Vos clients vous interrogent sur vos modèles, vos données et vos garde-fous. ISO/IEC 42001 encadre la gouvernance de vos systèmes d’IA dans un système de management certifiable. Nous le bâtissons avec vos équipes produit et données, jusqu’au certificat.
À jour au
Que vous entraîniez vos propres modèles ou que vous intégriez ceux d’un fournisseur : la norme vise les deux.
Les questionnaires de sécurité abordent désormais les données d’entraînement, la supervision humaine ou le choix des fournisseurs de modèles.
Agents, fonctionnalités génératives, notation automatique : vos choix de conception engagent vos clients, qui veulent savoir comment vous les encadrez.
C’est notre recommandation : la norme ne vaut pas conformité, mais son système de management structure le travail que le règlement exige et le tient à jour.
Même structure, mêmes réflexes : politiques, audit interne et revue de direction se réutilisent, et les audits peuvent être combinés.
Un système de management de l’intelligence artificielle (SMIA), bâti sur la même structure qu’ISO 27001, avec des exigences propres aux risques de l’IA.
Recenser les systèmes d’IA que vous développez, fournissez ou utilisez, et préciser votre rôle pour chacun : fournisseur, producteur, client ou partenaire.
Évaluer les risques liés à l’IA et les conséquences possibles de vos systèmes sur les personnes et la société : biais, erreurs, opacité, usages détournés.
Politique, organisation, ressources, données, développement, information des utilisateurs, fournisseurs. La déclaration d’applicabilité justifie vos choix.
Surveillance des systèmes, audit interne, revue de direction, actions correctives : le SMIA évolue avec vos modèles et vos usages.
Un workshop hebdomadaire d’une heure réunit les personnes qui conçoivent vos fonctionnalités d’IA. Entre deux workshops, nous restons à vos côtés en asynchrone.
Modèles entraînés, API de fournisseurs, IA dans vos outils internes : nous recensons tout, précisons votre rôle pour chacun et mesurons l’écart avec la norme.
Livrables
Inventaire, périmètre, écarts priorisés
Les analyses de risques et d’impact désignent les mesures de l’annexe A à retenir. Le plan qui en découle suit vos priorités produit, pas l’inverse.
Livrables
Analyses d’impact, plan de traitement
Politique IA, critères de validation avant mise en production, surveillance des modèles, information des utilisateurs : chaque exigence rejoint vos rituels existants.
Livrables
Politique IA, déclaration d’applicabilité
Un auditeur interne extérieur au projet vérifie le SMIA, puis la direction le revoit. Vos équipes défendent ensuite leurs propres décisions devant l’organisme : nous les y préparons.
Livrable
Certificat valable 3 ans avec audit de surveillance annuel
Le prix dépend du nombre de systèmes d’IA, de votre point de départ et de l’existence d’un système de management de la sécurité de l’information (SMSI) ISO 27001, dont une large part se réutilise.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre RSSI ou votre responsable IA pilote. Nous apportons la méthode, rédigeons le corpus documentaire du SMIA et préparons l’audit.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Nous pilotons le SMIA avec vos équipes produit et données, test d’intrusion ou audit technique inclus, sans recrutement de votre côté.
Votre besoin est spécifique
Sur devisaprès un premier échange
ISO 42001 et ISO 27001 en un seul système de management, ou ISO 42001 et AI Act menés de front.
Durée habituelle
6 à 12 mois, moins avec ISO 27001
Frais en sus
Frais de l’organisme de certification en sus. Un audit combiné avec ISO 27001 peut les réduire.
Non. L’AI Act est un règlement européen ; ISO 42001 est une norme volontaire, qui n’est pas une norme harmonisée au sens du règlement : la certification ne crée pas de présomption de conformité. Pour les systèmes à haut risque, la Commission européenne précise même que la norme ne correspond pas au système de gestion de la qualité exigé par le règlement, et a demandé une norme européenne dédiée. Nous recommandons pourtant ISO 42001 à qui relève de l’AI Act : le SMIA organise l’inventaire, la gestion des risques, la documentation et la supervision humaine que le règlement suppose, les tient à jour et rend votre conformité démontrable.
Non, ISO 42001 se certifie seule. Les deux normes partagent la même structure : avec un SMSI en place, la politique, l’audit interne, la revue de direction et une partie des preuves se réutilisent, et un même organisme peut auditer les deux en même temps.
Oui. La norme vise aussi les organisations qui intègrent des modèles développés par d’autres. Votre responsabilité porte sur l’usage que vous en faites : choix du fournisseur, données transmises, supervision des résultats, information de vos utilisateurs. L’annexe A consacre d’ailleurs des mesures aux relations avec les fournisseurs et les clients.
De 6 à 12 mois selon le nombre de systèmes d’IA et votre point de départ. Avec un SMSI ISO 27001 déjà en place, la démarche est plus courte, puisque le socle du système de management existe.
Un organisme de certification indépendant. Depuis 2025, la norme ISO/IEC 42006 fixe les exigences applicables aux organismes qui auditent et certifient les systèmes de management de l’IA. Vérifiez que celui que vous retenez est accrédité pour ISO 42001.
Pas si vos clients vous interrogent déjà sur votre IA : la certification apporte une réponse vérifiable, réutilisable d’un appel d’offres à l’autre. Si personne ne vous la demande et que l’IA reste marginale dans votre produit, une analyse d’écarts suffit pour l’instant. Nous vous le dirons.
Nous recommandons la norme à qui relève du règlement : la loi fixe les obligations, le SMIA organise le travail pour les tenir.
Même structure de système de management : un SMSI existant raccourcit nettement la démarche.
Un logiciel ou un objet connecté intégrant de l’IA peut aussi relever des exigences de cybersécurité du CRA.
Un premier échange gratuit de 30 minutes pour recenser vos usages de l’IA et estimer le chemin jusqu’au certificat. Si une analyse d’écarts suffit pour commencer, nous vous le dirons.