Guide pratique du template AISIA ISO 42001 : 12 sections expliquées

1. Introduction au template AISIA ISO 42001

L'EU AI Act, formellement le Règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. Il impose aux fournisseurs et déployeurs de systèmes d'IA un ensemble d'obligations graduées selon le niveau de risque. Les PME françaises sont concernées dès qu'elles utilisent un système d'IA dans un domaine listé à l'Annexe III du Règlement.

Face à cette complexité réglementaire, la norme ISO/IEC 42001:2023 propose un cadre de management de l'intelligence artificielle. Elle s'inspire de la structure HLS (High Level Structure) commune aux normes ISO 9001, ISO 27001 et ISO 14001. Cette continuité facilite l'intégration pour les PME déjà certifiées sur d'autres référentiels.

Le template AISIA — Artificial Intelligence System Implementation Architecture — découpe ISO 42001 en 12 sections opérationnelles. Il transforme une norme dense de plusieurs dizaines de pages en livrables documentaires concrets. Une PME peut suivre ces sections sans recruter un consultant à temps plein.

Le template ne se substitue pas à un audit de conformité. Il sert de fil conducteur. Pour comprendre les obligations générales de l'EU AI Act, consultez notre guide pillar AI Act PME France.

Élément	Norme ISO 42001	Template AISIA
Format	Norme technique formelle	Modèles documentaires
Public cible	Toutes organisations	PME et ETI
Profondeur	38 clauses détaillées	12 sections synthétiques
Certification	Possible via organisme accrédité	Préparation à la certification
Temps de lecture	4 à 6 heures	1 heure

2. Les 12 sections du template expliquées

Le template AISIA structure les exigences ISO 42001 selon une logique de cycle de management : Plan-Do-Check-Act. Les cinq premières sections couvrent le système de management lui-même. Les sections 6 à 12 couvrent le cycle de vie technique d'un système d'IA, de la conception au retrait.

Cette dualité reflète la philosophie d'ISO 42001 : une PME ne déploie pas seulement des outils techniques, elle pilote une politique organisationnelle. Le DPO, le RSSI et l'IA Lead se partagent les responsabilités. Le dirigeant valide la politique générale.

Section	Intitulé	Type	Responsable type
1	Contexte organisationnel et leadership	Gouvernance	Direction générale
2	Planification	Gouvernance	IA Lead + DPO
3	Support	Gouvernance	RH + DSI
4	Performance évaluée	Gouvernance	RSSI + Audit
5	Amélioration	Gouvernance	IA Lead
6	Conception	Cycle de vie	Métier + DSI
7	Développement	Cycle de vie	DSI + Data
8	Vérification et validation	Cycle de vie	Qualité
9	Déploiement	Cycle de vie	DSI
10	Exploitation et surveillance	Cycle de vie	Métier + RSSI
11	Maintenance	Cycle de vie	DSI
12	Retrait et archivage	Cycle de vie	DPO + DSI

Chaque section produit des livrables documentaires. Une PME ne peut pas démontrer sa conformité sans ces traces écrites, conformément à l'Article 11 du Règlement (UE) 2024/1689 qui exige une documentation technique pour les systèmes à haut risque.

3. Section 1 : Contexte organisationnel et leadership

Cette première section répond à une question simple : qui décide quoi sur l'IA dans l'entreprise ? Sans réponse claire, aucun système de management n'existe vraiment. ISO 42001 reprend ici la clause 4 et la clause 5 de la norme.

La PME doit identifier les parties prenantes internes et externes. En interne : direction, salariés, représentants du personnel. En externe : clients, fournisseurs IA, sous-traitants, autorités de contrôle (CNIL, ARCOM, DGCCRF selon le secteur). Cette cartographie alimente toute la suite.

Le leadership se matérialise par une politique IA signée par la direction. Ce document de 2 à 4 pages fixe les principes : finalités acceptables, niveaux de risque tolérés, ressources allouées. Il n'a pas de valeur juridique externe mais structure les décisions internes.

