Combien coûte une certification ISO 42001

Il n’existe pas de prix de marché pour une certification ISO/IEC 42001. Ce n’est pas une précaution de langage : c’est le constat que l’on tire de la dispersion des estimations disponibles, qui varient d’un facteur trois à quatre pour des situations décrites comme comparables.

Les fourchettes qui circulent ont trois propriétés communes. Elles proviennent d’acteurs commerciaux — organismes certificateurs, cabinets de conseil, éditeurs de logiciels de conformité. Elles sont presque toutes en dollars, pour des marchés qui ne sont pas le marché français. Et aucune ne documente sa méthode de calcul.

Ce site ne les recopiera donc pas comme si elles faisaient référence. Ce qui suit est ce qu’on peut affirmer sans inventer.

Le poste qui domine n’est pas l’audit

C’est le point le plus utile de cette page, et le plus contre-intuitif quand on part chercher un devis.

Le coût d’une certification est dominé par le temps interne. L’audit de certification est un poste identifiable, facturé à la journée, et il représente la part la plus faible du total. Ce qui coûte, c’est le travail qui le précède : poser un périmètre, établir des critères de risque, conduire les évaluations d’impact, produire la documentation, constituer les preuves, faire tourner un audit interne.

La structure du budget, poste par poste

1. Le temps interne de mise en œuvre. Le plus gros poste, et le seul que vous pouvez estimer vous-même : nombre de personnes × nombre de jours × coût journalier chargé. C’est aussi le poste que les devis externes ne couvrent jamais.

2. L’accompagnement externe. Facultatif. Il réduit le temps interne et le risque d’écart, sans les supprimer. Son intérêt réel se mesure sur les points où l’erreur est probable : la distinction entre appréciation du risque et évaluation d’impact, et la justification de la déclaration d’applicabilité.

3. L’audit de certification. Facturé à la journée par un organisme accrédité, en deux étapes — un examen documentaire, puis un audit sur site ou à distance. Les durées usuelles sont détaillées dans la page sur les délais.

4. Le maintien. C’est le poste que les budgets oublient. Un certificat est valide trois ans, avec des audits de surveillance annuels. Les prestataires rapportent des ordres de grandeur situant la surveillance annuelle autour de 30 à 40 % de l’audit initial, et la recertification autour de 60 à 70 %. Ces proportions viennent de sources commerciales et doivent être prises comme des ordres de grandeur, pas comme un tarif.

5. L’outillage. Facultatif, et souvent surestimé au début du projet. Un tableur tenu vaut mieux qu’une plateforme non alimentée.

Les quatre facteurs qui font varier le total

Le nombre de systèmes d’IA dans le périmètre. C’est le facteur dominant, et non la taille de l’organisation. Chaque système du périmètre réclame son évaluation d’impact et sa place dans l’appréciation du risque. Cinq systèmes en production demandent cinq évaluations, que l’organisation compte trente personnes ou trois mille.

L’existence d’un système de management déjà certifié. ISO/IEC 42001 partage sa structure — les clauses 4 à 10 — avec ISO/IEC 27001 et ISO 9001, qui suivent la même structure harmonisée. Une organisation déjà certifiée réutilise donc l’essentiel de son ossature : gouvernance, documentation, audit interne, revue de direction. Les praticiens rapportent des économies substantielles ; les pourcentages avancés varient trop d’une source à l’autre pour être repris ici.

Ce qui ne se réutilise pas, en revanche, est spécifique à l’IA : l’évaluation d’impact, les contrôles d’impact du domaine A.5, et la gestion des fournisseurs d’IA. C’est là que se concentre le travail neuf.

Le rôle tenu dans la chaîne de valeur. Une organisation qui développe ses modèles doit maîtriser un cycle de vie complet. Une organisation qui utilise des services tiers n’a pas ce cycle de vie, mais hérite d’une dépendance à maîtriser.

La maturité de départ. Une organisation qui n’a ni politique, ni inventaire, ni registre de risques commence par construire les fondations.

Pourquoi c’est plus cher qu’ISO 27001

Trois raisons, et elles tiennent au fait que le marché est jeune.

Les auditeurs réellement compétents sur l’IA sont peu nombreux, et les organismes accrédités pour cette norme le sont aussi. La rareté se paie. Elle allonge également les délais d’obtention d’un créneau d’audit, ce qui est un coût indirect.

Enfin, l’absence de référence de marché joue contre l’acheteur : sans point de comparaison, il est difficile d’apprécier un devis.

Comment construire votre estimation

En quatre questions, dans cet ordre :

1. Combien de systèmes d’IA entrent dans le périmètre ? C’est le multiplicateur principal. Un périmètre bien posé est le premier levier d’économie — et un périmètre étroit reste défendable s’il est justifié.
2. Disposez-vous déjà d’un système de management certifié ? Si oui, identifiez ce qui se réutilise et ce qui reste à construire.
3. Quel est votre coût journalier interne chargé ? Vous êtes le seul à le connaître, et c’est lui qui pilote le poste dominant.
4. Quel est le tarif journalier des organismes que vous consultez ? Demandez-le, avec le nombre de jours envisagé pour chaque étape.

Le total se calcule alors sur vos chiffres, pas sur une fourchette trouvée en ligne. C’est moins immédiat, et beaucoup plus juste.

Ce qu’il faut retenir

Aucun prix de référence n’existe, et toute page qui vous en annonce un vous donne le prix de quelqu’un d’autre.

Le poste dominant est votre temps interne, le facteur dominant est le nombre de systèmes d’IA en périmètre, et le poste le plus souvent oublié est le maintien sur trois ans.