Les exigences,
clause par clause.
Les clauses 4 à 10 portent les exigences du système de management. Elles s'appliquent toutes. Leur numérotation suit la structure commune aux normes de management ISO — elle n'indique pas l'ordre dans lequel s'y prendre. Chaque clause a sa page : sous-clause par sous-clause, avec les preuves attendues.
Contexte
Ce que l'organisme fait avec l'IA, dans quel environnement, pour qui, et jusqu'où s'étend le système de management. C'est ici que se décide le périmètre — et un périmètre mal posé se paie sur tout le reste.
Leadership
L'engagement de la direction, la politique relative à l'IA, et la répartition des rôles et des responsabilités. La clause qui détermine si le système existe vraiment ou seulement sur le papier.
Planification
L'appréciation et le traitement des risques liés à l'IA, l'évaluation de leurs impacts, les objectifs à atteindre et la façon d'y parvenir. C'est d'ici que découle la sélection des contrôles de l'Annexe A.
Support
Les moyens : ressources, compétences, sensibilisation, communication et informations documentées. Rarement la clause qui inquiète, souvent celle qui manque de preuves le jour de l'audit.
Fonctionnement
La mise en œuvre réelle : maîtrise des activités planifiées, exécution des traitements de risque et des évaluations d'impact. La clause où la théorie rencontre les systèmes en production.
Évaluation
Surveillance, mesure, audit interne et revue de direction. Comment l'organisme sait que son système fonctionne, plutôt que de le supposer.
Amélioration
Le traitement des non-conformités, les actions correctives et l'amélioration continue. Ce qui transforme un certificat en système vivant.
Les clauses 1 à 3
Elles ne portent pas d'exigences auditables : elles définissent le domaine d'application du document, les références normatives et les termes employés. C'est là que se trouvent les définitions sur lesquelles repose tout le reste du texte.
Les exigences fixent le quoi.
L'Annexe A propose le comment.
La clause 6 conduit à identifier des risques ; l'Annexe A propose des mesures pour les traiter. C'est l'articulation la plus importante du référentiel.