Les responsabilités IA doivent figurer dans les fiches de poste concernées. Le rôle d'IA Lead — non obligatoire légalement — est fortement recommandé pour les PME utilisant des systèmes à haut risque. Il fait le lien avec le DPO, garant du respect du RGPD.

La formation du personnel relève également de cette section. L'Article 4 du Règlement (UE) 2024/1689 impose une « littératie en matière d'IA » suffisante pour tous les utilisateurs professionnels d'un système d'IA. Cette obligation s'applique depuis le 2 février 2025.

4. Section 2 : Planification

La planification transforme la politique IA en programme d'actions. Elle identifie les risques liés aux systèmes d'IA déployés et les opportunités d'amélioration. Cette analyse de risques s'appuie utilement sur ISO/IEC 23894:2023, norme dédiée au risk management IA.

Pour chaque système d'IA, la PME documente sa classification au regard de l'EU AI Act. Quatre niveaux existent : risque inacceptable (Art. 5, interdits), haut risque (Art. 6, Annexe III), risque limité (Art. 50, obligations de transparence), risque minimal (sans contrainte).

Niveau de risque	Exemples	Obligations principales
Inacceptable	Notation sociale, manipulation cognitive	Interdiction totale
Haut risque	Recrutement, scoring crédit, biométrie	Documentation, évaluation, surveillance humaine
Risque limité	Chatbots, deepfakes	Transparence, information utilisateurs
Risque minimal	Filtres anti-spam, jeux vidéo	Aucune obligation spécifique

Les objectifs de conformité doivent être mesurables. Un objectif vague comme « améliorer la conformité » ne suffit pas. Préférer : « documenter 100 % des systèmes d'IA à haut risque avant le 2 août 2026 », date d'application des obligations principales pour les systèmes à haut risque.

Le plan d'implémentation associe à chaque objectif un responsable, une échéance et des ressources. Il s'inscrit dans une logique pluriannuelle. Les sanctions de l'Article 99 — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial — justifient un investissement sérieux. Notre guide sanctions détaille les montants applicables aux PME.

5. Section 3 : Support

Le support couvre les ressources nécessaires au système de management de l'IA. Il s'agit des moyens humains, matériels, financiers et informationnels. Sans ces ressources, la planification reste lettre morte.

Côté humain, la PME doit identifier les compétences requises : data scientists, juristes IA, auditeurs internes, formateurs. Pour une PME de 50 salariés, ces rôles se cumulent souvent sur 2 à 4 personnes. Le recours à des prestataires externes complète le dispositif.

Côté matériel, les systèmes d'IA à haut risque exigent des environnements techniques sécurisés. L'Article 15 du Règlement (UE) 2024/1689 impose un niveau « approprié » d'exactitude, de robustesse et de cybersécurité. ISO/IEC 27001:2022 constitue la référence en sécurité de l'information.

La documentation représente une obligation centrale. Elle comprend :

• La politique IA signée par la direction
• Les analyses d'impact (DPIA si données personnelles)
• Les fiches techniques par système d'IA
• Les registres de tests et validations
• Les journaux d'incidents et de modifications

La communication interne assure que chaque salarié connaît sa place dans le dispositif. Une réunion trimestrielle dédiée à l'IA, animée par l'IA Lead, suffit dans une PME. Les supports doivent rester accessibles à tous, sans jargon technique excessif.

6. Section 4 : Performance évaluée

L'évaluation de la performance vérifie que le système de management fonctionne. ISO 42001 reprend ici la clause 9 du standard. Trois mécanismes coexistent : la surveillance des indicateurs, l'audit interne et la revue de direction.

Les indicateurs de performance se définissent à partir des objectifs fixés en section 2. Pour une PME, 5 à 10 indicateurs suffisent. Exemples : taux de systèmes d'IA documentés, nombre d'incidents IA signalés, délai moyen de réponse aux droits des personnes concernées.

