ISO/IEC 42001
Norme internationale de système de management de l'intelligence artificielle (AIMS). Référentiel volontaire pour structurer la gouvernance IA.
Points clés
- Publiée fin 2023
- Approche système de management (PDCA)
- Compatible AI Act et ISO 23894
- Certifiable
Définition
ISO/IEC 42001:2023 spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer un système de management de l'intelligence artificielle au sein d'une organisation.
Détail
## Périmètre ISO 42001 couvre l'ensemble de l'organisation déployant ou développant de l'IA : politique IA, rôles, gestion des risques, cycle de vie, données, performance, audit interne, amélioration continue.
## Articulation avec l'AI Act ISO 42001 n'est pas une norme harmonisée AI Act mais constitue une **preuve de bonnes pratiques** lors d'un audit ou d'un contrôle. Une organisation certifiée ISO 42001 disposera de la majorité des artefacts attendus par les articles 9, 10, 11, 14, 17 (système de management qualité provider).
Tableau
| Aspect | AI Act | ISO/IEC 42001 |
|---|---|---|
| Nature | Règlement européen contraignant | Norme volontaire internationale |
| Portée | Mise sur le marché UE | Organisation entière |
| Sanctions | Amendes jusqu'à 7% du CA | Aucune (certification) |
| Périmètre | Systèmes IA à haut risque + transparence | Tout système IA de l'organisation |
| Approche | Conformity assessment | PDCA système de management |
Checklist
- Politique IA approuvée par la direction
- Cartographie des systèmes IA + classification risque
- Rôles et responsabilités IA documentés
- AI impact assessment pour chaque système
- Cycle de vie IA documenté (conception → retrait)
- Audits internes et revue de direction
Comment utiliser cette fiche
Cette fiche sert de point d'entrée opérationnel pour un audit AI Act. Elle doit être reliée à un système d'IA précis, à un responsable interne, à des preuves disponibles et à une décision de classification documentée. Le bon usage consiste à vérifier le périmètre, confirmer le rôle de l'organisation, identifier les obligations applicables, puis transformer chaque écart en action datée.
Preuves à réunir
- Inventaire du système d'IA, finalité, utilisateurs et environnement de déploiement.
- Documentation technique, politiques internes, journaux, tests, supervision humaine et décisions de gouvernance.
- Référence aux articles AI Act, aux normes ou aux sources officielles qui justifient la qualification.
- Responsable de la revue, date de dernière mise à jour et prochaine échéance de contrôle.
Indicateurs de suivi
Suivez le taux de preuves disponibles, le nombre d'écarts ouverts, la criticité des actions restantes et la date de prochaine revue. Une fiche est exploitable si elle permet à un auditeur, un DPO ou un responsable technique de comprendre rapidement ce qui est conforme, ce qui reste à prouver et quelle décision doit être prise.
Questions fréquentes
- ISO 42001 rend-elle conforme à l'AI Act ?
- Non, mais elle couvre la majorité des exigences organisationnelles (articles 9, 10, 11, 17) et constitue une présomption de bonnes pratiques.
- Est-elle certifiable ?
- Oui, par un organisme accrédité, comme ISO 27001 ou ISO 9001.