ISO 42001 pour entreprises de services : obtenir le certificat en ligne

Les questionnaires fournisseurs contiennent de plus en plus de questions sur l'IA. Quels outils utilisez-vous pour traiter nos données ? Qui valide un résultat avant qu'il nous parvienne ? Que se passe-t-il en cas d'erreur ? Un service achats qui compare trois offres retient celle qui répond à ces questions par un document, pas par une phrase rassurante.

Dans une entreprise de services, le travail livré est l'information elle-même : un conseil, un dossier, une candidature présélectionnée, une réponse au client. Si un outil d'IA intervient dans cette chaîne, le client en subit les erreurs. C'est pourquoi les appels d'offres et les audits clients portent désormais sur la gouvernance de l'IA, pas seulement sur la sécurité de l'information.

Un certificat ISO 42001 vous permet de joindre une preuve unique à chaque réponse. Le destinataire la contrôle lui-même sur la page de vérification publique, grâce au numéro ou au code QR du PDF.

• La norme ISO 42001 en détail

La norme ne s'intéresse pas à la technologie en soi. Elle regarde où votre organisme développe, fournit ou utilise des systèmes d'IA, et ce qui peut mal tourner pour les personnes concernées. Le tableau montre quelques processus courants dans les services.

• Toutes les normes ISO

Le vocabulaire de la norme est abstrait. Voici ce qu'il recouvre concrètement dans une société de conseil, une fiduciaire, une agence ou un prestataire de placement.

Système d'IA

Tout outil qui produit des résultats à partir de données : l'assistant qui rédige vos offres, le module de tri de CV, le chatbot du service client.

Rôle de l'organisme

Une agence qui n'utilise que des outils du marché est utilisatrice d'IA. Un intégrateur qui livre un assistant à ses clients en est fournisseur. Le rôle détermine les mesures à appliquer.

Politique IA

Un document court qui fixe ce que les collaborateurs peuvent faire avec l'IA, par exemple l'interdiction de coller un contrat client dans un outil public.

Analyse d'impact

L'examen des effets d'un système sur les personnes concernées. Pour un outil de présélection, il porte sur les candidats écartés et sur la manière dont ils peuvent obtenir un réexamen.

Déclaration d'applicabilité

La liste des mesures de l'Annexe A que vous retenez ou écartez, avec la raison. Un cabinet qui ne développe aucun modèle justifie par écrit pourquoi certaines mesures ne s'appliquent pas.

Cycle de vie

De la source des données jusqu'à l'exploitation. Pour un service, il commence au choix de l'outil et se poursuit par le suivi de la qualité des résultats livrés.

Une PME n'a pas besoin d'un département dédié. Elle a besoin de décisions écrites et de responsables nommés. La démarche suit la structure habituelle des normes de management : contexte, direction, planification, support, exploitation, évaluation, amélioration.

1. 01

   Recenser les outils d'IA en service

   Une liste simple suffit : outil, équipe qui l'utilise, données traitées. Beaucoup d'entreprises découvrent à cette étape des outils adoptés sans validation.

2. 02

   Désigner un responsable

   La direction nomme une personne qui répond de la politique IA et rend compte. Dans une petite structure, c'est souvent le gérant ou le responsable qualité.

3. 03

   Apprécier les risques par processus

   Pour chaque usage, vous notez ce qui peut échouer et ce qui limite le dommage : relecture humaine, anonymisation, interdiction de certaines saisies. C'est l'objet du chapitre 6, Planification.

4. 04

   Encadrer l'exploitation

   Les règles d'usage sont communiquées, les fournisseurs d'IA évalués, les incidents consignés. Cela relève du chapitre 8, Réalisation des activités opérationnelles.

5. 05

   Contrôler et corriger

   Une revue annuelle par la direction vérifie que les règles sont suivies et ajuste la politique (chapitres 9 et 10).

Vous répondez en ligne à 40 questions par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir la réponse oui. Sur les 27 autres, au moins 18 oui sont nécessaires. Il n'y a pas d'audit sur site. Votre entreprise rassemble ses preuves en répondant aux questions, puis SICE contrôle chaque évaluation avant l'émission.

Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), dans les 4 heures après l'évaluation réussie et le paiement. Il porte un numéro et un code QR : votre client ou un auditeur le vérifie sur la page publique de Zertify. Il est valable 3 ans et confirmé chaque année par un court réaudit en ligne.

Le prix est de 849 CHF (849 €) la première année, puis 569 CHF (569 €) par an, réaudit en ligne inclus. L'abonnement annuel se renouvelle automatiquement. Vous le résiliez à tout moment dans votre compte pour la fin de l'année en cours, et le certificat prend fin avec l'année payée. Aucun compte n'est nécessaire pour commander. Dès deux normes, un rabais de 20 % s'applique, de 30 % dès trois, y compris sur la redevance annuelle.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page de la norme ISO 42001

Certains donneurs d'ordre prescrivent dans leur cahier des charges un audit sur site par un organisme de certification. Dans ce cas, lisez l'exigence mot pour mot avant de choisir. Si le document demande simplement un certificat ISO 42001 vérifiable, la voie en ligne répond à la demande.

La voie classique demande en général plusieurs semaines et des journées d'audit sur place, avec des coûts nettement plus élevés. Le guide ci-dessous compare les deux approches point par point.

• Comparer les voies de certification
• Certification sans audit sur site