ISO 42001 : ce que la certification exige vraiment d'une entreprise qui utilise l'IA
La plupart des entreprises que j'accompagne utilisent déjà de l'IA sans l'avoir décidé : un assistant dans la messagerie, un outil de tri de CV, un moteur de recommandation acheté chez un éditeur. Personne n'a dressé la liste, personne n'est responsable des résultats. L'ISO/IEC 42001, publiée fin 2023, sert à sortir de cette situation.
Une norme de management, pas de technique
L'ISO 42001 décrit un système de management de l'intelligence artificielle (SMIA). Elle ne dit pas comment entraîner un modèle ni quel algorithme choisir. Elle demande que l'organisation se dote d'une politique, de rôles, d'une analyse de risques, de contrôles et d'une amélioration continue sur tout ce qui touche à l'IA qu'elle développe, fournit ou utilise.
Si vous connaissez l'ISO 27001, la structure vous sera familière : contexte et parties intéressées, périmètre, leadership, planification, support, fonctionnement, évaluation des performances, amélioration. C'est la même structure commune aux normes de systèmes de management. Une organisation déjà certifiée 27001 part avec une avance réelle : gouvernance, audit interne, revue de direction et gestion documentaire existent déjà.
Ce qui est nouveau
Trois points distinguent l'ISO 42001 d'un SMSI.
L'analyse d'impact. Au-delà du risque pour l'organisation, la norme demande d'évaluer les conséquences d'un système d'IA sur les personnes et la société : discrimination, décisions erronées, atteinte à la vie privée. C'est le changement de regard le plus difficile à faire accepter, parce qu'il sort du seul périmètre sécurité.
Le cycle de vie. Conception, données, test, mise en service, surveillance, retrait : chaque étape doit être maîtrisée et traçable. Sur les données d'entraînement, la qualité et la provenance deviennent des sujets d'audit.
Les tiers. Beaucoup d'entreprises sont utilisatrices et non concepteurs. La norme les oblige à encadrer leurs fournisseurs d'IA : que fait l'éditeur de nos données, que sait-on du modèle, que prévoit le contrat.
L'Annexe A : 38 mesures, à justifier
Comme pour la 27001, l'Annexe A propose une liste de mesures (38, regroupées en neuf objectifs) : politiques liées à l'IA, organisation interne, ressources, évaluation d'impact, cycle de vie, données, information des parties intéressées, usage responsable, relations avec les tiers. L'organisation établit une déclaration d'applicabilité : elle retient ou écarte chaque mesure en justifiant son choix. Un auditeur lit d'abord cette justification, puis cherche les preuves.
Les étapes d'un projet de certification
Un projet raisonnable dure de six à douze mois selon la taille et la maturité de départ. Le déroulé que je recommande :
Inventorier les systèmes d'IA utilisés, développés ou fournis, y compris ceux qui entrent par la porte des équipes métier.
Définir le périmètre et la politique d'IA, validés par la direction.
Réaliser l'analyse de risques et d'impact, et sélectionner les mesures de l'Annexe A.
Mettre en place les contrôles et les enregistrements qui prouvent leur application.
Conduire un audit interne et une revue de direction.
Passer l'audit de certification en deux étapes, par un organisme accrédité.
L'erreur que je vois venir
Le piège est de traiter l'ISO 42001 comme un chantier documentaire. Une politique de dix pages ne protège personne si les équipes ignorent qu'elle existe. L'auditeur cherche des preuves de fonctionnement : qui a validé la mise en service de cet outil, quels tests ont été faits, qui surveille les dérives, que s'est-il passé la dernière fois qu'un résultat était faux.
Un outil pour l'analyse de risques IA : dcit-RM
L'étape 3 est celle où les projets s'enlisent : par où commencer une analyse de risques IA quand on n'a pas de référentiel ? C'est pour cela que j'ai développé dcit-RM, l'outil que j'utilise en mission. Il fournit un référentiel de 80 risques IA répartis sur 10 domaines, une évaluation par cas d'usage, un plan de traitement des risques, un tableau de bord consolidé, un module Audit, une AIPD selon la méthodologie CNIL et un registre qui couvre à la fois l'article 30 du RGPD et le volet IA.
L'intérêt, c'est la traçabilité : chaque risque identifié, chaque mesure et chaque avancement sont enregistrés au même endroit, et l'auditeur de certification retrouve ses preuves sans fouiller dans dix tableurs. L'outil ne remplace pas le jugement, il structure le travail.
Et l'AI Act ?
La certification ISO 42001 ne vaut pas conformité à l'AI Act. Elle couvre une bonne part de la gouvernance attendue (gestion des risques, documentation, supervision) et fournit une structure pour y répondre, mais elle ne remplace ni la qualification de vos systèmes, ni les exigences propres aux systèmes à haut risque. Je détaille ce point dans l'article sur l'AI Act.
Vous utilisez de l'IA et souhaitez savoir si l'ISO 42001 a un sens pour vous ? Contactez-moi pour un premier échange de cadrage.
Didier Caradec, fondateur de DCIT Conseil, Lead Auditor ISO 42001 et Senior Lead Auditor ISO 27001.
Commentaires