ISO/IEC 42001:2023 — Information technology - Artificial intelligence - Management system
Articles structurants documentés dans la cartographie ACF.
Identifier les enjeux internes / externes, les besoins et attentes des parties intéressées, le périmètre du SMSIA et son interaction avec d'autres systèmes de management (ISMS, QMS, PIMS).
Engagement de la direction, politique IA, attribution des rôles, responsabilités et autorités pour le SMSIA.
Actions face aux risques et opportunités, évaluation des risques IA (6.1.2), traitement des risques IA (6.1.3), évaluation d'impact des systèmes IA / AIIA (6.1.4), objectifs IA et planification du changement.
Ressources, compétences, sensibilisation, communication, information documentée. Toutes les fonctions nécessaires au SMSIA doivent être supportées.
Planification et contrôle opérationnels, AI risk assessment et AI system impact assessment réalisés lors de l'opération, mise en œuvre des contrôles Annexe A.
Surveillance, mesure, analyse et évaluation. Audit interne et revue de direction du SMSIA.
Amélioration continue, traitement des non-conformités, actions correctives.
39 contrôles de référence : politiques IA (A.2), structure organisationnelle (A.3), ressources (A.4), évaluation impact (A.5), cycle de vie système IA (A.6), données (A.7), information aux parties intéressées (A.8), usage des systèmes IA (A.9), tiers et parties prenantes (A.10).
Guidance d'implémentation pour chaque contrôle Annexe A : objectif, mise en œuvre, exemples. Notamment B.5.4 (AI system impact assessment) et B.6 (cycle de vie).
Annexe C : liste indicative d'objectifs IA (équité, transparence, santé / sécurité, contestabilité, robustesse, fiabilité, etc.) et de sources de risque. Annexe D : guidance d'intégration du SMSIA avec d'autres référentiels sectoriels (santé, finance, etc.).
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Établir une politique IA documentée approuvée par la direction (5.2)
Définir et attribuer les rôles, responsabilités et autorités SMSIA (5.3)
Mettre en place un processus d'AI risk assessment (6.1.2)
Établir un AI risk treatment plan référençant les contrôles Annexe A (6.1.3)
Produire une Statement of Applicability listant les contrôles Annexe A retenus / exclus
Conduire un AI System Impact Assessment (AIIA) pour chaque système IA pertinent (6.1.4, annexe B contrôle A.5.5)
Documenter le cycle de vie IA et les processus de développement / acquisition (Annexe A.6)
Encadrer les données IA (qualité, gouvernance, provenance) (Annexe A.7)
Informer les parties intéressées (transparency, information utilisateurs) (Annexe A.8)
Conduire audits internes (9.2) et revues de direction (9.3) du SMSIA
Mettre en œuvre amélioration continue et actions correctives (10.1, 10.2)
Standard ISO volontaire - pas de sanctions légales
Conséquences en cas de non-conformité identifiée lors d'un audit de certification
ISO/IEC 42001 est appelé à devenir la norme harmonisée européenne de référence pour l'AI Act. Articulation pratique : (1) un SMSIA conforme 42001 implémente directement les exigences AI Act art. 9 (risk management), art. 10 (data governance), art. 17 (quality management system), art. 14 (human oversight) ; (2) la clause 6.1.4 et l'AIIA recouvrent largement la FRIA AI Act art. 27 (avec des différences : la FRIA est obligatoire pour déployeurs publics et certains haut-risque, l'AIIA est plus large) ; (3) une certification 42001 crée une présomption favorable lors d'un audit de conformité art. 40-43, sans dispenser des obligations spécifiques AI Act ; (4) ISO/IEC 42005 (AI System Impact Assessment, en cours) viendra compléter 42001 pour la partie impact.