La déclaration d'applicabilité structure votre démarche de management de l'IA. Elle relie vos contrôles internes aux exigences de l'AI Act. Ce guide vous montre comment l'établir, avec un exemple chiffré pour une PME de 50 salariés.
TL;DR — L'essentiel en 30 secondes
- La déclaration d'applicabilité (SoA) ISO/IEC 42001 recense les mesures de maîtrise applicables à votre système de management de l'IA et justifie leurs inclusions et exclusions.
- L'ISO/IEC 42001:2023 est une norme volontaire : la SoA n'est pas imposée par la loi, mais elle prépare la conformité à l'AI Act.
- Bonne pratique : réviser la SoA au moins une fois par an et à chaque changement significatif.
- Exemple : une PME de 50 salariés du secteur santé identifie 3 processus clés dans sa SoA.
- La SoA aide à repérer les systèmes à haut risque listés à l'Annexe III du Règlement (UE) 2024/1689.
- Sanctions AI Act : jusqu'à 7 % du chiffre d'affaires mondial pour les violations les plus graves (Article 99).
- Références : ISO/IEC 42001:2023 et AI Act, CELEX 32024R1689.
1. Qu'est-ce que la déclaration d'applicabilité ISO 42001 ?
La déclaration d'applicabilité (Statement of Applicability, SoA) est un document central du système de management de l'intelligence artificielle (SMIA) défini par l'ISO/IEC 42001:2023.
Elle recense les mesures de maîtrise de l'Annexe A de la norme. Pour chaque mesure, elle indique si elle s'applique, justifie son inclusion ou son exclusion, et précise son état de mise en œuvre.
La SoA n'est pas un simple inventaire. C'est la trace auditable de vos décisions face aux risques liés à vos systèmes d'IA. Un auditeur de certification s'appuie sur elle pour vérifier la cohérence de votre démarche.
Ne confondez pas la SoA avec le plan de traitement des risques ni avec la politique SMIA. Chaque document a une fonction distincte.
| Document | Rôle principal | Contenu type |
|---|---|---|
| Politique SMIA | Fixe les orientations et engagements de la direction | Objectifs, périmètre, responsabilités générales |
| Déclaration d'applicabilité (SoA) | Recense les mesures de maîtrise applicables | Liste des contrôles, justification inclusion/exclusion, état |
| Plan de traitement des risques | Organise la mise en œuvre concrète | Actions, responsables, échéances, ressources |
L'obligation de produire une SoA concerne les organisations qui déploient l'ISO/IEC 42001. Elle conditionne l'obtention et le maintien de la certification. Pour les définitions des termes techniques (SMIA, mesure de maîtrise, périmètre), consultez notre glossaire.
2. Pourquoi est-elle cruciale pour les PME françaises ?
L'ISO/IEC 42001 reste une norme volontaire. Aucune loi française ni européenne n'impose sa certification. La SoA n'est donc pas une obligation légale en soi.
Elle constitue pourtant un levier stratégique. Elle aide les PME à cartographier leurs usages de l'IA et à documenter leurs mesures de sécurité. Cette cartographie facilite ensuite l'identification des systèmes à haut risque au sens de l'AI Act.
La CNIL recommande une gouvernance documentée de l'IA pour renforcer la conformité au RGPD. La SoA sert cet objectif d'accountability. Elle prouve que vous avez évalué vos risques et choisi des mesures adaptées.
Trois bénéfices concrets pour une PME :
- Anticiper les exigences de l'AI Act sur les systèmes à haut risque.
- Documenter la conformité croisée AI Act et RGPD-IA.
- Renforcer la sécurité réelle de vos systèmes d'IA internes.
Pour situer ces enjeux dans le cadre général applicable aux PME, consultez notre article pilier AI Act pour les PME françaises.
Structurez votre conformité IA sans repartir de zéro
Notre pack documentaire regulia inclut un modèle de déclaration d'applicabilité ISO 42001 adapté aux PME de 10 à 250 salariés, aligné sur l'AI Act.
Découvrir le pack complet3. Méthodologie pour établir la SoA
Une SoA utile suit une méthode reproductible. Voici trois étapes adaptées aux ressources d'une PME.
Étape 1 — Identifier les processus et systèmes concernés. Recensez les activités qui reposent sur l'IA : développement, déploiement, maintenance, gestion des données. Chaque système d'IA doit être rattaché à un processus.
