Un AIMS (AI Management System, système de management de l'IA) est le système qu'une organisation met en place pour gouverner ses systèmes d'IA selon la norme ISO/IEC 42001:2023 : politique IA, appréciation et traitement des risques, évaluation d'impact des systèmes d'IA, contrôles de l'Annexe A (38 contrôles) et amélioration continue. La norme est volontaire et certifiable ; elle n'est pas une norme harmonisée de l'AI Act et ne donne aucune présomption de conformité. Elle aide toutefois une PME à structurer sa gouvernance et sa preuve.
L'essentiel en 30 secondes
- L'AIMS est un système de management de l'intelligence artificielle défini par la norme ISO/IEC 42001:2023 (clauses 4 à 10, Annexe A de 38 contrôles en 9 objectifs).
- Il structure la gouvernance, la gestion des risques et l'évaluation d'impact des systèmes d'IA déployés dans l'organisation.
- La norme est volontaire : aucune présomption de conformité à l'AI Act. Elle peut aider à structurer des exigences comme l'Art. 9 (gestion des risques) ou l'Art. 17 (système de gestion de la qualité du fournisseur d'un système à haut risque).
- La durée de mise en place dépend du nombre de cas d'usage IA et de la maturité de départ de l'organisation.
- Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux.
- L'AIMS s'articule avec le RGPD, ISO/IEC 27001:2022 et ISO/IEC 23894:2023 pour former une chaîne de conformité cohérente.
1. Définition de l'AIMS selon ISO 42001
L'AIMS est un système de management spécifiquement dédié à l'intelligence artificielle. La norme ISO/IEC 42001:2023, publiée en décembre 2023, en fixe les exigences. Elle suit la structure HLS (High Level Structure) commune aux normes ISO de management, ce qui facilite son intégration avec ISO 9001 (qualité), ISO/IEC 27001:2022 (sécurité de l'information) ou ISO 14001 (environnement).
Selon la norme, un système de management est un ensemble d'éléments organisationnels interdépendants qui établissent des politiques, des objectifs et les processus pour les atteindre. Pour l'IA, ces éléments portent sur le développement, la fourniture ou l'utilisation responsables des systèmes d'IA. L'objectif n'est pas seulement la conformité réglementaire. Il vise aussi la maîtrise des risques éthiques, opérationnels et techniques propres à l'IA : biais, dérive de modèle, hallucinations, opacité décisionnelle.
L'AIMS peut se lire à travers six thèmes (grille de lecture de cet article, rattachée aux clauses de la norme) :
| Thème | Objet | Référence ISO/IEC 42001 |
|---|---|---|
| Gouvernance | Contexte, parties intéressées, rôles, responsabilités, politique IA | Clauses 4 et 5 (5.2 : politique IA) ; Annexe A.2 et A.3 |
| Gestion des risques | Identification, évaluation, traitement | Clauses 6.1.2 et 6.1.3 (planification), 8.2 et 8.3 (mise en œuvre) |
| Évaluation d'impact (AISIA) | Impact des systèmes d'IA sur les personnes et la société | Clauses 6.1.4 et 8.4 ; Annexe A.5 |
| Données | Qualité, gouvernance, traçabilité | Annexe A.7 |
| Performance | Mesure, audit interne, revue de direction | Clause 9 |
| Amélioration | Non-conformités, actions correctives, amélioration continue | Clause 10 |
ISO/IEC 42001 n'est pas une norme harmonisée au titre de l'AI Act. L'Article 17, qui impose au fournisseur d'un système à haut risque un « système de gestion de la qualité », reste une exigence propre du règlement : un AIMS peut aider à la structurer, sans valoir présomption de conformité. Voir l'article ISO 42001 et AI Act : quelles différences ?.
Pour une vision plus large des obligations applicables, voir le guide AI Act pour les PME françaises et la page sur l'ISO 42001 et la gouvernance de l'IA en PME.
2. Le contexte réglementaire : EU AI Act et RGPD
Le règlement (UE) 2024/1689 du 13 juin 2024 établit des règles harmonisées pour l'intelligence artificielle dans l'Union européenne. Il est entré en vigueur le 1er août 2024, avec une application échelonnée jusqu'au 2 août 2028. Il a été modifié par le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur depuis le 27 juillet 2026 : la transparence (Article 50) s'applique depuis le 2 août 2026 et les obligations de haut risque de l'Annexe III à partir du 2 décembre 2027. Voir le calendrier de l'AI Act.
L'Article 17 impose aux fournisseurs de systèmes d'IA à haut risque la mise en place d'un système de gestion de la qualité documenté. L'Article 9 exige un système de gestion des risques tout au long du cycle de vie. L'Article 10 encadre la gouvernance des données d'entraînement, de validation et de test. Un AIMS peut aider à structurer ces trois exigences, sans valoir conformité.
