructure ou écrire du code élargit l’inventaire Map et la taxonomie d’incidents Manage. Cela ne requiert pas un nouveau nom marketing pour l’AI RMF ; cela requiert un profil qui nomme outils, mémoire et autorisation comme composants de système de première classe.

8.5 Risque de révision

Les lecteurs qui mettent en œuvre à partir de cet article devraient suivre la révision 1.0. Les noms de fonctions peuvent persister tandis que sous-catégories, attentes de profil et actions Playbook changent. L’affirmation structurelle qui nous importe — suite versus compléments ; caractéristiques versus contrôles — survivra probablement ; les citations au niveau sous-catégories 1.0 peut-être pas.

9. Conclusion

Il n’existe pas de document unique du NIST intitulé AI Security Framework. Il existe un programme 2023 — la suite AI RMF composée de l’AI 100-1, du Playbook, de la Roadmap, des caractéristiques de fiabilité et du catalogue communautaire — et un ensemble d’instruments ultérieurs qui approfondissent cybersécurité, IA générative et pratique sectorielle.

La sécurité est l’une des sept caractéristiques d’IA digne de confiance. Les quatre fonctions opérationnalisent les sept. CSF 2.0 et l’ébauche du Cyber AI Profile sont la couche de résultats cybersécurité. L’AI 100-2 est le vocabulaire d’attaque. SP 800-53 (et overlays à venir) est la couche de contrôles. ISO/IEC 42001 et le EU AI Act sont des régimes adjacents.

Utilisés ensemble, ces documents sont cohérents. Utilisés comme synonymes, ils produisent des programmes soit sécurité avec vocabulaire éthique, soit éthique sans parcours d’incident. La correction la moins coûteuse est linguistique : indiquer quel document répond à quelle question, et cesser de prétendre le reste.

Remerciements

Cet article est une lecture structurée de documents publics du NIST et de normes connexes. Il n’est pas affilié au NIST, ne constitue pas un avis juridique ou de conformité, et ne prétend pas qu’un produit quelconque met en œuvre l’AI RMF.

@online{violet2026nistairmf,
  author = {Haigh, John},
  title = {The NIST AI Risk Management Framework : cartographier la suite de base et la pratique de sécurité},
  date = {2026-09-12},
  year = {2026},
  url = {https://www.violetai.ca/fr-FR/research/nist-ai-rmf/paper},
}