Norme ISO/IEC 42001:2023
ISO 42001 obligatoire : ce qui est exigé et ce qui ne l'est pas
La certification ISO 42001 est volontaire. Elle devient pourtant indispensable dès qu'un client, un appel d'offres ou un questionnaire fournisseur la réclame. Dans ce cas, vous pouvez l'obtenir en ligne, sans audit sur site.
01: Réponse
L'ISO 42001 est-elle obligatoire ?
Non, pas en tant que norme. L'ISO/IEC 42001:2023 est une norme internationale pour les systèmes de management de l'intelligence artificielle. Aucune entreprise n'est tenue de l'appliquer ni de se faire certifier du seul fait qu'elle existe.
Cette page ne remplace pas un avis juridique. Si vous voulez savoir quelles lois s'appliquent à vos systèmes d'IA, adressez-vous à un conseil juridique. Ici, il s'agit de l'exigence commerciale: celle que pose un client, pas celle que pose un législateur.
La différence est pratique. Une obligation légale s'impose à vous. Une exigence contractuelle se discute, mais vous perdez le mandat si vous ne pouvez pas y répondre.
02: Cas concrets
Quand le certificat devient exigé dans les faits
Personne ne vous oblige, mais une demande précise suffit à rendre la certification nécessaire. Quatre situations reviennent chez les PME.
- Questionnaire fournisseur
- Le service achats d'un grand client vous envoie un questionnaire. Une question demande si vous disposez d'un système de management de l'IA certifié. Sans certificat, vous répondez non, et ce non est noté.
- Appel d'offres
- Certains cahiers des charges citent des certifications comme critère d'éligibilité ou de notation. Un certificat ISO 42001 joint à l'offre est une preuve que le jury peut contrôler.
- Audit client
- Un client audite ses prestataires. Si votre logiciel intègre de l'IA, ou si vous traitez ses données avec des outils d'IA, l'auditeur demande comment vous gérez les risques. Le certificat répond à une partie de ces questions.
- Attentes du secteur
- Dans la finance, l'assurance, la santé ou les ressources humaines, les donneurs d'ordre posent des questions précises sur l'usage de l'IA. Ils attendent une politique, des responsabilités et une appréciation des risques documentées.
03: Aperçu
Qui vous le demande, et quelle preuve fournir
Selon l'interlocuteur, la question change de formulation. La preuve attendue reste la même: un document que l'on peut vérifier.
| Demandeur | Formulation habituelle | Preuve à fournir |
|---|---|---|
| Service achats | Disposez-vous d'une certification ISO 42001 ? | Numéro du certificat et page de vérification |
| Appel d'offres | Certification exigée ou valorisée dans les critères | PDF du certificat joint à l'offre |
| Auditeur client | Preuve d'une politique IA et d'une appréciation des risques | Certificat, puis documents internes |
| Direction du client | Comment encadrez-vous l'usage de l'IA ? | Certificat et politique IA |
Le PDF porte un code QR. Le destinataire le scanne et arrive sur la page de vérification publique, sans devoir vous écrire.
04: Contenu
Ce que la norme attend de votre organisation
Le certificat n'a de valeur que si votre entreprise applique ce qu'il atteste. L'ISO 42001 repose sur six points.
Déterminer votre rôle
Vous êtes fournisseur, producteur ou utilisateur de systèmes d'IA. Chaque rôle entraîne des exigences différentes dans votre système de management.
Définir une politique IA
La direction fixe la politique par écrit et attribue les responsabilités.
Apprécier les risques
Vous identifiez les risques liés à vos systèmes d'IA et décidez comment les traiter.
Analyser l'impact
Vous évaluez les effets de chaque système sur les personnes concernées.
Établir la déclaration d'applicabilité
Vous indiquez quelles mesures de l'Annexe A s'appliquent à vous, et pour quelle raison.
Maîtriser le cycle de vie
Données d'entraînement, développement, exploitation: les mesures couvrent toute la chaîne.
05: Zertify
Obtenir le certificat quand un client le demande
Zertify délivre le certificat ISO 42001 à partir d'une auto-évaluation en ligne, sans audit sur site. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission.
L'évaluation compte 40 questions à réponse oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 27 autres, il faut au moins 18 oui. Le certificat arrive dans les 4 heures qui suivent l'évaluation réussie et le paiement.
Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment pour la fin de l'année en cours depuis l'espace client; le certificat prend alors fin avec l'année payée. Un compte n'est pas nécessaire pour commander.
06: Marche à suivre
Que faire quand le questionnaire est déjà sur votre bureau
Un délai de réponse court ne laisse pas de place aux démarches longues. Voici l'ordre qui fonctionne.
Relever l'exigence exacte
Le client exige-t-il une certification, ou demande-t-il seulement de décrire vos pratiques ? La réponse fixe le degré d'urgence.
Faire l'auto-évaluation
Les 40 questions sont gratuites et sans inscription. Elles montrent ce qui manque encore dans votre organisation.
Combler les écarts
Si une exigence obligatoire reçoit un non, corrigez-la dans votre entreprise, puis recommencez l'évaluation.
Commander le certificat
Après la réussite, vous réglez et recevez le PDF dans les 4 heures.
Répondre au client
Joignez le PDF ou indiquez le numéro. Le client contrôle l'authenticité avec le code QR.
Si le client demande expressément un audit sur site par un organisme de certification, clarifiez ce point avant tout investissement. Le guide compare les deux voies.
07: FAQ
Questions fréquentes sur l'ISO 42001 obligatoire
08: Guide
Pages associées
Un client vous demande l'ISO 42001 ?
Répondez aux 40 questions et voyez en quelques minutes si votre organisation remplit les exigences.
Gratuit et sans inscription.