Table de correspondance — 07/09/2026
Correspondances avec les normes et référentiels
Où les pratiques AIPM recoupent ISO/IEC 42001, le NIST AI RMF, le PMBOK Guide, PRINCE2, ITIL et PM² — et surtout où elles ne les recoupent pas.
Un référentiel nouveau n'a pas vocation à remplacer ce qui fonctionne. La question utile n'est pas « faut-il abandonner PMBOK ou PRINCE2 » — la réponse est non — mais « qu'est-ce qu'AIPM traite que ces référentiels n'avaient pas de raison de traiter, parce qu'ils ont été écrits pour un monde où l'exécution était humaine ». Ce tableau répond à cette question dans les deux sens : il montre aussi tout ce qu'AIPM ne fait pas et qu'il faut aller chercher ailleurs.
ISO/IEC 42001 — système de management de l'IA
Correspondance indicative avec les groupes de mesures de l'Annexe A
| Objet ISO/IEC 42001 (Annexe A) | Pratique AIPM correspondante | Couverture |
|---|---|---|
| Politique relative à l'IA | Charte de mandat IA de la Directive (domaine 4.1) | Partielle |
| Organisation interne, rôles et responsabilités | Directeur-Vérificateur nommé (§5.1) et matrice RACI-IA (§5.2) | Directe |
| Ressources pour les systèmes d'IA | Dimensionnement de la flotte d'agents (domaine 4.2) | Partielle |
| Évaluation d'impact des systèmes d'IA | Filtre de délégabilité (domaine 4.3) et registre de risques IA (§7) | Partielle |
| Cycle de vie des systèmes d'IA | Cycle de vie de la Directive (§3.4) — événementiel, pas calendaire | Divergente |
| Données pour les systèmes d'IA | Non traité par AIPM | Absente |
| Information des parties intéressées | Domaine 4.1 — parties prenantes, clients finaux inclus | Partielle |
| Utilisation des systèmes d'IA | Périmètre d'autonomie mérité (principe 4) et seuils déclencheurs (§6.2) | Directe |
| Relations avec les tiers et les fournisseurs | Non traité par AIPM | Absente |
« Divergente » n'est pas un défaut : ISO/IEC 42001 décrit un système de management à cycle d'audit périodique, AIPM une gouvernance embarquée dans l'exécution. Les deux logiques coexistent — la seconde alimente la première en preuves.
Règlement (UE) 2024/1689 sur l'intelligence artificielle
Ce que le droit européen exige, et ce qu'AIPM apporte à celui qui doit s'y conformer
C'est la correspondance la plus délicate du document, parce que c'est la seule qui porte sur du droit directement applicable et sanctionné — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements. Mettre en œuvre AIPM ne rend conforme à rien. Seule l'évaluation de conformité rend conforme, et elle porte sur un système mis sur le marché, jamais sur une méthode de travail. Ce tableau dit une seule chose : quand une obligation du règlement exige un dispositif organisationnel, AIPM en fournit un — et il faudra le compléter.