Étape 2 — Déterminer le périmètre. Précisez ce que couvre votre SMIA. Excluez explicitement ce qui n'entre pas dans le périmètre, et justifiez cette exclusion. Un périmètre flou fragilise l'audit.
Étape 3 — Documenter chaque mesure de maîtrise. Pour chaque contrôle de l'Annexe A, indiquez son applicabilité, sa justification et son état de mise en œuvre.
| Étape | Objectif | Livrable |
|---|---|---|
| 1. Identifier | Cartographier processus et systèmes d'IA | Registre des systèmes d'IA |
| 2. Délimiter | Fixer le périmètre du SMIA | Note de périmètre justifiée |
| 3. Documenter | Statuer sur chaque mesure de maîtrise | Tableau SoA renseigné |
Gardez une règle simple. Toute inclusion et toute exclusion doit porter une justification écrite. Sans justification, la mesure devient invérifiable.
4. Exemple concret : PME française de 50 salariés
Prenons un exemple fictif à visée pédagogique. Une PME de 50 salariés développe un logiciel d'aide à la décision pour des établissements de santé.
Elle traite des données de patients. Ces données sont sensibles au sens du RGPD. Le contexte impose une vigilance renforcée sur la sécurité et la traçabilité.
Après analyse, l'équipe conformité retient trois processus clés dans sa SoA. Le document final tient en cinq pages.
| Processus | Risque principal | Mesure de maîtrise retenue |
|---|---|---|
| Développement du logiciel d'IA | Biais et défauts de qualité des données | Revue de données et tests documentés avant mise en production |
| Gestion des données patients | Accès non autorisé, atteinte à la confidentialité | Contrôle d'accès, journalisation, minimisation des données |
| Maintenance des systèmes d'IA | Dérive du modèle après déploiement | Surveillance des performances et procédure de mise à jour |
Cette SoA de cinq pages devient la colonne vertébrale de la démarche. Elle relie chaque risque à une mesure et à un responsable. Elle prépare aussi l'analyse de classification AI Act décrite à la section suivante.
5. Liens avec l'AI Act européen
La SoA n'est pas un document AI Act. Mais le travail de cartographie qu'elle exige aide à identifier les systèmes à haut risque listés à l'Annexe III du Règlement (UE) 2024/1689.
L'AI Act impose des obligations de transparence. L'Article 50 du Règlement (UE) 2024/1689 oblige à informer les personnes qui interagissent avec un système d'IA. Il impose aussi l'étiquetage des contenus générés ou manipulés par l'IA.
L'Art. 50 est en vigueur depuis le 2 août 2026 pour la transparence des déployeurs. Le volet technique d'étiquetage des deepfakes (watermarking) s'applique à compter du 2 décembre 2026.
En cas de non-conformité, les sanctions sont lourdes. L'Article 99 du Règlement (UE) 2024/1689 prévoit des plafonds allant jusqu'à 7 % du chiffre d'affaires mondial pour les violations les plus graves.
| Dispositif AI Act | Ce qu'il exige | Apport de la SoA |
|---|---|---|
| Annexe III | Classer les systèmes à haut risque | Facilite le recensement des systèmes concernés |
| Art. 50 (transparence) | Informer les utilisateurs, étiqueter les contenus | Documente les mesures d'information mises en place |
| Art. 99 (sanctions) | Plafonds 7 % / 3 % / 1,5 % du CA mondial | Preuve d'une démarche de maîtrise des risques |
Le plafond de 7 % vise les infractions aux pratiques interdites de l'Article 5 du Règlement (UE) 2024/1689. Attention : le plafond de 4 % appartient au RGPD, jamais à l'AI Act. Pour le détail des amendes, consultez notre article dédié aux sanctions AI Act pour les PME.
