ISO 42001 : le cadre de management de l’IA pour les DSI

Le fait: un référentiel publié en décembre 2023

La norme ISO/IEC 42001:2023 est la première norme internationale certifiable consacrée au système de management de l'intelligence artificielle (Organisation internationale de normalisation, ISO). Les éléments disponibles ne documentent aucune nouvelle annonce récente: il s'agit ici d'un décryptage du référentiel, et non d'une actualité de publication.

Son périmètre couvre la gouvernance de l'IA, l'analyse d'impact, la maîtrise du cycle de vie des systèmes d'IA et l'amélioration continue. L'objet est l'organisation mise en place pour encadrer ces systèmes: responsabilités, processus de décision, suivi et correction des écarts. Ce référentiel n'est donc ni une présentation des performances d'un outil ni un classement de modèles d'IA.

La certification porte sur le système de management d'une organisation. Elle ne doit pas être confondue avec les certifications de personnes délivrées notamment par PECB, dont les intitulés Lead Implementer et Lead Auditor ISO 42001 concernent des professionnels. Détenir une certification individuelle ne signifie pas que le système de management de son entreprise est certifié.

Pour vous, DSI ou responsable conformité, la conséquence est concrète: un dossier limité aux résultats techniques des outils ne couvre pas le périmètre du référentiel. Vous devez aussi pouvoir documenter qui autorise les usages, comment leurs impacts sont analysés et comment les changements sont suivis jusqu'au retrait des systèmes concernés.

Ce que ça change pour la DSI et la conformité

La norme ISO/IEC 42001, présentée par l'ISO, encadre le management de l'intelligence artificielle: gouvernance, analyse d'impact, maîtrise du cycle de vie et amélioration continue. Pour la DSI et la conformité, elle invite à organiser les responsabilités et les preuves au-delà de la seule validation technique d'un outil.

Voici une grille de travail proposée, et non une citation des clauses de la norme:

• Qui porte la gouvernance ? Identifiez les responsables des usages d'IA, les circuits de décision et l'autorité habilitée à suspendre un système.
• Comment documenter les impacts ? Consignez les usages prévus, les personnes concernées, les risques identifiés et les décisions prises pour les maîtriser.
• Comment suivre le cycle de vie ? Organisez le suivi des changements, des incidents et des performances, jusqu'au retrait du système.

La structure de haut niveau commune avec ISO 27001 et ISO 9001 permet d'examiner les pratiques de management déjà présentes: gestion documentaire, audits internes, revue de direction et actions correctives. Vous pouvez demander à leurs responsables de repérer les procédures réutilisables, puis les éléments propres à l'IA restant à formaliser. Cette proximité ne constitue aucune équivalence de certification.

Le règlement européen sur l'IA, règlement UE 2024/1689, relève d'un cadre juridique distinct. Votre analyse des obligations concrètes de l'AI Act en entreprise doit donc rester un chantier identifié: la norme n'impose pas une certification générale et son obtention ne vaut pas conformité juridique automatique.

Notre lecture: partir des pratiques de gouvernance

La norme ISO/IEC 42001 définit un système de management de l'intelligence artificielle. Pour Elitek, son intérêt premier est de structurer le pilotage des usages et les preuves associées. Rechercher un certificat avant de délimiter les activités concernées, d'attribuer les responsabilités et d'organiser l'analyse d'impact inverse cette logique.

En tant que DSI ou responsable conformité, commencez par recenser les systèmes d'IA effectivement utilisés, y compris ceux intégrés aux solutions de vos fournisseurs, puis désignez les responsables de leur validation et de leur suivi. Pour chaque usage retenu dans le périmètre, documentez les impacts examinés, les décisions prises et les conditions de réévaluation: ces éléments donneront une base concrète aux revues de gouvernance.

L'expérience d'un système de management de la sécurité de l'information (SMSI) constitue un appui méthodologique: gestion documentaire, audits internes et amélioration continue sont des pratiques transférables. Notre article sur la mise en place d'un SMSI décrit cette démarche. Toutefois, la structure commune des normes ne signifie pas que la sécurité de l'information couvre les exigences propres à l'IA, notamment l'analyse d'impact et la maîtrise de son cycle de vie.

Clarifiez enfin la finalité de votre démarche. Organiser la gouvernance interne suppose de fixer des règles opérationnelles et leurs responsables. Envisager la certification du système de management demande de définir le périmètre à faire évaluer. Développer les compétences d'un responsable de mise en œuvre ou d'un auditeur relève d'un parcours individuel: une certification de personne ne certifie pas le système de management de votre organisation.

Et maintenant: cadrer votre diagnostic interne

La norme ISO/IEC 42001 fournit un cadre pour organiser le management de l’intelligence artificielle. Pour votre DSI, la prochaine étape consiste à réunir la conformité et les métiers concernés dans un atelier de diagnostic, sans présumer d’un projet de certification.

Recensez les usages d’IA effectivement déployés ou expérimentés, y compris ceux intégrés aux logiciels achetés. Pour chaque usage, identifiez le responsable métier, le référent technique et les documents disponibles: finalité, données utilisées, évaluation des impacts, modalités de validation, surveillance et retrait du système. Vous pourrez ainsi repérer les usages sans responsable désigné et les décisions de mise en production insuffisamment documentées.

Organisez ensuite votre grille d’écarts autour des exigences citées par l’ISO: gouvernance de l’IA, analyse d’impact, maîtrise du cycle de vie et amélioration continue. Chaque ligne doit associer une preuve disponible, un manque constaté, une action, un responsable et une échéance interne. Gardez ce diagnostic distinct de l’analyse juridique du règlement européen sur l’IA: votre service conformité doit qualifier séparément les obligations applicables, car une démarche de management ne suffit pas à établir la conformité réglementaire.

Elitek ne propose pas encore de formation ISO 42001. Si votre besoin porte également sur la sécurité de l’information, la formation Lead Implementer constitue un parcours distinct, proposé à 2 990 € TTC, avec examen PECB non inclus et sur devis (fiche formation Elitek). Elle ne prépare pas à ISO 42001.

Sources

• ISO/IEC 42001:2023, système de management de l’intelligence artificielle