| Obligation du règlement | Ce qu'AIPM fournit | Ce qui manque encore |
|---|---|---|
| Art. 14 — surveillance humaine : comprendre les limites du système, rester conscient du biais d'automatisation, décider de ne pas utiliser le système, intervenir ou arrêter son fonctionnement | Le Directeur-Vérificateur est une personne physique nommée, dotée du pouvoir de renvoyer un résultat. Les quatre seuils déclencheurs (§6.2) sont un mécanisme d'interruption défini à la conception, pas une vigilance laissée à l'appréciation. | Le règlement exige que la personne dispose de la compétence, de l'autorité et des moyens. AIPM nomme le rôle ; il ne définit pas le niveau de compétence exigible. |
| Art. 9 — système de gestion des risques itératif sur tout le cycle de vie | Les 8 catégories de risques de base et les 8 risques agentiques (§7), tenus comme registre vivant et non comme annexe de cadrage. | Le risque de l'article 9 est le risque pour la santé, la sécurité et les droits fondamentaux des personnes, pas pour l'organisation. Les 16 catégories AIPM sont écrites du point de vue de l'organisation : c'est un écart de nature, pas de degré. |
| Art. 12 — journalisation automatique des événements | Le tableau d'exceptions (§6.3) trace chaque seuil franchi, la décision prise et son auteur. | L'article 12 porte sur les journaux techniques du système lui-même. Le tableau d'exceptions trace des décisions humaines : les deux sont complémentaires, pas substituables. |
| Art. 26 — obligations propres du déployeur, non transférables par contrat | Le filtre de délégabilité (domaine 4.3) oblige à statuer, avant de déléguer, sur ce qui relève de la responsabilité propre. | AIPM ne traite ni les achats, ni la répartition contractuelle des responsabilités le long de la chaîne de valeur (art. 25). C'est un manque identifié. |
| Art. 27 — analyse d'impact sur les droits fondamentaux, pour les déployeurs publics et certains privés | Rien de directement équivalent. | AIPM ne fournit pas de grille d'analyse d'impact sur les droits fondamentaux. Renvoi aux lignes directrices du Bureau de l'IA et à ISO/IEC 42001 A.5. |
| Art. 4 — littératie en IA | Les trois niveaux de certification et les huit modules de formation. | L'obligation a été assouplie par le règlement (UE) 2026/1744 : « assurer » un niveau suffisant devient « prendre des mesures pour soutenir » son développement. |
Point de périmètre à connaître : le management de projet assisté par IA n'est pas, en soi, un domaine à haut risque de l'annexe III. Il le devient dès qu'il touche à l'emploi ou à l'évaluation des travailleurs (annexe III, point 4) — ce qui est fréquent quand un outil de pilotage mesure la performance individuelle. La question mérite d'être posée au cadrage de chaque Directive.
NIST AI Risk Management Framework
Les quatre fonctions du cadre, et ce qui les porte dans AIPM
| Fonction NIST AI RMF | Ce qui la porte dans AIPM | Couverture |
|---|---|---|
| Govern — culture, rôles, responsabilité | Principe 5 (gouvernance dès la conception), principe 1 (la décision reste humaine), RACI-IA (§5.2) | Directe |
| Map — contexte, finalité, impacts | Filtre de délégabilité (4.3), Fiche Directive champs 1 et 3 (§3.2), domaine 4.8 (physique vs cognitif) | Directe |
| Measure — analyse, suivi, métriques | Les 4 métriques natives (§9), le modèle de maturité à deux axes (§8), le principe 10 (base de volume) | Directe |
| Manage — priorisation, traitement, réponse | Seuils déclencheurs (§6.2), tableau d'exceptions (§6.3), canal d'escalade garanti (principe 3) | Directe |
Le cadre a été complété en juillet 2024 par un profil consacré à l'IA générative (NIST AI 600-1) qui nomme douze catégories de risques. Deux intéressent directement AIPM : Human-AI Configuration, qui traite la répartition des tâches entre humain et système, le biais d'automatisation et la sur-confiance — c'est le plus proche cousin de la matrice RACI-IA que l'on trouve dans un corpus institutionnel ; et Value Chain and Component Integration, sur la chaîne de fournisseurs, qu'AIPM ne traite pas.
C'est la correspondance la plus nette des quatre : le NIST AI RMF et AIPM répondent à la même question — comment gouverner un système d'IA en production — à deux niveaux différents. Le NIST décrit les fonctions, AIPM fournit les artefacts opérationnels qui les remplissent.
