ISO 42001 exigences : ce que la norme demande vraiment

Les clauses 4 à 10 sont obligatoires pour tout organisme qui déclare se conformer à la norme. L'Annexe A s'y ajoute avec des mesures de référence. Vous retenez celles qui s'appliquent et vous justifiez celles que vous écartez.

La norme concerne autant l'organisme qui développe un système d'IA que celui qui le fournit ou l'utilise. Une PME qui emploie un outil de présélection de candidatures ou un assistant de rédaction dans son service client est donc concernée, avec un périmètre plus réduit qu'un éditeur de logiciels.

• Page de la norme ISO 42001

Ces deux clauses demandent des décisions, pas des procédures. La direction fixe le cadre dans lequel l'IA est utilisée dans l'entreprise.

Contexte et parties intéressées (4.1, 4.2)

Vous identifiez les enjeux internes et externes liés à l'IA, ainsi que les attentes des clients, des collaborateurs, des autorités et des personnes touchées par les décisions de vos systèmes. Un tableau d'une page suffit.

Domaine d'application (4.3)

Vous écrivez quels systèmes d'IA, quels sites et quels rôles (fournisseur, producteur, utilisateur) le système de management couvre. Un auditeur lit ce document en premier.

Politique IA (5.2)

Un texte court, signé par la direction, qui énonce les principes d'utilisation de l'IA et l'engagement à respecter les exigences applicables. Il doit être connu des équipes concernées.

Rôles et responsabilités (5.3)

Une personne est responsable du système de management, une autre répond de chaque système d'IA. Une matrice des responsabilités remplit cette exigence.

La planification est le cœur de la norme. C'est ici que l'ISO 42001 se démarque d'un système de management de la qualité classique.

Appréciation des risques liés à l'IA

Vous définissez une méthode, puis vous recensez pour chaque système les risques : biais, erreurs de sortie, fuite de données, dépendance à un fournisseur. Le résultat tient dans un registre avec un niveau de risque par ligne.

Traitement des risques

Pour chaque risque retenu, vous choisissez une mesure : réduire, transférer, accepter ou éviter. Les mesures de l'Annexe A servent de liste de contrôle.

Déclaration d'applicabilité

Un tableau qui reprend les mesures de l'Annexe A, indique lesquelles vous appliquez et motive celles que vous exclure. Elle fait le lien entre vos risques et vos mesures.

Analyse d'impact des systèmes d'IA

Vous évaluez les conséquences possibles d'un système sur les personnes et la société, pas seulement sur l'entreprise. Un outil qui trie des candidatures appelle une analyse plus poussée qu'un correcteur orthographique.

Objectifs

Des objectifs mesurables pour l'IA, par exemple un taux maximal d'erreurs corrigées par un humain, avec un responsable et une échéance.

Une politique n'a de valeur que si les équipes l'appliquent. Ces clauses vérifient que les ressources existent et que les règles valent sur tout le cycle de vie du système.

Ressources et compétences (7.1, 7.2)

Vous montrez que les personnes qui conçoivent, valident ou utilisent l'IA ont la formation requise. Attestations de formation et descriptions de poste font foi.

Sensibilisation et communication (7.3, 7.4)

Les collaborateurs connaissent la politique IA et savent à qui signaler un incident. Un message interne et une liste de présence suffisent à le prouver.

Informations documentées (7.5)

Les documents sont identifiés, approuvés, à jour et accessibles. La norme n'impose pas de volume, elle impose de la maîtrise.

Maîtrise opérationnelle (8)

Vous appliquez les processus planifiés : qualité et provenance des données, validation avant mise en service, surveillance en exploitation, gestion des modifications. Les fournisseurs de modèles ou de services d'IA entrent aussi dans ce périmètre.

Ces deux clauses ferment la boucle. Elles demandent des contrôles réguliers et des suites concrètes lorsqu'un écart apparaît.

1. 01

   Surveillance et mesure

   Vous suivez les indicateurs définis à la clause 6 et vous conservez les relevés.

2. 02

   Audit interne

   Une personne indépendante du sujet contrôle le système de management à intervalles planifiés et rédige un rapport.

3. 03

   Revue de direction

   La direction examine les résultats, les risques et les ressources, puis consigne ses décisions dans un procès-verbal.

4. 04

   Non-conformités et actions correctives

   Chaque écart est enregistré, sa cause analysée, l'action menée et son efficacité vérifiée.

L'auto-évaluation en ligne comprend 40 questions à répondre par oui ou non. 13 d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 27 autres, il faut au moins 18 réponses positives pour réussir. Vous voyez ainsi où votre système de management en est, avant tout engagement.

Le certificat est émis par G6 Agency AG sous licence de SICE, qui examine chaque évaluation avant l'émission. Il est livré dans les 4 heures après la réussite et le paiement. Le prix est de 849 CHF la première année, puis de 569 CHF par an, ré-audit en ligne compris. Le certificat est valable 3 ans. Un QR code sur le PDF mène à la page de vérification publique, que votre client ou votre service des achats peut ouvrir.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Détails de la norme ISO 42001