Le RGPD reste applicable en parallèle. La CNIL a publié 13 fiches pratiques sur le développement de systèmes d'IA, accessibles sur cnil.fr. Ces fiches couvrent la base légale, la minimisation des données, l'information des personnes et l'analyse d'impact (AIPD). Un AIMS bien conçu intègre ces exigences dans ses processus de gouvernance des données.
| Texte | Champ | Sanction maximale |
|---|---|---|
| Règlement (UE) 2024/1689 — Art. 99 | Pratiques interdites (Art. 5) | 35 M€ ou 7 % du CA mondial |
| Règlement (UE) 2024/1689 — Art. 99 | Obligations des opérateurs et transparence (Art. 50) | 15 M€ ou 3 % du CA mondial |
| Règlement (UE) 2024/1689 — Art. 99 | Informations inexactes, incomplètes ou trompeuses aux autorités | 7,5 M€ ou 1 % du CA mondial |
| RGPD — Art. 83 | Manquement aux principes | 20 M€ ou 4 % du CA mondial |
Le détail des sanctions et un calculateur dédié figurent sur la page sanctions de l'AI Act pour les PME. Pour une PME, le montant le plus bas des deux plafonds s'applique (Art. 99(6)).
3. Les avantages de l'AIMS pour les PME
Pour une PME, l'AIMS représente un investissement structurant. Au-delà de la conformité, il apporte trois bénéfices opérationnels attendus.
Premier bénéfice : la traçabilité documentaire. En cas de contrôle, un AIMS tenu à jour fournit des éléments de preuve organisés : politiques, registres, évaluations, audits internes. Il ne remplace pas la documentation technique de l'Annexe IV, exigée des fournisseurs de systèmes à haut risque. Cette traçabilité évite la reconstruction documentaire en urgence.
Deuxième bénéfice : la réduction des risques opérationnels. L'AIMS demande une appréciation des risques par système d'IA, un plan de traitement et une évaluation d'impact. Cette discipline réduit la probabilité d'incidents : décisions biaisées, fuite de données via un LLM tiers, dépendance non maîtrisée à un fournisseur cloud.
Troisième bénéfice : la valeur commerciale. Une certification ISO/IEC 42001 peut servir d'argument dans une réponse à appel d'offres ou un audit de fournisseur. L'effet dépend du marché et de la demande des clients.
| Bénéfice | Indicateur de mesure possible |
|---|---|
| Traçabilité | Délai de production du dossier de preuves |
| Réduction des risques | Nombre d'incidents IA déclarés |
| Valeur commerciale | Réponses à des questionnaires ou appels d'offres avec clause IA |
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Les composants clés d'un AIMS
Un AIMS conforme à ISO/IEC 42001:2023 repose sur des composants normalisés. La norme distingue les exigences obligatoires (clauses 4 à 10) des contrôles de référence (Annexe A, 38 contrôles) et des guides de mise en œuvre (Annexe B). Voir l'article ISO 42001 : les 38 contrôles de l'Annexe A.
Politique IA et objectifs stratégiques. Document signé par la direction qui fixe la position de l'organisation sur l'usage de l'IA (clause 5.2). Il décrit les principes retenus, les usages autorisés, les usages interdits et les objectifs mesurables. La politique IA s'aligne sur la stratégie générale de l'entreprise. Voir le modèle de politique IA.
Plan de gestion des risques IA. Méthodologie d'identification, d'analyse et de traitement des risques. Le standard ISO/IEC 23894:2023, qui complète ISO 42001, fournit une approche détaillée du risque IA. Les risques couverts incluent les risques humains (sécurité, santé, droits fondamentaux), les risques techniques (robustesse, cybersécurité) et les risques sociétaux (biais, discrimination).
Mesures de contrôle et d'évaluation. L'Annexe A liste 38 contrôles regroupés en neuf objectifs : politiques, organisation interne, ressources, évaluation d'impact, cycle de vie, données, information des parties intéressées, usage, et relations avec les tiers. Chaque contrôle peut être appliqué ou exclu, avec justification documentée dans la déclaration d'applicabilité (Statement of Applicability, SoA) : voir l'article déclaration d'applicabilité ISO 42001.
Évaluation d'impact : AISIA et FRIA. L'AISIA (évaluation d'impact des systèmes d'IA, clauses 6.1.4 et 8.4) est une exigence de la norme, pas une obligation de l'AI Act. L'analyse d'impact prévue par l'AI Act est la FRIA (Art. 27), qui concerne certains déployeurs de systèmes à haut risque : organismes de droit public, entités privées fournissant des services publics, déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé. Voir l'article comment conduire une AISIA.
