Le référentielFaire le diagnostic
ISO/IEC 42001:2023 · Management de l'IA

Comprenez la norme.
Appliquez-la sans vous perdre.

Sept clauses d'exigences, trente-huit contrôles, et beaucoup de zones grises. On traite le texte point par point, en français clair, avec ce que ça implique vraiment pour vos équipes.

Commencer par les basesExplorer le référentiel

Référence : ISO/IEC 42001:2023Indépendant, sans affiliation ISO

Le référentiel en brefÉdition 2023

38contrôles dans l'Annexe A

Édition
2023-12
Clauses d'exigences
4 → 10
Domaines de l'Annexe A
9
Domaine le plus fourni
A.6

FrançaisAccès libreReformulé, non reproduit

S'articule avec les autres référentiels de gouvernance

Parcours · Cinq étapes

De la découverte
à la conformité tenue.

La norme précise que l'ordre de ses clauses n'indique pas l'ordre de mise en œuvre. Voici celui qui fonctionne sur le terrain.

Référentiel · 7 clauses d'exigences, 38 contrôles

Le texte,
point par point.

Les exigences du système de management, puis les contrôles de référence. Un carré par contrôle : le poids de chaque domaine se lit d'un coup d'œil.

Guides

Les derniers articles.

6.1.2

Évaluation d'impact et appréciation des risques : ne pas confondre

ISO/IEC 42001 impose deux processus distincts : l'appréciation du risque en 6.1.2, qui part des objectifs de l'organisation, et l'évaluation d'impact en 6.1.4, qui part de chaque système d'IA et de ses effets sur les personnes, les groupes et la société. Ce qui les sépare vraiment, ce qui les relie, et ce que l'auditeur attend de chacun.

Lire l'article

Les articles s'inscrivent dans un parcours en cinq étapes : voir le parcours complet.

Le référentiel et notre parcours en chiffres

  • 7clauses d'exigences
  • 38contrôles de l'Annexe A
  • 9domaines thématiques
  • 5étapes de notre parcours
Méthode · Chaque article

Le texte d'un côté,
la traduction de l'autre.

Chaque article suit la même trame. Vous savez toujours où trouver l'exigence reformulée, l'explication en clair, et la liste des preuves à préparer.

  • Ce que dit la normeL'exigence reformulée fidèlement, avec sa référence de clause.
  • En clairLa même chose en deux phrases, sans jargon normatif.
  • Les preuves à préparerLes écrits que la référence exige, puis ce qu'un auditeur peut demander à voir, en liste actionnable.
A.6.2.2Exigences et spécification du système d'IA
Essentiel

Documenter les exigences d'un système d'IA sans écrire un roman

Ce que dit la normeChaque fois qu'un système d'IA est créé, ou qu'un système en place change en profondeur, l'organisme fixe précisément ce que ce système devra satisfaire, puis le met par écrit. L'Annexe B recommande d'y joindre la raison d'être du système et ses buts, de penser ces exigences pour tout le cycle de vie, et de les rouvrir quand le système ne fonctionne pas comme prévu ou qu'une information nouvelle permet de les améliorer.
En clairAvant de lancer ou de transformer un système, écrivez ce qu'il doit faire et pourquoi. Revenez-y dès qu'il ne se comporte pas comme prévu, ou que vous en savez davantage.
  • Exigé si le contrôle est retenu : les exigences du système, spécifiées par écrit
  • Recommandé par l'Annexe B : la raison d'être du système et ses buts, consignés
  • Bonne pratique : la trace des révisions, après un écart de fonctionnement ou une information nouvelle
Questions fréquentes

Ce qu'on nous demande
le plus souvent.

ISO 42001, c'est obligatoire ?

Non. C'est une norme volontaire. Elle peut devenir une exigence contractuelle si un client l'impose, et elle facilite la démonstration de conformité à l'AI Act sans s'y substituer.

Faut-il appliquer les 38 contrôles de l'Annexe A ?

Non. L'Annexe A précise elle-même que tous ses contrôles ne sont pas requis. Vous retenez ceux que votre traitement des risques rend nécessaires, en vérifiant avec l'Annexe A qu'aucun n'a été oublié et en ajoutant les vôtres si besoin (6.1.3). La déclaration d'applicabilité justifie ensuite chaque inclusion et chaque exclusion.

Quelle différence avec ISO 27001 ?

La structure est la même, ce qui permet d'intégrer les deux systèmes. Mais le périmètre diffère : 27001 traite la sécurité de l'information, 42001 traite les risques propres aux systèmes d'IA, y compris leurs impacts sur les personnes et la société.

Combien de temps prend une mise en conformité ?

Cela dépend du périmètre et de l'existant. Une organisation déjà certifiée 27001 avec un inventaire de ses systèmes d'IA avance nettement plus vite qu'une organisation qui démarre de zéro.

Le texte de la norme est-il reproduit sur ce site ?

Non. Le texte reste protégé par le droit d'auteur de l'ISO et de l'IEC. Nous citons les références de clause à fin d'identification et reformulons les exigences dans nos propres mots. L'achat de la norme reste indispensable pour une mise en œuvre sérieuse.

Le site est-il indépendant ?

Oui. Focus 42001 n'est affilié ni à l'ISO, ni à l'IEC, ni à un organisme de certification. Les contenus sont en accès libre.

Par où commencer

Vous démarrez

Vous ne savez pas encore si la norme vous concerne.

La première étape du parcours répond à cette question précise : ce qu'est un système de management de l'IA, et à quel titre votre organisation est visée.

Commencer par les bases
Vous cherchez une exigence

Vous savez déjà ce que vous cherchez dans le texte.

Les sept clauses d'exigences et les neuf domaines de l'Annexe A sont consultables directement, avec le poids réel de chaque domaine.

Explorer le référentiel