Indicateur	Cible	Fréquence de mesure
Systèmes IA inventoriés et classifiés	100 %	Trimestrielle
Salariés formés à l'IA	≥ 80 %	Annuelle
Incidents IA résolus en moins de 30 jours	≥ 90 %	Mensuelle
Audits internes planifiés réalisés	100 %	Annuelle
DPIA réalisées pour systèmes à haut risque	100 %	Trimestrielle

L'audit interne se conduit au moins une fois par an. Il vérifie la conformité aux exigences ISO 42001 et à l'EU AI Act. Un auditeur indépendant des activités auditées doit le mener — pas obligatoirement externe à l'entreprise, mais externe au service audité.

La revue de direction clôture le cycle annuel. Le dirigeant analyse les résultats, valide les ressources pour l'année suivante et arbitre les décisions stratégiques. Cette revue produit un compte rendu écrit, archivé pendant au moins 10 ans pour les systèmes à haut risque (Art. 18 du Règlement).

7. Section 5 : Amélioration

L'amélioration continue distingue un système de management vivant d'un classeur poussiéreux. ISO 42001 impose un traitement structuré des non-conformités et un suivi des actions correctives. Cette boucle alimente la maturité IA de la PME au fil des années.

Une non-conformité naît d'un écart entre l'attendu (politique IA, obligations réglementaires, exigences contractuelles) et le constaté. Elle peut être détectée par un audit, une plainte client, un incident technique ou un signalement salarié. Sa qualification suit une grille de gravité.

L'analyse de cause racine — par méthode des 5 pourquoi ou Ishikawa — identifie l'origine profonde. Une réponse symptomatique ne suffit pas. Si un système d'IA discrimine, modifier un seuil ne règle pas un biais d'entraînement.

Les actions correctives sont consignées dans un plan avec responsable et échéance. Le suivi se fait via le tableau de bord IA. Les actions clôturées sans efficacité prouvée doivent être rouvertes. Le glossaire technique disponible sur /glossaire.html clarifie les termes d'audit utilisés ici.

8. Sections 6-12 : Cycle de vie des systèmes d'IA

Les sections 6 à 12 du template traitent du cycle de vie technique d'un système d'IA. Elles correspondent à l'Annexe A de la norme ISO 42001 et concrétisent les exigences techniques de l'EU AI Act. Chaque phase produit des livrables documentaires versionnés.

Section	Phase	Obligations EU AI Act associées
6	Conception	Art. 9 (gestion des risques), Art. 10 (gouvernance des données)
7	Développement	Art. 10 (qualité des données), Art. 15 (exactitude, robustesse)
8	Vérification et validation	Art. 9 (tests), Art. 15 (cybersécurité)
9	Déploiement	Art. 13 (transparence), Art. 14 (surveillance humaine)
10	Exploitation et surveillance	Art. 17 (post-marché), Art. 72 (surveillance après commercialisation)
11	Maintenance	Art. 15 (corrections), Art. 72 (incidents graves)
12	Retrait et archivage	Art. 18 (conservation 10 ans), RGPD Art. 17 (droit à l'effacement)

La conception fixe la finalité du système d'IA, son périmètre fonctionnel et ses contraintes réglementaires. Elle évite les usages interdits par l'Article 5 du Règlement (UE) 2024/1689. Une finalité mal cadrée provoque des dérives ultérieures coûteuses à corriger.

Le développement intègre les exigences de qualité des données (Art. 10). Les jeux d'entraînement doivent être pertinents, représentatifs et exempts d'erreurs autant que possible. La documentation des sources de données et des transformations appliquées est obligatoire.

La vérification et validation regroupent les tests fonctionnels, les tests de robustesse, les évaluations de biais. Les résultats sont consignés dans des rapports horodatés. Une PME peut sous-traiter ces tests à un laboratoire spécialisé pour les systèmes à haut risque.