Processus de surveillance continue. L'AIMS prévoit le suivi, la mesure et l'évaluation de la performance (clause 9) ; il peut nourrir la surveillance après commercialisation de l'Article 72, qui incombe aux fournisseurs de systèmes à haut risque. La surveillance porte sur la performance, la dérive de modèle, les incidents et les retours utilisateurs.
| Composant | Document clé | Fréquence de revue (indicative) |
|---|---|---|
| Politique IA | Politique IA signée par la direction | Annuelle |
| Registre des cas d'usage | Inventaire et classification | Trimestrielle |
| Évaluation d'impact (AISIA) | Rapport par système | À chaque évolution majeure |
| Plan de traitement des risques | Tableau de bord | Mensuelle |
| Surveillance post-déploiement | KPI techniques et métier | Continue |
| Audit interne | Rapport conformité | Annuelle |
Les définitions des termes techniques (AISIA, modèle de fondation, système à haut risque) figurent dans le glossaire.
5. Mise en œuvre de l'AIMS : étapes clés
Le déploiement d'un AIMS dans une PME suit une logique de projet structurée. La durée dépend du nombre de cas d'usage IA et de la maturité organisationnelle : voir l'article sur les délais de certification ISO 42001.
- Audit initial des systèmes d'IA existants. Cette phase recense tous les systèmes d'IA en production ou en projet : LLM SaaS (ChatGPT Enterprise, Copilot), outils RH automatisés, scoring client, détection de fraude. Pour chaque système, on note le fournisseur, le cas d'usage, les données utilisées et la classification AI Act (interdit, haut risque, risque limité, risque minimal).
- Analyse d'écarts (gap analysis). Comparaison entre l'existant et les exigences ISO 42001. La PME identifie les contrôles déjà en place, ceux à renforcer et ceux à créer. Cette étape génère le plan d'action.
- Planification des ressources et des responsabilités. Désignation d'un responsable AIMS (par exemple rattaché au DPO ou au RSSI), constitution d'un comité de pilotage IA, définition d'un budget. Voir l'article sur le comité de gouvernance IA.
- Documentation des politiques et procédures. Rédaction de la politique IA (et de la charte d'usage destinée aux salariés), du registre des cas d'usage, des procédures d'évaluation des risques et des modèles d'AISIA.
- Déploiement progressif des processus. Application des nouveaux processus en commençant par les systèmes à risque le plus élevé. Une approche par vagues évite la surcharge organisationnelle.
- Sensibilisation des collaborateurs. L'Article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel, sans garantir un niveau donné pour chaque personne.
- Audit interne. Vérification de la mise en œuvre effective avant tout audit externe : voir l'article sur l'audit interne d'un AIMS.
- Surveillance et amélioration continue. Application du cycle PDCA (Plan-Do-Check-Act) sur l'ensemble du système.
| Étape | Livrable principal |
|---|---|
| Audit initial | Inventaire des systèmes d'IA |
| Analyse d'écarts | Plan d'action AIMS |
| Documentation | Corpus documentaire |
| Déploiement | Processus opérationnels |
| Sensibilisation | Preuves des mesures prises (Art. 4) |
| Audit interne | Rapport d'écarts |
6. Les outils et ressources disponibles
Plusieurs ressources facilitent le déploiement d'un AIMS sans repartir de zéro.
Ressources normatives officielles. La norme ISO/IEC 42001:2023 est vendue sur le site de l'ISO. Les standards complémentaires utiles incluent ISO/IEC 23894:2023 (gestion des risques IA), ISO/IEC 42005:2025 (évaluation d'impact des systèmes d'IA) et ISO/IEC 27001:2022 (sécurité de l'information).
Ressources réglementaires. La version consolidée du règlement (UE) 2024/1689 est accessible sur EUR-Lex. La Commission européenne publie ses lignes directrices et son service desk : ai-act-service-desk.ec.europa.eu. La CNIL publie 13 fiches pratiques sur cnil.fr/fr/les-fiches-pratiques-ia.
Outils de gestion. Plusieurs éditeurs proposent des plateformes de management IA intégrant les exigences ISO 42001 : modules dédiés dans des GRC (Governance, Risk, Compliance), suites spécialisées IA, ou registres open source. Le choix dépend du volume de cas d'usage et de l'écosystème IT existant.
| Type de ressource | Nom | Usage principal |
|---|---|---|
| Norme | ISO/IEC 42001:2023 | Cadre volontaire et certifiable pour un AIMS |
| Norme | ISO/IEC 23894:2023 | Gestion des risques IA |
| Texte légal | Règlement (UE) 2024/1689 | Obligations légales |
| Guide pratique | CNIL — 13 fiches IA | RGPD appliqué à l'IA |
| Service public UE | AI Act Service Desk | FAQ et clarifications |
La liste complète des références utilisées figure sur la page sources officielles.
