Les exigences,
clause par clause.
Les clauses 4 à 10 portent les exigences du système de management. Contrairement aux contrôles de l'Annexe A, elles ne font pas l'objet d'une exclusion justifiée dans la déclaration d'applicabilité ; une note de 4.1 relève toutefois que les rôles de l'organisme vis-à-vis de ses systèmes d'IA peuvent décider si une exigence s'applique, et jusqu'où. Leur numérotation suit la structure commune aux normes de management ISO — elle n'indique pas l'ordre dans lequel s'y prendre. Chaque clause a sa page : sous-clause par sous-clause, avec les preuves attendues.
Contexte
Ce que l'organisme fait avec l'IA, dans quel environnement, pour qui, et jusqu'où s'étend le système de management. C'est ici que se décide le périmètre — et un périmètre mal posé se paie sur tout le reste.
Leadership
L'engagement de la direction, la politique relative à l'IA, et la répartition des rôles et des responsabilités. La clause qui détermine si le système existe vraiment ou seulement sur le papier.
Planification
Les risques et les opportunités à prendre en compte, avec des critères de risque définis, puis l'appréciation et le traitement des risques liés à l'IA ; l'évaluation d'impact des systèmes d'IA ; les objectifs à atteindre et la façon d'y parvenir ; la planification des modifications du système de management. C'est d'ici que découle la sélection des contrôles de l'Annexe A.
Support
Les moyens : ressources, compétences, sensibilisation, communication et informations documentées. Rarement la clause qui inquiète, souvent celle qui manque de preuves le jour de l'audit.
Fonctionnement
La mise en œuvre réelle : maîtrise des activités planifiées, appréciations des risques et évaluations d'impact refaites dans la durée, exécution du plan de traitement. La clause où la théorie rencontre les systèmes en production.
Évaluation
Surveillance, mesure, audit interne et revue de direction. Comment l'organisme sait que son système fonctionne, plutôt que de le supposer.
Amélioration
Le traitement des non-conformités, les actions correctives et l'amélioration continue. Ce qui transforme un certificat en système vivant.
Les clauses 1 à 3
Elles ouvrent la partie normative, mais créent peu d'obligations de mise en œuvre : elles définissent le domaine d'application du document, les références normatives et les termes employés. Deux passages pèsent pourtant : la clause 2 fait d'ISO/IEC 22989:2022 la seule référence normative, et une note de la définition de la déclaration d'applicabilité (3.26) est rédigée comme une exigence.
Les clauses fixent les exigences.
L'Annexe A propose des mesures.
La clause 6 conduit à identifier des risques ; l'Annexe A propose des mesures pour les traiter, et l'Annexe B indique comment les mettre en œuvre. C'est l'articulation la plus importante du référentiel.