Crosswalk détaillé — les 19 catégories du NIST AI RMF
Catégorie par catégorie, ce qui la porte dans AIPM et ce qui n'y est pas
Le NIST publie lui-même des tables de correspondance entre son cadre et ISO/IEC 42001, ISO/IEC 23894 ou le règlement européen. En voici une pour AIPM, au niveau des catégories du Core, en suivant la numérotation du cadre. Les libellés sont reformulés en français : le texte de référence reste celui du NIST.
| Catégorie | Objet | Ce qui la porte dans AIPM | Couverture |
|---|---|---|---|
| GOVERN 1 | Politiques, processus et procédures de gestion du risque IA, y compris le cadre légal et réglementaire applicable | Principe 5 — gouvernance dès la conception ; le comité de gouvernance IA ; les correspondances réglementaires publiées sur cette page | Directe |
| GOVERN 2 | Structures de responsabilité : qui répond de quoi, avec quelles lignes de remontée | Le Directeur-Vérificateur nommé, la matrice RACI-IA à sept activités, la fiche du commanditaire | Directe |
| GOVERN 3 | Diversité, équité, inclusion et accessibilité des équipes qui conçoivent et exploitent | Rien. | Absente |
| GOVERN 4 | Culture organisationnelle qui rend le risque pensable et signalable | Le canal d'escalade non désactivable (principe 3) et la doctrine d'adoption en trois temps (rigidification, optimisation, solidification) | Partielle |
| GOVERN 5 | Dialogue avec les personnes concernées et prise en compte de leurs retours | Le domaine 4.1 traite les parties prenantes, clients finaux inclus, mais AIPM n'organise pas de recueil auprès des personnes affectées | Partielle |
| GOVERN 6 | Risques liés aux tiers et à la chaîne d'approvisionnement | La section « Le fournisseur du modèle » et ses six questions de cadrage — sans trame contractuelle | Partielle |
| MAP 1 | Établissement du contexte : finalité, périmètre, hypothèses | Les champs 1 et 3 de la Fiche Directive, et le filtre de délégabilité (domaine 4.3) | Directe |
| MAP 2 | Catégorisation du système d'IA et de ses usages | Le domaine 4.8 — distinction du physique et du cognitif — et le périmètre d'autonomie mérité (principe 4) | Directe |
| MAP 3 | Capacités, usage visé, objectifs et bénéfices attendus rapportés à une base de comparaison | Le principe 10 : toute mesure est rapportée à une base de volume, jamais présentée en absolu | Directe |
| MAP 4 | Risques et bénéfices des composants tiers | Les six questions du fournisseur du modèle | Partielle |
| MAP 5 | Impacts sur les personnes, les groupes, les collectivités et la société | Rien de structuré. Les 16 catégories de risques d'AIPM sont écrites du point de vue de l'organisation, pas des tiers affectés — c'est le même écart que face à l'article 9 du règlement européen | Absente |
| MEASURE 1 | Choix des méthodes et des métriques, et justification de ce choix | Les 4 métriques natives, définies avec leur dénominateur | Directe |
| MEASURE 2 | Évaluation du système au regard des caractéristiques de fiabilité | Partiellement : AIPM mesure la calibration de la confiance, pas la robustesse, l'explicabilité ou l'équité du système | Partielle |
| MEASURE 3 | Suivi des risques identifiés dans la durée | Le tableau d'exceptions et la revue de calibration déclenchée par seuil | Directe |
| MEASURE 4 | Retour sur l'efficacité de la mesure elle-même | Le modèle de maturité à deux axes est exactement cela : il mesure si vos seuils sont bien réglés, pas si votre agent est bon | Directe |
| MANAGE 1 | Priorisation et traitement des risques | Les quatre seuils déclencheurs et le protocole d'escalade et de désescalade | Directe |
| MANAGE 2 | Stratégies pour maximiser les bénéfices et limiter les effets négatifs | Le périmètre d'autonomie mérité : l'autonomie s'élargit sur preuve de calibration et se resserre sur seuil de risque | Directe |
| MANAGE 3 | Gestion des risques de tiers | Les six questions du fournisseur du modèle, sans dispositif de suivi | Partielle |
| MANAGE 4 | Documentation, suivi et communication des traitements de risque | Le tableau d'exceptions comme objet documentaire vivant, et le registre de risques IA | Directe |
Lecture honnête de ce tableau : onze catégories sur dix-neuf sont couvertes directement, six partiellement, deux pas du tout. Les deux absences — la composition des équipes (GOVERN 3) et les impacts sur les tiers (MAP 5) — ne sont pas des oublis de rédaction : ce sont deux endroits où AIPM raisonne du point de vue de l'organisation qui délègue, quand le NIST raisonne du point de vue de ceux qui subissent. Combler MAP 5 supposerait d'ajouter au registre de risques une colonne « personnes affectées » — c'est au backlog du référentiel, et ce sera dit dans le journal des versions le jour où ce sera fait.
