L'ESSENTIEL EN 30 SECONDES

  • Chaque système est noté de 1 à 4 sur huit facteurs ; le total (de 8 à 32) le place entre le niveau 1 (faible) et le niveau 4 (critique), et certaines capacités, comme l'exécution autonome de code, peuvent le faire monter d'un cran.
  • Les niveaux supérieurs exigent des audits indépendants menés par des organismes agréés par le CERT-In ; le niveau 4 ajoute une surveillance continue, et un auditeur seul ne peut pas intervenir aux niveaux 3 et 4.
  • Le cadre vise l'IA développée, déployée ou utilisée en Inde ou au service d'utilisateurs indiens ; selon The420.in, il ne crée pas à lui seul une nouvelle loi sur l'IA.

L'agence nationale de cybersécurité indienne, le CERT-In, a publié un cadre commun pour auditer les systèmes d'intelligence artificielle. Ces lignes directrices, intitulées Artificial Intelligence Security Auditing Guidelines (version 1.0), sont datées du 4 novembre 2026.

Comment les systèmes sont classés

Le texte vise l'IA développée, achetée, déployée ou exploitée par des organisations en Inde, ainsi que les systèmes qui traitent des données indiennes ou servent des utilisateurs indiens. La recherche universitaire, l'automatisation purement fondée sur des règles et l'usage personnel grand public en sont exclus.

Chaque système reçoit une note de 1 à 4 sur huit facteurs, parmi lesquels la gravité de l'impact, l'autonomie, la sensibilité des données, la réversibilité et l'exposition aux attaquants. Le total, compris entre 8 et 32, détermine le niveau : 8 à 12 pour le niveau 1 (faible), 13 à 19 pour le niveau 2 (modéré), 20 à 26 pour le niveau 3 (élevé) et 27 à 32 pour le niveau 4 (critique). Certaines capacités priment sur la somme, comme le fait d'exécuter du code, des transactions ou des communications externes de façon autonome.

À quoi ressemblent les audits

L'exigence croît avec le niveau. Au niveau 1, une auto-évaluation ou une revue interne simple chaque année suffit. Le niveau 2 ajoute un audit interne documenté et un audit indépendant, au moins annuel, par un organisme agréé par le CERT-In. Le niveau 3 impose des audits indépendants par des tiers ; selon Digit, ils peuvent devenir semestriels si le risque ou des changements importants le justifient. Le niveau 4 y ajoute une surveillance continue. Un auditeur unique ne peut pas prendre en charge les niveaux 3 et 4, et les PME et start-up ne bénéficient d'allègements que pour les deux premiers niveaux.

Neuf domaines sont couverts : gouvernance, qualité et confidentialité des données, risque des modèles, équité, transparence, sécurité et signalement des incidents, surveillance et dérive, supervision humaine, chaîne d'approvisionnement. Les contrôles de sécurité reprennent le délai de six heures pour signaler un incident et la conservation des journaux pendant 180 jours, issus selon The420.in de directives du CERT-In d'avril 2022.

Agents et portée juridique

Des dispositions spécifiques visent l'IA générative, les systèmes à génération augmentée par récupération, les modèles multimodaux et les agents d'IA. Le document cite parmi les risques l'autonomie excessive, l'usage dangereux d'outils, la mémoire persistante et la communication entre agents, et demande de tester séparément les mécanismes d'approbation et de reprise en main.

Le texte emploie un vocabulaire impératif pour les exigences de chaque niveau, mais la couverture publiée ne précise pas dans quelle mesure il est juridiquement contraignant. Selon The420.in, le cadre ne constitue pas une loi autonome sur l'IA et distingue les obligations légales existantes des attentes d'audit.