ISO 42001 : ce que la norme ajoute à l'IA Act

Ce que la norme est, et ce qu'elle n'est pas

ISO/IEC 42001, publiée fin 2023, est la première norme internationale consacrée au management de l'intelligence artificielle. Elle définit les exigences d'un système de management de l'IA, que l'on abrège en SMIA en français et AIMS en anglais : l'ensemble des politiques, des rôles, des procédures et des enregistrements par lesquels une organisation pilote ses usages de l'IA.

Elle n'est ni un texte de loi, ni un guide technique sur les modèles. Elle ne dit pas comment entraîner un algorithme, ni quel outil choisir. Elle dit qui décide, sur quelle base, avec quelles vérifications, et quelles traces on conserve. C'est une norme d'organisation, dans la même famille qu'ISO 9001 pour la qualité ou ISO/IEC 27001 pour la sécurité de l'information.

Autre point à poser d'emblée : elle est volontaire. Personne ne peut vous sanctionner parce que vous ne l'appliquez pas. Ce qui rend l'exercice intéressant, c'est précisément ce qu'elle apporte à côté de la contrainte légale.

Pourquoi une norme alors qu'il existe déjà un règlement

Le règlement (UE) 2024/1689 fixe des obligations : classifier les systèmes par niveau de risque, sécuriser les usages à haut risque, assurer une supervision humaine, former les collaborateurs. Il ne dit pas comment une entreprise doit s'organiser pour tenir ces obligations d'une année sur l'autre, ni comment en apporter la preuve à un tiers.

C'est exactement le vide que comble la norme. Elle transforme une conformité ponctuelle, celle du jour où l'on a fait l'inventaire, en un dispositif qui se maintient : une politique écrite, des responsabilités attribuées, une évaluation des risques répétée, un audit interne, une revue de direction, un traitement des écarts.

Ce que la norme exige concrètement

ISO 42001 suit la structure commune à toutes les normes de management récentes. Traduite en langage courant, elle demande sept choses.

1. Comprendre son contexte

Identifier qui est concerné par vos usages de l'IA : salariés, candidats, clients, partenaires, autorités. Et déterminer le périmètre exact du système de management, c'est-à-dire ce qu'il couvre et ce qu'il ne couvre pas.

2. Engager la direction

La norme exige une politique d'IA formalisée et portée par la direction, ainsi que l'attribution explicite des rôles. C'est la clause qui bloque le plus souvent : tant que personne n'est nommément responsable, le dispositif reste théorique.

3. Évaluer et traiter les risques

Une méthode d'appréciation des risques liés à l'IA, appliquée système par système, et un plan de traitement. S'y ajoute une évaluation des impacts sur les personnes, qui recoupe largement l'analyse d'impact sur les droits fondamentaux prévue par le règlement.

4. Fournir les moyens

Compétences, sensibilisation, communication et documentation. C'est ici que se raccroche l'obligation d'acculturation des collaborateurs : le travail fait pour le règlement sert directement pour la norme.

5. Maîtriser les activités opérationnelles

Les processus par lesquels vous concevez, achetez, déployez et retirez un système d'IA. La norme insiste sur la chaîne fournisseurs : ce que vous exigez d'un éditeur avant de souscrire, et ce que vous vérifiez ensuite.

6. Mesurer

Des indicateurs, un audit interne et une revue de direction. Ces deux derniers points sont des exigences fermes, pas des recommandations : sans eux, aucun certificat n'est délivré.

7. S'améliorer

Traiter les non-conformités, mener des actions correctives, et démontrer que le dispositif progresse. C'est la logique du cycle PDCA, qui structure toute la démarche.

À cela s'ajoute une annexe de mesures de maîtrise dans laquelle vous piochez ce qui est pertinent pour votre organisation. Le document qui formalise ces choix, et qui justifie les exclusions, s'appelle la déclaration d'applicabilité. C'est la première pièce que l'auditeur demandera.

Ce que cela représente pour une PME

La norme est explicitement proportionnée à la taille et à la complexité de l'organisation. Une structure de trente personnes qui utilise cinq outils d'IA n'aura pas le même système de management qu'un groupe qui en développe. Ce qui est jugé, ce n'est pas le volume documentaire, c'est la correspondance entre ce que vous écrivez et ce que vous faites réellement.

L'erreur classique consiste à produire une documentation impressionnante que personne n'applique. Un auditeur la détecte en deux entretiens : il suffit d'interroger un utilisateur sur la procédure censée le concerner. Mieux vaut un dispositif court et vivant qu'un manuel de cent pages jamais ouvert.

Dans les faits, l'essentiel du travail préparatoire recouvre ce que la conformité réglementaire impose déjà : la cartographie des systèmes, la classification des risques, la charte d'usage et la formation. Mener les deux démarches ensemble évite de refaire deux fois le même inventaire.

Comment se déroule la certification

Le parcours est celui de toutes les certifications de systèmes de management, et il se déroule en quatre temps.

1. La construction du système, qui est le gros du travail : politique, registre des risques, procédures, formation, déclaration d'applicabilité.
2. L'audit interne et la revue de direction, exigés par la norme et à réaliser avant de se présenter.
3. L'audit de certification, généralement conduit en deux étapes : un examen documentaire, puis un audit sur site qui vérifie l'application réelle.
4. Le maintien : le certificat s'accompagne d'audits de surveillance périodiques, avec un renouvellement complet au terme du cycle, habituellement fixé à trois ans.

Un point de méthode à connaître avant de choisir vos prestataires : les règles d'indépendance qui encadrent la certification interdisent à un même acteur de conseiller une entreprise puis d'auditer son propre travail. Le cabinet qui vous accompagne ne peut pas être celui qui vous certifie. C'est une contrainte, mais c'est aussi ce qui donne sa valeur au certificat.

Si vous êtes déjà certifié ISO 27001

L'effort est nettement réduit. Les normes partagent la même architecture, ce qui signifie que vos clauses relatives au contexte, au leadership, à la documentation, à l'audit interne et à la revue de direction sont déjà en place. Votre méthode d'appréciation des risques peut être étendue plutôt que refaite, et vos auditeurs internes connaissent déjà l'exercice.

Ce qui reste réellement à construire, c'est ce qui est propre à l'IA : l'inventaire des systèmes, l'évaluation des impacts sur les personnes, les procédures de supervision humaine et l'encadrement des fournisseurs de solutions embarquant de l'IA.

Faut-il s'engager, et quand

Trois situations justifient d'y aller sans attendre. La première : vos clients vous le demandent, ou vous anticipez qu'ils le feront. Les grands donneurs d'ordre ont commencé à interroger leurs fournisseurs sur leur gouvernance de l'IA, comme ils l'ont fait pour la sécurité de l'information il y a dix ans. La deuxième : l'IA touche des décisions qui affectent des personnes, notamment en recrutement ou en évaluation, auquel cas la documentation vous protégera de toute façon en cas de contestation. La troisième : vous développez ou revendez une solution embarquant de l'IA, et le certificat devient un argument commercial autant qu'une preuve.

À l'inverse, si vos usages se limitent à un correcteur automatique et à un assistant de rédaction, la certification serait disproportionnée. Une charte d'usage, une sensibilisation et un inventaire tenu à jour suffisent, et c'est déjà davantage que ce que fait la majorité des entreprises.

Dans tous les cas, la première étape est la même : savoir ce que vous utilisez. Le reste, conformité réglementaire ou démarche de certification, se construit sur cet inventaire.