Référentiels de management de projet
Ce qu'ils traitent, ce qu'AIPM ajoute, ce qu'AIPM ne traite pas
| Référentiel | Ce qu'AIPM ajoute | Ce qu'il faut continuer d'y chercher |
|---|---|---|
| PMBOK® Guide (PMI, 7ᵉ éd. 2021 — principes et domaines de performance) | L'unité de travail « Directive » sans durée présupposée ; la flotte d'agents comme ressource gouvernée ; les seuils déclencheurs à la place des jalons calendaires ; un registre de risques propre à l'IA. | L'ordonnancement, l'estimation, la gestion des coûts et des approvisionnements, la gestion contractuelle — AIPM ne les traite pas. |
| PRINCE2® (PeopleCert, PRINCE2 7 — 2023) | La gouvernance par événement plutôt que par étape de management ; le canal d'escalade comme champ non désactivable ; la séparation producteur/vérificateur. | La structure de gouvernance projet, la gestion par exception au sens PRINCE2, les rôles de comité de pilotage, la justification commerciale continue. |
| ITIL® (PeopleCert, ITIL 4) | La calibration de confiance comme mesure de maturité, à la place d'un taux d'automatisation ; la traçabilité comme propriété d'architecture, pas comme journal a posteriori. | La gestion des services, des incidents, des changements et des niveaux de service — AIPM ne prétend pas s'y substituer. |
| PM² (Commission européenne, CC BY 4.0) | Un cycle de vie événementiel là où PM² est structuré par phases et livrables ; une matrice de responsabilité qui inclut des acteurs non humains. | L'articulation avec les procédures institutionnelles européennes, les gabarits de gouvernance budgétaire publique. Une annexe dédiée traite spécifiquement cette articulation. |
Au-delà de l'espace occidental
Six corpus rarement comparés, et ce qu'ils apportent que ni le PMI ni l'ISO n'apportent
Les comparaisons publiées s'arrêtent presque toujours à PMI, PRINCE2, ITIL et ISO. C'est une lacune, parce que quatre idées utiles se trouvent ailleurs — et une mise en garde s'impose d'abord : deux des objets ci-dessous ne sont pas des référentiels. Le système de production Toyota n'a ni texte normatif, ni organisme émetteur, ni certification ; la méthode IPD de Huawei est un processus interne dont le manuel n'est pas publié. Les inclure dans une comparaison de référentiels est une erreur de catégorie fréquente. Ils figurent ici pour ce qu'ils enseignent, pas comme normes.
