ISO 42001 durée : combien de temps prend la certification ?

Sur la voie classique, un organisme de certification audite votre système de management de l'IA sur site. Le projet s'étend alors sur cinq à douze mois. Cette fourchette est indicative : elle varie selon la taille de l'entreprise, le nombre de systèmes d'IA concernés et le travail déjà accompli.

Le tableau suit les phases dans l'ordre. Les durées de la voie classique sont des ordres de grandeur, pas des engagements d'un organisme de certification.

• La norme ISO 42001 en détail

Chaque phase dépend de la précédente. Un retard à l'une d'elles décale tout le calendrier, surtout au moment de réserver les dates d'audit.

1. 01

   Préparation et analyse des écarts (1 à 2 mois)

   Vous déterminez si vous agissez comme fournisseur, producteur ou utilisateur d'IA, vous inventoriez vos systèmes et vous comparez l'existant aux exigences de la norme. Le résultat est une liste d'écarts à combler.

2. 02

   Documentation et mise en œuvre (2 à 5 mois)

   Vous rédigez la politique IA, attribuez les responsabilités, menez l'appréciation des risques, réalisez les analyses d'impact et établissez la déclaration d'applicabilité pour les mesures de l'Annexe A. Les processus doivent ensuite fonctionner assez longtemps pour produire des preuves.

3. 03

   Audit interne et revue de direction (2 à 4 semaines)

   L'audit interne vérifie que le système fonctionne. La direction en examine les résultats. Les deux étapes sont attendues avant l'audit externe.

4. 04

   Audit étape 1 (1 à 2 jours)

   L'auditeur contrôle la documentation et la préparation de l'organisme. Il signale les points à corriger avant l'étape 2.

5. 05

   Audit étape 2 (2 à 5 jours)

   L'auditeur vérifie sur site que le système est appliqué, avec entretiens et examen des enregistrements. Il émet un rapport, puis l'organisme de certification prend sa décision en quelques semaines.

• Comparer les voies de certification

Deux entreprises de même taille peuvent se retrouver à six et à douze mois d'écart. Cinq facteurs expliquent l'essentiel de la différence.

Nombre de systèmes d'IA

Chaque système demande une appréciation des risques et une analyse d'impact. Un éditeur qui intègre l'IA dans dix produits a plus de travail qu'une PME qui utilise un seul outil.

Rôle dans la chaîne de valeur

Un développeur de modèles doit maîtriser les données d'entraînement et le cycle de vie complet. Un simple utilisateur d'IA a un périmètre plus court.

Documentation existante

Si vous avez déjà un système ISO 27001 ou ISO 9001, la structure commune de ces normes vous fait gagner du temps sur les chapitres de contexte, de direction et d'amélioration.

Disponibilité des auditeurs

Les dates d'audit se réservent à l'avance. Compter plusieurs semaines d'attente entre la demande et l'étape 1 n'a rien d'inhabituel.

Écarts constatés à l'audit

Une non-conformité majeure à l'étape 2 impose des actions correctives et parfois un audit complémentaire avant la décision.

Zertify remplace l'audit sur site par une auto-évaluation en ligne. Elle comprend 40 questions à réponse oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 27 autres, 18 réponses positives au minimum sont nécessaires pour réussir.

Il faut compter environ une heure si vos documents sont à portée de main : politique IA, inventaire des systèmes, appréciation des risques, analyses d'impact, déclaration d'applicabilité. Si ces éléments n'existent pas encore, la préparation reste à faire, mais elle est limitée à ce que la norme exige réellement.

Le certificat est émis par G6 Agency AG sous licence de SICE, qui examine chaque évaluation avant l'émission. Il arrive dans les 4 heures après la réussite et le paiement. Chaque certificat se vérifie publiquement par son numéro et par le code QR du PDF, par exemple depuis un questionnaire fournisseur ou un appel d'offres.

Le prix est de 849 CHF la première année, puis de 569 CHF par an, ré-audit en ligne annuel inclus. Aucun compte n'est nécessaire pour acheter.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Voir le déroulement

Le certificat Zertify est valable 3 ans. Chaque année, un court ré-audit en ligne confirme que votre système de management de l'IA répond toujours aux exigences. Il remplace l'audit de surveillance sur site de la voie classique.

L'abonnement se renouvelle automatiquement chaque année. Vous pouvez le résilier à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Après une résiliation, le certificat s'arrête avec l'année payée.

Si un client exige un audit sur site par un organisme de certification, la voie classique reste le bon choix. La comparaison des deux voies figure dans notre guide.

• Certification sans audit sur site
• Coût d'une certification