Certification ISO 42001 : les étapes pour une PME

La certification ISO/IEC 42001 suit un processus en cinq étapes : engager la direction et fixer le périmètre, mesurer les écarts, mettre en place le système de management de l'IA (AIMS), réaliser un audit interne et une revue de direction, puis passer l'audit de certification en deux temps (stade 1 et stade 2) auprès d'un organisme certificateur. Elle est volontaire, valable en règle générale trois ans avec des audits de surveillance annuels, et ne donne aucune présomption de conformité à l'AI Act.

L'essentiel en 30 secondes

ISO/IEC 42001:2023 standardise le management de l'IA (AIMS) pour les organisations de toute taille ; la certification est volontaire.
Le parcours compte cinq étapes : engagement et périmètre, analyse d'écarts, mise en œuvre, audit interne et revue de direction, audit de certification (stades 1 et 2).
La norme n'est pas harmonisée au titre de l'AI Act : aucune présomption de conformité. Elle aide à structurer la gouvernance et la preuve des mesures prises.
En règle générale, le certificat est valable trois ans, avec des audits de surveillance annuels réalisés par l'organisme et un audit de renouvellement.
L'audit interne et la revue de direction sont des exigences de la norme (clauses 9.2 et 9.3), à planifier avant l'audit externe.
Durée, coût et choix de l'organisme font l'objet d'articles dédiés, liés ci-dessous.

La certification ISO/IEC 42001 peut devenir un argument commercial pour une PME qui répond à de grands comptes ou à des acheteurs publics : certains clients demandent une preuve documentée de gouvernance de l'IA. Ce guide détaille le processus, étape par étape. Pour la durée phase par phase, voir l'article sur les délais de certification ISO 42001 ; pour le budget, l'article sur le coût d'une certification ; pour le choix de l'organisme, l'article choisir son organisme certificateur.

1. Introduction à la certification ISO/IEC 42001

ISO/IEC 42001 est la première norme internationale de système de management de l'intelligence artificielle. Elle a été publiée en décembre 2023 par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC). Voir la fiche de la norme sur iso.org et l'article qu'est-ce qu'un AIMS selon ISO 42001.

Définition du périmètre. La norme s'applique à toute organisation qui développe, fournit ou utilise des systèmes d'IA, quelle que soit sa taille ou son secteur d'activité. Elle porte sur le management de l'IA tout au long du cycle de vie des systèmes : conception, développement, déploiement, exploitation, maintenance et retrait.

Objectif principal. L'ISO/IEC 42001 vise à réduire les risques liés à l'utilisation de l'IA — risques pour les personnes concernées, risques juridiques, risques réputationnels — tout en maximisant les bénéfices opérationnels. Elle fournit un cadre structuré pour identifier, évaluer et traiter ces risques de manière méthodique et documentée.

Architecture de la norme. ISO/IEC 42001 suit la structure commune des normes de systèmes de management, comme ISO 9001 (qualité), ISO/IEC 27001 (sécurité de l'information) ou ISO 14001 (environnement). Cette architecture facilite l'intégration avec les systèmes déjà en place. Une PME déjà certifiée ISO/IEC 27001 peut s'appuyer sur des processus existants (audit interne, revue de direction, gestion documentaire) : voir l'article sur la certification combinée ISO 27001 et 42001.

Relation avec l'AI Act. ISO/IEC 42001 n'est pas une norme harmonisée de l'AI Act : la certification ne vaut pas conformité et ne donne aucune présomption de conformité. Elle peut toutefois nourrir la preuve des mesures prises : ses clauses d'appréciation des risques (6.1.2 et 8.2) et d'évaluation d'impact des systèmes d'IA (6.1.4 et 8.4) alimentent, côté fournisseur d'un système à haut risque, le système de gestion des risques de l'Article 9, sans le remplacer. Pour les obligations applicables à votre PME, voir le guide AI Act pour PME françaises et l'article ISO 42001 et AI Act : quelles différences ?.

2. Les 5 étapes clés pour obtenir la certification

Le parcours de certification s'organise en cinq étapes séquentielles, avec des livrables précis à chaque phase.

