ISO/IEC 42001:2023
ISO 42001 checklist : 18 points à vérifier avant la certification
Cette checklist suit les chapitres 4 à 10 de la norme sur les systèmes de management de l'IA. Chaque point indique la preuve que votre entreprise doit pouvoir montrer. Quand vous avez répondu, l'autoévaluation en ligne de Zertify vous dit si vous êtes prêt.
01: Principe
Comment utiliser cette checklist ISO 42001
Répondez oui à un point seulement si vous pouvez montrer quelque chose : un document approuvé, un enregistrement daté, une personne nommée. Une pratique que tout le monde connaît dans l'équipe, mais qui n'est écrite nulle part, compte comme non.
La norme s'applique que vous développiez des systèmes d'IA, que vous les fournissiez à des clients ou que vous les utilisiez dans vos propres processus. Les points ci-dessous valent pour les trois rôles. Quand un point ne concerne qu'un rôle, le texte le précise.
Les chapitres suivent la structure commune des normes de management ISO. Si votre entreprise travaille déjà avec une autre norme, vous reconnaîtrez l'ordre : contexte, direction, planification, support, réalisation, évaluation, amélioration.
02: Chapitres 4 et 5
Contexte et direction : les points 1 à 6
Ces six points posent le cadre. Sans eux, les chapitres suivants n'ont pas de base.
Votre rôle est déterminé.
Fournisseur, producteur ou utilisateur d'IA, parfois les trois selon le système. Preuve : une note de positionnement ou un registre des systèmes d'IA avec le rôle indiqué pour chacun.
Les parties intéressées sont identifiées.
Clients, collaborateurs, autorités, personnes touchées par les décisions de l'IA. Preuve : un tableau des parties et de leurs attentes, complété par les exigences reprises des questionnaires fournisseur ou des contrats.
Le périmètre est fixé par écrit.
Quels systèmes d'IA, quelles entités, quels sites. Preuve : un document de périmètre daté, validé par la direction.
La politique IA est approuvée et communiquée.
Elle fixe vos principes et vos limites d'usage. Preuve : un PDF signé par la direction et la trace de sa diffusion, par exemple l'intranet ou un courriel à l'équipe.
Chaque système d'IA a un responsable.
Une personne répond du système, pas un service entier. Preuve : un organigramme ou une matrice des responsabilités.
La direction met des moyens à disposition.
Budget, temps, compétences. Preuve : des procès-verbaux de direction ou une décision de budget qui mentionnent l'IA.
03: Chapitres 6 et 7
Risques, analyses d'impact et compétences : les points 7 à 12
C'est le bloc le plus dense de la norme. Il se distingue d'une simple liste de bonnes pratiques par l'obligation d'apprécier l'impact de chaque système sur les personnes concernées.
Une méthode d'appréciation des risques IA existe.
Critères de cotation, seuils d'acceptation, fréquence de révision. Preuve : une procédure et une grille de cotation.
Les risques sont consignés par système.
Preuve : un registre des risques avec mesures de traitement, responsable et échéance.
Une analyse d'impact a été réalisée.
Elle examine les effets sur les personnes : discrimination, décisions automatisées, atteinte à la vie privée. Preuve : un rapport d'analyse d'impact par système à risque.
La déclaration d'applicabilité est établie.
Elle passe en revue les mesures de l'Annexe A et justifie chaque exclusion. Preuve : le document lui-même, avec une ligne par mesure.
Des objectifs IA mesurables sont définis.
Preuve : un tableau d'objectifs avec indicateurs, valeurs cibles et suivi.
Compétences et documents sont maîtrisés.
Les personnes qui conçoivent ou exploitent l'IA sont formées, et les documents du système ont une version et un propriétaire. Preuve : un registre de formation et une liste des documents à jour.
04: Chapitres 8 à 10
Exploitation, évaluation et amélioration : les points 13 à 18
Ici, on vous demande de montrer que le système de management tourne vraiment, pas seulement qu'il est décrit.
Le cycle de vie est maîtrisé.
Exigences, conception, tests, mise en service, retrait. Preuve : des dossiers de validation et des tickets de changement.
Les données sont maîtrisées.
Origine, qualité, droits d'utilisation. Preuve : un registre des jeux de données et les contrats de licence correspondants.
Les modèles et services tiers sont évalués.
Preuve : des évaluations de fournisseurs et des clauses contractuelles sur l'usage de l'IA.
L'exploitation est surveillée.
Performance, dérives, incidents. Preuve : des tableaux de bord et un journal des incidents avec leur traitement.
Un audit interne et une revue de direction ont eu lieu.
Preuve : un rapport d'audit interne et le procès-verbal de la revue de direction.
Les écarts donnent lieu à des actions.
Preuve : un registre des non-conformités avec cause, action corrective et clôture.
05: Selon votre rôle
Quels points pèsent le plus lourd selon votre situation
Tous les points comptent, mais l'effort de préparation ne se répartit pas de la même façon chez un éditeur et chez un utilisateur d'outils tiers.
| Votre situation | Points les plus lourds | Raison |
|---|---|---|
| Éditeur de logiciel avec fonctions d'IA | 13, 14, 16 | Vous maîtrisez la conception, les données et la surveillance de bout en bout. |
| Entreprise qui utilise des outils d'IA tiers | 2, 9, 15 | Vous devez évaluer vos fournisseurs et mesurer l'effet sur vos clients ou collaborateurs. |
| Prestataire RH ou de placement | 3, 9, 16 | Les décisions touchent directement des personnes, l'analyse d'impact est centrale. |
| Intégrateur ou prestataire informatique | 1, 5, 15 | Le rôle varie selon le projet et la responsabilité doit être attribuée par système. |
06: Avec Zertify
De la checklist au certificat ISO 42001
Une fois la checklist parcourue, l'autoévaluation de Zertify pose 40 questions auxquelles on répond par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 27 autres, 18 réponses positives au minimum sont nécessaires pour réussir.
Le certificat est émis par G6 Agency AG sous licence de SICE, qui contrôle chaque évaluation avant l'émission. Il arrive dans les 4 heures après la réussite et le paiement, sans audit sur site. Un numéro et un code QR sur le PDF mènent à une page de vérification publique que vos clients peuvent consulter.
Le prix est de 849 CHF la première année, puis de 569 CHF par an, réaudit en ligne inclus. Le certificat est valable 3 ans et confirmé chaque année par ce réaudit. L'abonnement est résiliable à tout moment dans votre compte, jusqu'à la fin de l'année en cours.
07: FAQ
Questions fréquentes sur la checklist ISO 42001
08: Guide
Pages liées
Testez votre niveau de préparation à l'ISO 42001
L'autoévaluation de 40 questions vous montre en quelques minutes quels points sont acquis et lesquels manquent.
Gratuit et sans inscription.