| Corpus | Ce qu'il apporte d'unique | Ce qu'AIPM en retient |
|---|---|---|
| P2M — Program and Project Management for Enterprise Innovation (PMAJ, Japon, 2001, 3ᵉ éd. 2014) | Le mission profiling : le processus qui rend pensable une mission ambiguë avant de la rendre planifiable. C'est la seule méthode au monde qui outille la phase antérieure à la charte de projet — le PMBOK et PRINCE2 commencent quand cette transformation a déjà eu lieu, ailleurs et sans méthode. | Le filtre de délégabilité (domaine 4.3) occupe la même place dans la chronologie : il s'exerce avant que la Directive existe. Le rapprochement est reconnu ; l'outillage amont d'AIPM reste plus pauvre que celui de P2M. |
| Normes GB/T (Chine, comité SAC/TC343) — dont GB/T 41831-2022, exigences d'évaluation de la compétence des professionnels du management de projet | La compétence individuelle érigée en norme d'État. En Occident, la compétence est certifiée par des associations privées ; en Chine, elle relève d'une norme nationale. L'autorité change de nature. Précision utile, souvent fausse dans la littérature occidentale : le suffixe « /T » signifie « recommandé », donc volontaire — ces normes ne deviennent contraignantes que par renvoi contractuel ou réglementaire. | Rien de directement transposable. Le point de vigilance est ailleurs : un référentiel privé qui se présente comme une autorité de compétence sans mandat public doit le dire, et c'est ce que fait la page « Qui écrit AIPM ». |
| ПМ СТАНДАРТ (Russie, АНО ЦОРПУ) — quatre niveaux de certification, dont « Куратор проекта » | Le seul dispositif au monde qui certifie le commanditaire, et pas seulement le chef de projet. Ni le PMI, ni l'IPMA, ni PeopleCert ne certifient le sponsor comme rôle distinct. | L'idée est directement pertinente : AIPM nomme le Directeur-Vérificateur mais ne dit rien de celui qui le mandate. Un dispositif « commanditaire d'une Directive » est au backlog. |
| IPD — Integrated Product Development, tel que déployé chez Huawei à partir de 1999 | Deux choses. La séparation stricte entre la décision d'investissement et la revue technique, confiées à deux instances différentes (quatre points de décision tenus par l'IPMT, revues techniques tenues par l'équipe produit). Et une doctrine explicite d'appropriation d'une méthode importée : rigidification, puis optimisation, puis solidification — on applique d'abord sans adapter, on ne se donne le droit de modifier qu'ensuite. | La séquence en trois temps est la meilleure réponse connue à la question « comment fait-on adopter un référentiel ». Elle est reprise, avec attribution, dans les recommandations d'adoption. |
| Implementation Opinions on the Standardized Application and Innovative Development of Intelligent Agents (Chine, CAC-NDRC-MIIT, 8 mai 2026) | Le seul texte public au monde qui traite l'agent comme objet de politique. Son article 6 pose que l'utilisateur conserve « le droit de décision final sur les décisions autonomes de l'agent » ; son article 10 exige une capacité technique d'interception et de blocage, pas seulement une revue a posteriori. C'est un document d'orientation, pas une loi : il ne crée pas d'obligation sanctionnable, il ordonne d'en produire. | La formulation converge avec le principe 1 d'AIPM — la décision reste humaine — et avec les seuils déclencheurs. C'est la convergence la plus intéressante du corpus mondial : deux textes écrits sans se connaître aboutissent à la même borne. |
| GOST R 71539-2024 (Russie, comité ТК 164) — processus de cycle de vie des systèmes d'IA | Le déclenchement du contrôle par signal statistique : détection de dérive des données et des concepts, avec retour arrière obligatoire. Aucun autre corpus n'impose un mécanisme de ce type. À noter en regard : la loi fédérale russe de 2026 sur l'IA ne crée aucune obligation générale de supervision humaine — elle est, sur ce point, nettement moins exigeante que le règlement européen. | Le seuil de confiance d'AIPM (§6.2) est un signal du même ordre, mais porté par l'agent sur son propre résultat, non par une surveillance externe du modèle. Les deux sont complémentaires. |
Veille normative — la norme qui arrive
ISO 21520, projet de norme internationale sur l'IA en management de projet
Un groupe de travail dédié — ISO/TC 258 / WG 17 — a été créé le 31 mai 2025 pour produire la première norme internationale à l'intersection du management de projet et de l'intelligence artificielle : ISO 21520, Project, programme and portfolio management — Artificial intelligence — Concepts, applications, and implications. Le texte est au stade de projet de norme internationale, en vote d'enquête ; le scrutin se clôture le 27 septembre 2026. Vingt-neuf pages annoncées, positionnées en supplément des normes existantes du comité.
