Sommaire
Ce qu'est ISO/IEC 42001
Publiée fin 2023, la norme définit les exigences d'un système de management de l'IA. Elle suit la même structure que les autres normes de management ISO, comme ISO/IEC 27001 pour la sécurité de l'information. Une organisation déjà certifiée ISO 27001 peut donc intégrer les deux systèmes.
La norme ne dit pas quelle IA construire. Elle impose une façon organisée de décider, documenter, contrôler et améliorer l'usage de l'IA.
Les exigences clés
- Le contexte et le périmètre : quels systèmes d'IA, quels rôles (producteur, fournisseur, utilisateur), quelles parties intéressées.
- La politique IA, approuvée par la direction, avec des rôles et responsabilités définis.
- L'évaluation des risques liés à l'IA, conçue pour produire des résultats cohérents et comparables d'une évaluation à l'autre.
- L'analyse d'impact des systèmes d'IA sur les personnes, les groupes et la société, en tenant compte du contexte technique, social et juridique du déploiement.
- La déclaration d'applicabilité, qui liste les mesures retenues et justifie celles qui sont exclues.
- Le plan de traitement des risques, approuvé par la direction avec l'acceptation des risques résiduels.
- L'audit interne, la revue de direction et l'amélioration continue.
Les neuf domaines de l'annexe A
| Domaine | Ce qu'il couvre |
|---|---|
| A.2 Politiques relatives à l'IA | Politique IA, cohérence avec les autres politiques, revue périodique |
| A.3 Organisation interne | Rôles et responsabilités, signalement des préoccupations |
| A.4 Ressources des systèmes d'IA | Documentation des données, outils, capacités de calcul et compétences |
| A.5 Évaluation des impacts | Processus d'analyse d'impact et documentation des résultats |
| A.6 Cycle de vie du système d'IA | Exigences, conception, vérification et validation, déploiement, exploitation, journalisation |
| A.7 Données pour les systèmes d'IA | Acquisition, qualité, provenance et préparation des données |
| A.8 Information des parties intéressées | Documentation utilisateurs, signalement externe, communication des incidents |
| A.9 Utilisation des systèmes d'IA | Usage responsable et conforme à l'usage prévu, supervision humaine |
| A.10 Relations avec les tiers et les clients | Répartition des responsabilités, fournisseurs, attentes des clients |
Ces domaines regroupent 38 mesures de référence. Toutes ne sont pas obligatoires : l'organisation retient celles que son évaluation des risques rend nécessaires, et peut en ajouter.
Les sept étapes vers la certification
- Cadrer le périmètre : quels systèmes, quelles entités, quels sites.
- Réaliser un diagnostic de l'existant face aux exigences de la norme.
- Rédiger la politique IA et désigner les responsables.
- Mener les évaluations des risques et des impacts pour chaque système du périmètre.
- Sélectionner et mettre en œuvre les mesures, puis rédiger la déclaration d'applicabilité.
- Faire fonctionner le système : audit interne, revue de direction, corrections.
- Passer l'audit de certification auprès d'un organisme accrédité.
La certification est ensuite maintenue par des audits de surveillance, sur un cycle généralement de trois ans. Avant de choisir un organisme, vérifiez son accréditation pour ISO/IEC 42001.
ISO 42001 et l'AI Act
ISO/IEC 42001 ne vaut pas, à elle seule, présomption de conformité à l'AI Act : les normes européennes harmonisées sont encore en cours d'élaboration, ce qui a d'ailleurs justifié le report des obligations pour le haut risque au 2 décembre 2027. Elle structure cependant l'essentiel du travail demandé par le règlement : gestion des risques, documentation, qualité des données, supervision humaine, surveillance. Pour une entreprise marocaine exposée au marché européen, c'est la base la plus solide pour se préparer. Voir l'AI Act et les BPO marocains.
Normes complémentaires
- ISO/IEC 22989 : vocabulaire et concepts de l'IA, dont le modèle générique de cycle de vie.
- ISO/IEC 23894 : lignes directrices pour la gestion des risques liés à l'IA, auxquelles renvoie ISO/IEC 42001.
À lire aussi
- 4 min de lecture
- 6 min de lecture
- 4 min de lecture
- 8 min de lecture
- 7 min de lecture
Questions fréquentes
Combien de temps faut-il pour obtenir la certification ISO 42001 ?
Cela dépend du périmètre et de la maturité de départ. Il faut au minimum le temps de mettre en place le système et de le faire fonctionner (audit interne et revue de direction) avant l'audit de certification. Une organisation déjà certifiée ISO 27001 avance généralement plus vite.
ISO 42001 s'applique-t-elle aux entreprises qui utilisent l'IA sans la développer ?
Oui. La norme vise toute organisation qui développe, fournit ou utilise des systèmes d'IA, y compris une entreprise qui déploie un outil acheté à un éditeur.
La certification ISO 42001 garantit-elle la conformité à l'AI Act ?
Non. Elle ne confère pas à elle seule de présomption de conformité, mais elle couvre une grande partie du travail d'organisation exigé par l'AI Act et constitue une préparation solide.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (5)
- ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system. (nouvel onglet)
- ISO/IEC 23894:2023 — Artificial intelligence — Guidance on risk management. (nouvel onglet)
- ISO/IEC 22989:2022 — Artificial intelligence concepts and terminology. (nouvel onglet)
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle (AI Act). (nouvel onglet)
- Règlement (UE) 2026/1744 modifiant le règlement (UE) 2024/1689 (« Digital Omnibus sur l'IA »), JOUE du 24 juillet 2026, en vigueur le 27 juillet 2026. (nouvel onglet)