Clause 4 : contexte de l'organisation et périmètre de l'AIMS
La clause 4 décide de ce que couvre votre système de management, et de ce qu'il laisse dehors. C'est la seule clause dont une erreur se paie sur les six suivantes.
La clause 4 répond à une question simple : sur quoi porte votre système de management de l’IA ? Elle se décompose en quatre exigences — comprendre le contexte et son propre rôle, identifier les parties intéressées, délimiter le périmètre, puis établir le système lui-même.
C’est la clause la plus structurante et la plus sous-estimée. Un périmètre trop large rend l’audit interminable ; trop étroit, il laisse dehors un usage d’IA que l’auditeur trouvera quand même. Et le rôle que vous vous attribuez en 4.1 détermine quelles exigences vous concernent réellement dans tout le reste de la norme.
4.1 — Comprendre le contexte, et déterminer son rôle
La détermination du rôle est la partie que l’on oublie, et c’est la plus lourde de conséquences. La norme distingue plusieurs positions dans la chaîne de valeur de l’IA : fournisseur de plateforme, fournisseur de produit ou de service, développeur, exploitant, utilisateur, partenaire, intégrateur, fournisseur de données. Une même organisation en cumule souvent deux ou trois sans l’avoir formalisé.
Cette typologie ne se confond pas avec celle de l’AI Act, qui raisonne en fournisseur, déployeur, importateur, distributeur, mandataire et fabricant de produit. Les deux grilles coexistent et ne se recouvrent pas : vous pouvez être déployeur au sens du règlement et AI producer au sens de la norme.
Le contexte, lui, se documente sur quatre axes : réglementaire, technologique, de marché, et sociétal. Depuis l’amendement de la structure commune aux normes de management, le changement climatique figure parmi les enjeux à examiner explicitement — ce qui, pour des charges d’entraînement, n’est pas une clause de style.
4.2 — Les parties intéressées et leurs exigences
La liste dépasse toujours les clients et les régulateurs. Elle inclut les personnes soumises aux décisions du système — celles dont un dossier est trié, un profil noté, une candidature filtrée — qui n’ont aucun lien contractuel avec vous et sont pourtant les premières concernées. Elle inclut aussi vos propres salariés, vos fournisseurs de données, et l’autorité de contrôle de votre secteur.
Le point qui se joue en audit n’est pas la liste : c’est la traçabilité de la décision. Pour chaque exigence identifiée, il faut pouvoir dire si elle entre dans le système ou non, et pourquoi. Une exigence écartée sans motif écrit est un écart ; une exigence écartée avec un motif défendable n’en est pas un.
4.3 — Le périmètre, et il doit être écrit
Le périmètre se délimite sur trois axes : organisationnel (quelles entités, quelles équipes), géographique lorsque plusieurs sites relèvent de règles différentes, et fonctionnel (quels systèmes d’IA, à quel stade de leur cycle de vie).
C’est un arbitrage économique autant que normatif. Chaque système d’IA inclus dans le périmètre réclame son évaluation d’impact et sa place dans l’appréciation des risques. Le facteur qui détermine la charge de mise en œuvre n’est pas la taille de l’organisation : c’est le nombre de systèmes d’IA en périmètre.
4.4 — Établir le système lui-même
Cette sous-clause est brève et engage tout le reste : ce qu’elle appelle « système » est exactement ce que décrivent les clauses 5 à 10. Son volume, en revanche, reste à votre main. Une PME peut tenir un système crédible avec une politique de deux pages, un registre de risques, un inventaire et une revue semestrielle. Un grand groupe ne s’en sortira pas sans comités ni processus formalisés.
Le critère n’est pas l’épaisseur de la documentation, c’est la correspondance entre ce qu’elle décrit et ce que font réellement les équipes. Une documentation qui décrit l’intention plutôt que la pratique est ce qui fait échouer les audits de certification au second stade.
Ce que la clause 4 ne demande pas
Elle n’impose ni format, ni modèle de document, ni outil. Elle n’exige pas un « manuel » au sens des anciennes normes de management. Elle ne fixe aucun seuil de taille de périmètre, ni aucune durée de validité de l’analyse de contexte.
L’inventaire des systèmes d’IA, souvent présenté comme obligatoire, ne figure pas en tant que tel parmi les exigences : il est la façon la plus simple de rendre démontrable le périmètre de 4.3, ce qui n’est pas la même chose qu’une obligation textuelle.