Le déploiement implique une information transparente des utilisateurs finaux. L'Article 13 impose une notice d'utilisation claire. L'Article 14 exige un mécanisme de surveillance humaine adapté au niveau de risque. La PME désigne nommément les superviseurs.

L'exploitation et la surveillance post-déploiement constituent une obligation continue. Les performances du système d'IA peuvent dériver au fil du temps. Des indicateurs techniques doivent alerter en cas de dégradation. Les incidents graves sont notifiés au surveillant national dans les 15 jours (Art. 73).

La maintenance corrige les bugs, applique les patchs de sécurité et met à jour les modèles. Chaque modification significative déclenche une nouvelle évaluation. Pour les systèmes à haut risque, une mise à jour modèle peut requalifier le système et exiger une nouvelle déclaration de conformité.

Le retrait et l'archivage closent le cycle. Les données personnelles sont effacées conformément au RGPD. La documentation technique reste conservée 10 ans après la dernière mise sur le marché (Art. 18). Un procès-verbal de retrait formalise l'opération.

9. Mise en œuvre pour les PME françaises

Une PME ne déploie pas les 12 sections en parallèle. Une approche séquentielle, étalée sur 6 à 12 mois, donne de meilleurs résultats qu'une mobilisation tous azimuts qui s'essouffle au troisième mois.

L'étape 1 consiste à auditer la conformité actuelle. La PME recense ses systèmes d'IA, identifie leur niveau de risque selon l'Article 6 et l'Annexe III, et mesure l'écart avec les exigences. Cet audit dure 2 à 4 semaines pour une PME de 50 salariés.

L'étape 2 priorise les sections selon le profil de risque. Une PME qui n'utilise que des outils d'IA à risque minimal peut se concentrer sur les sections 1, 2 et 4. Une PME qui développe ou déploie des systèmes à haut risque doit couvrir l'intégralité du template.

Profil PME	Sections prioritaires	Durée estimée
Utilisateur IA risque minimal	1, 2, 4	2 à 3 mois
Utilisateur IA risque limité	1, 2, 3, 4, 9, 10	4 à 6 mois
Déployeur IA haut risque	1 à 12 (complet)	9 à 12 mois
Fournisseur IA haut risque	1 à 12 + Art. 16-22 EU AI Act	12 à 18 mois

L'étape 3 intègre les sections progressivement dans l'organisation. Plutôt que de produire 12 documents en bloc, l'IA Lead pilote leur déploiement séquentiel. Chaque document est validé par les parties prenantes concernées avant passage au suivant.

L'étape 4 prépare une éventuelle certification ISO 42001. La certification n'est pas obligatoire mais valorise la démarche auprès des clients et partenaires. Elle coûte entre 8 000 € et 25 000 € selon la taille de la PME et l'organisme de certification choisi (AFNOR, Bureau Veritas, LRQA).

10. Avantages pour les PME

L'investissement dans le template AISIA ISO 42001 produit des retours concrets au-delà de la simple conformité. Une PME structurée résiste mieux aux contrôles de la future autorité française de surveillance — désignée au plus tard le 2 août 2025 selon l'Article 70 du Règlement (UE) 2024/1689.

La réduction des risques juridiques constitue le bénéfice immédiat. Les sanctions de l'Article 99 atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les usages interdits. Une PME documentée démontre sa bonne foi et bénéficie de circonstances atténuantes lors d'un contrôle.

La confiance client se renforce avec une démarche IA structurée. Les grands donneurs d'ordre intègrent désormais des clauses IA dans leurs contrats. Une PME fournisseur qui présente une politique IA et un mapping ISO 42001 gagne en crédibilité commerciale.

L'optimisation des processus IA émerge naturellement du travail de documentation. Cartographier ses systèmes d'IA met à jour les redondances, les outils sous-utilisés et les coûts cachés. Plusieurs PME ont réduit leurs licences IA de 15 à 30 % après audit.