7. Trois profils types de PME (illustratifs)
Les profils ci-dessous sont des configurations types, construites à titre d'illustration : ils ne décrivent pas des entreprises réelles et n'annoncent aucun résultat.
PME industrielle de 50 salariés. Activité : sous-traitance mécanique avec maintenance prédictive par IA. Périmètre AIMS : un système de détection d'anomalies sur les machines, deux outils LLM SaaS utilisés par les fonctions support. Points d'attention : la maintenance prédictive n'est pas à haut risque en soi ; les mesures de maîtrise de l'IA (Art. 4), les contrats fournisseurs et la documentation des usages restent à structurer.
PME tertiaire de 150 salariés. Activité : cabinet de conseil RH avec usage d'IA pour le tri de candidatures. Le système relève de l'Annexe III, point 4 a) du règlement (UE) 2024/1689 (recrutement) : ses obligations de haut risque s'appliquent à partir du 2 décembre 2027. Points d'attention : base légale RGPD du traitement, AIPD à envisager, information des candidats, supervision humaine.
PME logistique de 200 employés. Activité : prestataire de transport avec optimisation de tournées par IA et chatbot client. Périmètre AIMS : un système d'optimisation, un chatbot soumis à l'Article 50 (le fournisseur doit concevoir l'outil de façon que les personnes sachent qu'elles échangent avec une IA, sauf si c'est évident). Points d'attention : relation avec les fournisseurs IA tiers et clauses contractuelles (voir l'article sur l'évaluation d'un fournisseur d'IA).
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €8. FAQ : Questions fréquentes sur l'AIMS
Quelle est la différence entre l'AIMS et le système de management de la qualité (QMS) ?
L'AIMS, défini par ISO/IEC 42001:2023, se concentre sur la gouvernance des systèmes d'IA. Le QMS (ISO 9001) couvre l'ensemble des processus de qualité d'une organisation. L'AIMS traite de sujets propres à l'IA : évaluation d'impact, gouvernance des données, transparence, usage responsable, biais. Il est indépendant du règlement et du RGPD, qu'il aide à mettre en œuvre sans les remplacer. Un QMS et un AIMS peuvent coexister et partager la même structure de normes de management.
Combien coûte la mise en place d'un AIMS pour une PME ?
Le coût varie selon la taille de l'entreprise et la complexité du portefeuille IA. Les postes principaux incluent l'audit initial, la documentation, la sensibilisation du personnel et l'éventuel recours à un conseil externe, puis l'audit de certification. Voir l'article sur le coût d'une certification ISO 42001. Ces coûts se comparent au risque d'amende de l'Article 99 et aux opportunités commerciales liées à la conformité démontrée.
Quel est le délai de mise en place d'un AIMS ?
La durée de mise en place d'un AIMS dépend de la complexité des systèmes d'IA existants, du nombre de cas d'usage à couvrir et de la maturité documentaire initiale. Une approche progressive est possible : couvrir d'abord les systèmes les plus sensibles (par exemple ceux de l'Annexe III), puis les autres usages. Voir l'article sur les délais de certification ISO 42001.
Comment l'AIMS aide-t-il à se conformer au EU AI Act ?
L'AIMS fournit un cadre structuré pour documenter et contrôler l'utilisation des systèmes d'IA : politique, gestion des risques, évaluation d'impact, maîtrise des données, surveillance, audit interne. Il ne vaut pas conformité à l'AI Act, car ISO/IEC 42001 n'est pas une norme harmonisée. Ces éléments peuvent alimenter, côté fournisseur d'un système à haut risque, les exigences des Articles 9, 10, 17 et 72. La documentation technique (Annexe IV) et la déclaration UE de conformité (Article 47) restent des livrables propres.
Quelles sont les sanctions en cas de non-conformité sans AIMS ?
L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). L'absence d'AIMS n'est pas sanctionnée en tant que telle, la norme étant volontaire. Elle rend en revanche plus difficile la démonstration des mesures mises en œuvre, que l'Art. 99(7) invite à prendre en compte. Le détail des seuils figure sur la page sanctions AI Act pour les PME.
9. Sources officielles
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Texte de l'AI Act — artificialintelligenceact.eu
- AI Act Service Desk de la Commission européenne — ai-act-service-desk.ec.europa.eu
- Commission nationale de l'informatique et des libertés — fiches pratiques IA sur cnil.fr
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
- ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
- ISO/IEC 27001:2022 — Information security management systems
- ISO/IEC 42005:2025 — AI system impact assessment
Avertissement juridique Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.