Étape 1 — Comprendre la norme et s'engager

Avant toute action, la direction générale doit comprendre ce à quoi elle s'engage. La certification ISO/IEC 42001 suppose une gouvernance active de l'IA à tous les niveaux de l'organisation : la direction valide la politique IA (clause 5.2), alloue les ressources nécessaires (clause 7.1) et s'implique dans les revues de direction planifiées (clause 9.3).

Cette étape comprend également la délimitation du périmètre de certification : quels systèmes d'IA, quels processus et quels sites géographiques sont inclus ? Une PME de petite taille peut avoir intérêt à inclure l'ensemble de l'organisation dès la première certification, pour éviter les incohérences de gouvernance entre systèmes inclus et exclus ; un périmètre plus étroit reste possible s'il est justifié.

Étape 2 — Évaluer l'état actuel et identifier les écarts

Cette étape consiste à comparer votre situation actuelle aux exigences de chaque clause d'ISO/IEC 42001. L'analyse d'écarts (gap analysis) produit une liste priorisée des chantiers à ouvrir : documentation manquante, processus à créer, mesures de sensibilisation à organiser, outils à mettre en place.

Écarts à rechercher : absence d'inventaire des systèmes d'IA (le modèle de registre des systèmes d'IA peut servir de base), documentation lacunaire (clause 7.5), appréciation des risques non formalisée (clauses 6.1.2 et 6.1.3), évaluation d'impact des systèmes d'IA absente (clauses 6.1.4 et 8.4) et absence de mesures de sensibilisation du personnel (clause 7.3).

Étape 3 — Développer et mettre en œuvre le système de management

C'est la phase la plus longue et la plus intensive en ressources. Elle comprend : la rédaction de la politique IA (clause 5.2), la mise en place de l'appréciation et du traitement des risques (clauses 6.1.2, 6.1.3, 8.2 et 8.3) avec la déclaration d'applicabilité (Statement of Applicability, voir l'article déclaration d'applicabilité ISO 42001), l'évaluation d'impact de chaque système d'IA (clauses 6.1.4 et 8.4), les procédures de surveillance et de mesure (clause 9.1) et les mesures de sensibilisation du personnel (clause 7.3).

Pour une PME disposant d'une certification ISO/IEC 27001 active, une partie de cette phase peut s'appuyer sur des processus existants (gestion des incidents, audits internes, revue de direction).

Étape 4 — Effectuer une auto-évaluation et préparer l'audit

Avant l'audit de certification, réalisez un audit interne complet de votre système de management de l'IA. Cet audit interne est une exigence de la norme (clause 9.2) : il ne dépend pas de la certification externe, il fait partie du fonctionnement courant. Identifiez les non-conformités résiduelles, appliquez les mesures correctives et documentez les actions réalisées. Voir l'article sur l'audit interne d'un AIMS.

Préparez également les preuves que l'organisme de certification demandera lors de l'audit externe : inventaire des systèmes d'IA à jour, compte rendu des dernières revues de direction, résultats des audits internes, enregistrements des mesures de sensibilisation, évaluation des risques et d'impact pour chaque système d'IA.

Étape 5 — Passer l'audit et obtenir la certification

L'audit de certification se déroule en deux phases distinctes. L'audit de phase 1 (audit documentaire) vérifie que votre documentation est complète et conforme aux exigences de la norme. L'audit de phase 2 (audit sur site) évalue l'efficacité réelle de votre système de management, en interrogeant les équipes et en observant les processus en fonctionnement.

Les non-conformités relevées lors de l'audit doivent être corrigées et justifiées à l'organisme de certification dans le délai qu'il fixe, avant qu'une décision définitive soit prise. En règle générale, la certification obtenue est valable trois ans, avec des audits de surveillance annuels pour vérifier le maintien du système, puis un audit de renouvellement.

3. Les avantages de la certification pour les PME

La certification produit des bénéfices concrets sur quatre dimensions.

Aide à la conformité. Le système de management mis en place pour la certification peut aider à structurer la preuve de conformité à l'AI Act et au RGPD : appréciation des risques, évaluation d'impact, documentation, supervision. Il ne remplace aucune obligation légale. Pour les sanctions AI Act, l'Art. 99(7) invite à tenir compte des mesures techniques et organisationnelles mises en œuvre : un système documenté en fournit des éléments de preuve.