Deux conséquences pour qui lit AIPM. D'abord, tous les autres corpus de cette page traitent soit le projet, soit l'IA — ISO 21520 sera le premier à traiter les deux, et il faudra s'y référer. Ensuite, comme le reste de la famille ISO 21500, ce sera une norme de lignes directrices et non d'exigences : elle ne sera pas certifiable, et elle ne fournira ni gabarit, ni matrice de responsabilité, ni banque de cas. Le rôle qu'AIPM se donne — un corpus opératoire, gratuit, outillé et sourcé — n'entre pas en concurrence avec elle ; il la complète.
Cette section sera mise à jour à l'issue du vote. Le texte du projet n'est pas librement consultable : seules les métadonnées du catalogue ISO et l'annonce de création du groupe de travail ont pu être vérifiées.
Ce qu'AIPM ne traite pas, et l'assume
- La gouvernance des données — collecte, qualité, cycle de vie, souveraineté. AIPM pose que la gouvernance des données et celle des agents ne peuvent pas être pilotées en silos (principe 8), mais ne fournit aucun cadre de gouvernance des données. Allez chercher ISO/IEC 38505 ou DAMA-DMBOK.
- La sécurité applicative des systèmes d'IA — injection de prompt, empoisonnement, exfiltration. AIPM en fait une catégorie de risque (7.6) sans fournir de contre-mesures techniques. L'OWASP Top 10 for LLM Applications est le document de référence sur ce terrain.
- La conformité réglementaire — le règlement européen sur l'IA, le RGPD, les obligations sectorielles. AIPM en fait un risque (7.7) et une exigence de conception, pas une cartographie réglementaire.
- L'ingénierie des modèles — entraînement, évaluation, alignement, choix d'architecture. Hors périmètre : AIPM commence là où un agent est déjà utilisable et où il faut décider de ce qu'on lui délègue.
- La conduite du changement organisationnel — adoption, résistance, transformation des métiers. C'est un manque, pas un choix : les référentiels de management de projet le traitent tous (chapitre entier chez l'APM, Business Implementation Group chez PM², famille de pratiques dans ISO 21502), et les cadres de gouvernance de l'IA ne le traitent aucun. AIPM est aujourd'hui du mauvais côté de cette ligne.
- Le programme et le portefeuille — arbitrer entre trente Directives concurrentes. AIPM raisonne Directive par Directive. Pour l'échelon supérieur, ISO 21503 et 21504, PgM² et PfM² (gratuits), ou les domaines programme et portefeuille de l'IPMA ICB 4.
- Les achats et la relation fournisseur — alors que toute Directive repose sur un fournisseur de modèle. ISO/IEC 42001 A.10 et les articles 25 et 26 du règlement européen traitent la chaîne de responsabilité ; AIPM ne le fait pas encore.
PMBOK® et PMP® sont des marques déposées du Project Management Institute, Inc. PRINCE2® et ITIL® sont des marques déposées de PeopleCert International Limited. PM² est publié par la Commission européenne et diffusé sous licence Creative Commons BY 4.0. ISO® et IEC® sont des marques de l'Organisation internationale de normalisation et de la Commission électrotechnique internationale. Le NIST AI Risk Management Framework est une publication du National Institute of Standards and Technology, d'usage volontaire et sans mécanisme de conformité. P2M est publié par la Project Management Association of Japan. Les normes GB/T sont publiées par l'Administration d'État chinoise pour la régulation du marché ; les normes ГОСТ Р par Rosstandart. IPD est une méthode interne de Huawei Technologies, non publiée. AIPM n'est affilié à aucune de ces organisations, n'est ni accrédité ni approuvé par elles, et ces correspondances n'engagent qu'AIPM.
Une correspondance vous paraît fausse ?
Ces tables sont datées et versionnées : une erreur signalée est corrigée et tracée.