La préparation aux audits futurs devient une routine plutôt qu'une urgence. La CNIL, l'ARCOM ou la DGCCRF peuvent contrôler les usages d'IA dans leurs domaines respectifs. Notre page sources officielles recense les référentiels publiés par ces autorités.

11. Questions fréquentes

Quelle est la différence entre le template AISIA et la norme ISO 42001 ?

Le template AISIA est une déclinaison opérationnelle simplifiée et adaptée aux PME de la norme ISO/IEC 42001:2023. Il couvre les mêmes principes — gouvernance, planification, support, évaluation, amélioration, cycle de vie — mais avec une approche pragmatique en 12 sections. La norme ISO 42001 reste la référence formelle pour une certification. Le template prépare cette certification sans en exiger la lourdeur initiale.

Combien de temps faut-il pour mettre en œuvre le template ?

La durée varie selon la complexité des systèmes d'IA déployés. Pour une PME utilisant uniquement des outils d'IA à risque limité, 4 à 6 mois suffisent. Pour une PME qui développe ou déploie des systèmes à haut risque, une mise en œuvre progressive sur 9 à 12 mois est réaliste. La priorisation des sections critiques pour l'EU AI Act accélère la conformité réglementaire en premier.

Le template est-il obligatoire pour les PME françaises ?

Non, ni le template AISIA ni la norme ISO 42001 ne sont juridiquement obligatoires. L'EU AI Act, lui, l'est. Les obligations principales pour les systèmes à haut risque s'appliquent à partir du 2 août 2026. Le template facilite la démonstration de conformité mais d'autres approches existent. La certification ISO 42001 peut devenir un avantage concurrentiel, notamment dans les appels d'offres publics.

Comment obtenir de l'aide pour l'implémentation ?

Plusieurs canaux gratuits existent. Le service desk européen de l'AI Act (ai-act-service-desk.ec.europa.eu) répond aux questions d'interprétation. La CNIL publie 13 fiches pratiques IA depuis 2024. Le Cigref et Numeum ont publié des guides AI Act en 2025. Pour un accompagnement structuré, consultez nos guides AI Act PME France et sanctions PME.

Quels sont les coûts estimés pour une PME de 50 salariés ?

Les coûts varient selon le nombre et la nature des systèmes d'IA. Un accompagnement externe complet sur 6 à 12 mois coûte entre 5 000 € et 20 000 € pour une PME de 50 salariés. La certification ISO 42001 ajoute 8 000 € à 25 000 € selon l'organisme. Le template permet d'optimiser les ressources internes et de réduire significativement les coûts externes. Un dimensionnement précis exige un cadrage initial.

12. Sources officielles

Les références ci-dessous constituent les sources primaires utilisées dans cet article. Elles doivent être consultées directement pour toute interprétation juridique formelle.

• Texte intégral EU AI Act consolidé : artificialintelligenceact.eu — version annotée et navigable
• Règlement (UE) 2024/1689 — version officielle : eur-lex.europa.eu — publication au Journal officiel de l'Union européenne du 12 juillet 2024
• CNIL — fiches pratiques IA : cnil.fr — 13 fiches pratiques publiées depuis 2024 sur l'articulation RGPD-IA
• Service desk AI Act de la Commission européenne : ai-act-service-desk.ec.europa.eu — réponses gratuites aux questions d'interprétation
• Norme ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system, publiée le 18 décembre 2023
• Norme ISO/IEC 23894:2023 — Artificial intelligence — Guidance on risk management
• Norme ISO/IEC 27001:2022 — Information security management systems
• Cigref — guide AI Act janvier 2025
• Numeum — guide AI Act mars 2025

Pour les compléments terminologiques, consultez notre glossaire. Pour la liste exhaustive des sources réglementaires françaises et européennes, consultez notre page sources.

---

Avertissement : Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.