Amélioration de la gouvernance. Le processus de certification peut révéler des failles de gouvernance invisibles sans audit structuré : systèmes d'IA non documentés, décisions automatisées sans supervision humaine effective, données d'entraînement non maîtrisées. Les corriger améliore la qualité et la fiabilité des décisions alimentées par l'IA.

Renforcement de la confiance. La certification est un signal externe vérifiable. Elle permet à des clients, partenaires et donneurs d'ordre de vérifier indépendamment votre engagement en matière de gouvernance de l'IA. Pour une PME qui répond à des appels d'offres incluant des critères de conformité IA, elle peut devenir un atout.

Optimisation des processus. La démarche de certification structure les processus de développement et de déploiement de l'IA, peut réduire le risque d'incidents et améliore la traçabilité des décisions.

4. Les défis spécifiques aux PME

Trois défis structurels distinguent la démarche de certification d'une PME de celle d'une grande entreprise.

Ressources limitées. La mise en œuvre d'ISO/IEC 42001 demande une mobilisation significative des équipes durant les phases de documentation et de sensibilisation. Dans une PME sans équipe dédiée à la conformité, cette charge pèse sur des personnes dont le temps est déjà plein. La solution : désigner un responsable AIMS, à temps partiel selon la taille, et prioriser les chantiers selon l'analyse d'écarts. Pour la durée à prévoir, voir l'article sur les délais de certification.

Connaissance technique de l'IA. ISO/IEC 42001 suppose une compréhension des systèmes d'IA utilisés : leurs données d'entrée, leurs algorithmes, leurs données de sortie, leurs limites. Dans les PME qui utilisent des outils d'IA achetés à des tiers, cette connaissance est parfois lacunaire. La solution : demander aux fournisseurs la documentation disponible et organiser une sensibilisation initiale des équipes concernées.

Intégration avec d'autres systèmes de management. Les PME certifiées ISO 9001 ou ISO 27001 disposent d'une base utile, mais l'intégration des processus spécifiques à l'IA (évaluation des risques IA, supervision humaine, tests d'équité) dans un système de management existant demande un travail de mapping précis. Sans ce travail préalable, les équipes se retrouvent avec deux systèmes parallèles difficiles à maintenir simultanément.

Défi	Solution recommandée	Ressources nécessaires
Charge de travail documentation	Responsable AIMS désigné, à temps partiel selon la taille	Un profil référent + modèle de registre
Connaissance technique des outils IA	Sensibilisation interne + documentation fournisseurs	Temps de sensibilisation par équipe concernée
Intégration avec ISO 27001	Cartographie préalable des exigences communes	Temps de travail interne
Budget restreint	Périmètre priorisé, comparaison de plusieurs devis	Voir l'article sur le budget de certification

5. Comment choisir un organisme de certification

Le choix de l'organisme de certification impacte le coût, le délai et la rigueur de votre audit. Trois critères guident cette décision.

L'expertise sectorielle. Certains organismes ont développé une expertise spécifique dans les secteurs où l'IA présente des risques particuliers : santé, finance, ressources humaines, logistique. Un auditeur sectoriel comprend les cas d'usage réels et produit un audit plus utile qu'un auditeur généraliste. Demandez des références de PME certifiées dans votre secteur avant de choisir.

Les coûts et délais. Demandez systématiquement plusieurs devis comparatifs et vérifiez comment la durée d'audit a été calculée. Les montants et les délais sont traités dans les articles sur le budget d'une certification ISO 42001 et sur les délais de certification.

L'accréditation officielle. L'organisme devrait être accrédité par le COFRAC (Comité français d'accréditation) pour la certification de systèmes de management de l'IA, ou par un organisme d'accréditation équivalent signataire de l'accord multilatéral de l'IAF (International Accreditation Forum). Vérifiez cette accréditation avant de signer tout contrat. La certification étant volontaire, un certificat émis par un organisme non accrédité perd l'essentiel de sa valeur probante. Voir l'article choisir son organisme certificateur ISO 42001.

6. Les liens avec l'EU AI Act

ISO/IEC 42001 et l'AI Act partagent des objectifs communs mais opèrent sur des plans différents : la première est une norme volontaire de management, le second un règlement européen. Les comprendre permet de mutualiser la documentation.