6. Conformité avec le calendrier réglementaire
L'AI Act s'applique par étapes. Le Digital Omnibus du 7 mai 2026 a reporté certaines échéances. Le tableau ci-dessous reprend le calendrier en vigueur.
| Dispositif | Échéance | Statut |
|---|---|---|
| Art. 5 — pratiques interdites | 2 février 2025 | En vigueur |
| GPAI (Art. 51 à 56) | 2 août 2025 | En vigueur |
| Art. 50 — transparence déployeur | 2 août 2026 | En vigueur |
| Art. 50 — watermarking technique | 2 décembre 2026 | À appliquer |
| Annexe III — systèmes à haut risque | 2 décembre 2027 | À appliquer |
| Annexe I — machines et produits réglementés | 2 août 2028 | À appliquer |
Retenez trois points pour votre planification. Les obligations sur les systèmes à haut risque (Annexe III) s'appliquent au 2 décembre 2027. La transparence de l'Art. 50 est déjà en vigueur. Les règles GPAI s'appliquent depuis le 2 août 2025.
Une SoA à jour vous aide à suivre ce calendrier. Elle relie chaque échéance aux mesures que vous avez déjà documentées.
Alignez votre SoA sur le calendrier AI Act
regulia fournit des modèles documentaires actualisés après le Digital Omnibus, prêts à adapter pour votre PME et validés par des juristes.
Recevoir les modèles à jour7. Outils et ressources pour les PME
Vous n'avez pas besoin de tout construire seul. Plusieurs ressources officielles encadrent la démarche.
| Ressource | Usage | Accès |
|---|---|---|
| ISO/IEC 42001:2023 | Texte de la norme et Annexe A des contrôles | Site officiel de l'ISO |
| Fiches pratiques IA de la CNIL | Sécurité et conformité RGPD-IA | cnil.fr |
| AI Act Service Desk | Questions sur l'application de l'AI Act | ai-act-service-desk.ec.europa.eu |
Commencez par la norme pour la liste des mesures de maîtrise. Complétez avec les fiches de la CNIL pour la protection des données. Utilisez le service desk de la Commission pour les questions de classification.
Vous trouverez l'ensemble des textes officiels référencés dans notre page sources, régulièrement mise à jour.
8. Conclusion et recommandations
La déclaration d'applicabilité transforme une intention de conformité en démarche vérifiable. Elle relie vos risques, vos mesures et vos responsables dans un document unique.
Trois recommandations pour une PME :
- Traitez en priorité les systèmes susceptibles d'entrer dans l'Annexe III.
- Révisez la SoA au moins une fois par an et à chaque changement significatif.
- Faites valider votre démarche par un expert en conformité AI Act ou votre DPO.
La SoA reste un investissement raisonnable. Elle vous prépare aux échéances de l'AI Act tout en renforçant la sécurité réelle de vos systèmes. Pour replacer cette démarche dans le cadre complet applicable aux PME, revenez à notre guide AI Act pour les PME françaises.
FAQ
Quelle est la fréquence de mise à jour de la SoA ?
Réviser la SoA au moins une fois par an constitue une bonne pratique. Une mise à jour s'impose aussi à chaque changement significatif de l'organisation ou des processus. Pour les systèmes à enjeux élevés, une vérification semestrielle est prudente.
La SoA est-elle obligatoire pour toutes les entreprises ?
Non. L'ISO/IEC 42001 est une norme volontaire. Elle reste fortement recommandée pour les PME qui utilisent des systèmes d'IA, notamment pour préparer l'AI Act. La CNIL encourage une gouvernance documentée de l'IA pour renforcer la conformité au RGPD.
Comment identifier les processus pertinents pour la SoA ?
Partez des processus qui impliquent des systèmes d'IA ou qui influent sur leur sécurité. Exemples fréquents : développement de logiciels d'IA, gestion de données sensibles, maintenance des modèles et déploiement d'outils prédictifs.
Doit-on publier la SoA publiquement ?
Non. La SoA est un document interne. L'AI Act impose en revanche des obligations de transparence distinctes au titre de l'Art. 50, comme l'information des utilisateurs et l'étiquetage des contenus générés par l'IA.
Où trouver des modèles de SoA pour PME ?
Le site de l'ISO fournit la norme et sa liste de mesures de maîtrise. Des consultants en conformité AI Act proposent des modèles opérationnels. Pour un cas chiffré proche du terrain, consultez notre article sur les sanctions AI Act pour les PME.
Sources officielles
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle : https://www.iso.org/standard/79451.html
- AI Act Service Desk — Commission européenne : https://ai-act-service-desk.ec.europa.eu/
- Règlement (UE) 2024/1689 (AI Act), CELEX 32024R1689 — EUR-Lex : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.