Comment la certification peut aider. ISO/IEC 42001 n'étant pas harmonisée, aucune clause ne « couvre » à elle seule un article du règlement. Les clauses d'appréciation des risques (6.1.2 et 8.2), d'évaluation d'impact (6.1.4 et 8.4), de documentation (7.5) et de surveillance (9.1) peuvent nourrir la preuve des mesures prises, par exemple pour les exigences des Articles 9, 11, 14 et 72 côté fournisseur d'un système à haut risque. Elles ne remplacent pas ces exigences.

Exigences spécifiques de l'AI Act non couvertes par la norme. ISO/IEC 42001 ne traite pas certaines obligations propres à l'AI Act : l'enregistrement dans la base de données de l'UE (Articles 49 et 71), la notification des incidents graves, au plus tard dans les 15 jours en règle générale (Article 73), ou les exigences applicables aux fournisseurs de modèles d'IA à usage général (Articles 51 à 56). Ces obligations doivent être adressées séparément dans votre plan de conformité. Voir le calendrier de l'AI Act.

Exemples de risques traités par les deux textes. La discrimination algorithmique est abordée par l'appréciation des risques et l'évaluation d'impact de la norme (clauses 6.1.2 et 6.1.4) et, dans l'AI Act, par la gouvernance des données (Article 10, dont l'examen des biais). L'opacité des décisions est traitée par l'Article 13 (transparence envers les déployeurs) et par l'Article 86 (droit à explication). La page sources officielles liste les références utilisées.

7. Les ressources disponibles pour les PME

Ressources de l'ISO. L'ISO publie des pages d'explication sur la norme : ISO/IEC 42001 expliquée et les systèmes de management de l'IA : ce que les entreprises doivent savoir. Un diagnostic d'écart se mène en interne ou avec un prestataire.

Le service desk européen de l'AI Act permet de poser des questions sur le règlement. Son texte est consultable sur artificialintelligenceact.eu et, en version consolidée, sur EUR-Lex. La CNIL publie ses fiches pratiques sur l'IA et le RGPD. Le glossaire compile les définitions clés.

FAQ

Quel est le coût approximatif de la certification pour une PME de 50 salariés ?

Le coût dépend de la taille de l'entreprise, du périmètre, du nombre de systèmes d'IA et du niveau d'accompagnement externe retenu. Il comprend les audits externes, l'audit interne, la mise en œuvre et la documentation, et la sensibilisation du personnel. Aucun barème public n'existe : voir l'article sur le budget d'une certification ISO 42001.

Combien de temps faut-il pour obtenir la certification ?

La durée dépend de l'état de départ de la documentation, du nombre de systèmes d'IA et de la rapidité de traitement des non-conformités. Les phases se décomposent ainsi : analyse d'écarts et préparation, mise en œuvre du système de management, audit interne et préparation de l'audit externe, audit de certification. Voir l'article sur les délais de certification ISO 42001, phase par phase.

La certification est-elle obligatoire pour les PME en France ?

Non, elle n'est pas obligatoire au sens légal. Elle ne donne pas de présomption de conformité à l'AI Act, mais peut aider à structurer la preuve des mesures prises et constituer un atout commercial vis-à-vis de certains clients.

Comment la certification ISO/IEC 42001 interagit-elle avec le RGPD ?

Elle ne remplace pas les obligations RGPD. Les mesures de gouvernance des données, d'évaluation d'impact et de sécurité du système de management peuvent toutefois aider à documenter le registre des traitements (Article 30 RGPD), l'analyse d'impact (Article 35) et les mesures de sécurité (Article 32). Les deux démarches partagent une base documentaire commune. Voir l'article RGPD et AI Act : articuler les deux règlements.

Quels sont les avantages concurrentiels de la certification pour une PME ?

La certification peut améliorer le positionnement commercial d'une PME sur quatre axes. Elle répond aux demandes de certains donneurs d'ordre en matière de gouvernance de l'IA. Elle fournit des éléments de preuve des mesures mises en œuvre, que l'Art. 99(7) invite à prendre en compte pour fixer une amende. Elle peut améliorer la qualité et la fiabilité des systèmes d'IA. Elle démontre un engagement vérifiable en matière de gouvernance. L'effet dépend du marché et des clients visés.

Vos documents IA, personnalisés et prêts aujourd'hui

Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 30 novembre, puis 99 €.

Créer mon pack — 29 €

Sources officielles

Avertissement — Cet article fournit une information générale et ne constitue pas un conseil juridique.