ISO/IEC 42001 (IA) : à quoi sert la norme et comment une PME lyonnaise s’en inspire

Pourquoi ISO 42001 arrive sur la table des PME à Lyon, maintenant

À Lyon, l’IA est déjà partout. Pas forcément dans “un produit IA”. Plutôt dans des outils du quotidien: copilotes bureautiques, génération de contenus, tri de mails, analyse de tickets support, scoring de leads, assistants internes, automatisations avec LLM, et maintenant des agents qui agissent dans tes systèmes.

Et c’est là que ça coince. Beaucoup d’entreprises veulent “mettre des garde-fous”, mais finissent soit à ne rien faire, soit à empiler des règles inutilisables. Entre les deux, il y a une approche simple: traiter l’IA comme un sujet de management. Pas comme une expérimentation de plus.

ISO/IEC 42001:2023 (souvent raccourcie en ISO 42001 IA) n’est pas un guide de prompts. C’est une norme de système de management de l’IA. Une manière structurée d’organiser la gouvernance intelligence artificielle, les risques, les preuves, et l’amélioration continue, même si tu ne vises pas la certification.

ISO/IEC 42001:2023, factuellement: ce que c’est, et ce que ce n’est pas

ISO/IEC 42001:2023 est une norme internationale décrivant comment établir, mettre en œuvre, maintenir et améliorer en continu un “AI Management System” (AIMS) dans une organisation. Source ISO: committee.iso.org.

Elle cible les organisations qui fournissent ou utilisent des produits ou services basés sur des systèmes d’IA. C’est large, et ça inclut une PME lyonnaise qui utilise des API de modèles, un assistant interne en RAG, ou des automatisations augmentées par IA. Source AFNOR (fiche norme): boutique.afnor.org.

ISO 42001 reprend la structure classique des normes “management system” (clauses 4 à 10): contexte, leadership, planification, support, opérations, évaluation des performances, amélioration. Avec des exigences de gouvernance, gestion des risques, documentation et preuves, audits, amélioration continue. Source synthèse (UNIDO): unido.org.

Ce que la norme ne fait pas

• Elle ne certifie pas “ton modèle”. Elle encadre ton organisation et tes pratiques.
• Elle ne remplace pas le droit (RGPD, AI Act). Elle aide à tenir une conformité avec des preuves.
• Elle ne donne pas une recette technique unique. Elle impose un cadre, à toi de le remplir.

Le cas médiatisé qui clarifie tout: KPMG Australia certifiée ISO 42001

Un exemple souvent cité: KPMG Australia a été annoncée comme première organisation à obtenir une certification ISO/IEC 42001 via BSI, le 16 octobre 2024. Source: bsigroup.com.

Tu peux ne rien avoir à faire avec KPMG. L’intérêt est ailleurs: ce cas a rendu visible un point que beaucoup ratent. ISO 42001 porte sur le système de management (AIMS). Donc sur les décisions, les responsabilités, les contrôles, les revues, les incidents, les preuves. Pas sur “un projet IA star”.

Et pour que ce marché de certification existe, il faut une infrastructure de confiance. UKAS (accréditeur britannique) a communiqué sur la première accréditation accordée à BSI pour certifier des AIMS selon ISO/IEC 42001. Source: ukas.com.

Message pour une PME à Lyon: tu n’as pas besoin d’un tampon “certifié” pour appliquer 20% de la norme qui fait 80% du job. Par contre, tu as besoin d’une structure minimale pour ne pas te faire balader par l’urgence, les outils, ou la Shadow AI.

Pourquoi ISO 42001 compte en 2026: le lien direct avec la conformité AI Act en entreprise

Le Règlement IA (AI Act) 2024/1689 est entré en vigueur le 1er août 2024 et devient applicable le 2 août 2026, avec un phasage. Source Commission européenne: digital-strategy.ec.europa.eu.

Pour une PME lyonnaise, la mauvaise idée serait de “sur-faire” trop tôt. La bonne idée: construire un socle de management de l’IA qui te servira pour AI Act, pour tes clients grands comptes, et pour tes audits sécurité.

Le calendrier AI Act à connaître (sans paniquer)

• Depuis le 2 février 2025: obligations sur les pratiques interdites et la littératie IA (AI literacy). Source: digital-strategy.ec.europa.eu.
• 2 août 2025: obligations pour les fournisseurs de modèles d’IA à usage général (GPAI). Et à partir du 2 août 2026, possibilité d’application plus complète (sanctions) pour ces fournisseurs. Source: digital-strategy.ec.europa.eu.
• 2 août 2026: exécution des obligations de transparence, avec un délai pour certains systèmes déjà sur le marché. Source FAQ: ai-act-service-desk.ec.europa.eu.
• 2 décembre 2027: systèmes haut risque (Annexe III). Source: ai-act-service-desk.ec.europa.eu.

Le pont ISO 42001 IA vers AI Act

Pour les systèmes haut risque, l’AI Act demande notamment aux fournisseurs un système de management de la qualité (QMS). ISO 42001 n’est pas “l’équivalent”, mais la logique est cousine: processus, contrôles, preuves, amélioration. Source (AI Act, obligations fournisseur): ai-act-service-desk.ec.europa.eu.

Et côté France, AFNOR positionne la normalisation volontaire comme un complément du cadre réglementaire, avec ISO/IEC 42001 comme norme-cadre certifiable publiée en décembre 2023. Source: afnor.org.

Le cœur d’ISO 42001: gouvernance, risques, preuves, amélioration continue

Si tu devais résumer ISO 42001 IA en une phrase: qui fait quoi, sur quels cas d’usage, avec quels risques, et quelles preuves que tu maîtrises.

1) Gouvernance intelligence artificielle: arrêter le flou

Dans une PME lyonnaise, la gouvernance ne doit pas ressembler à un comité de 12 personnes. Mais il faut des rôles clairs:

• Sponsor (direction): arbitre valeur vs risque, débloque budget, valide les règles du jeu.
• Référent IA (produit, data, DSI ou innovation): anime le registre des cas, impose la méthode, organise les revues.
• RSSI (ou responsable IT sécurité): données, accès, journalisation, incidents, fournisseurs.
• DPO si données personnelles: base légale, minimisation, conservation, droits.
• Métiers: responsables du résultat et des impacts opérationnels.

Si tu veux une version “terrain” de qui décide quoi à petite échelle, tu peux t’appuyer sur cet article: https://lyon-ia.com/blog/gouvernance-ia-entreprise.

2) Management de l’IA par les risques: avant, pendant, après

ISO 42001 pousse une approche structurée: identifier les risques, les évaluer, les traiter, puis vérifier dans la durée. Concrètement, pour une PME:

• Avant: analyse du cas d’usage (données, utilisateurs, impacts), choix du fournisseur, jeu de tests, critères d’acceptation.
• Pendant: contrôle des accès, supervision, journalisation, gestion des changements.
• Après: incidents, retours utilisateurs, dérives, revue périodique, décision de continuer ou arrêter.

3) Preuves: le nerf de la guerre (et le point faible classique)

Dans la norme, tu verras le concept de “documented information”. En clair: si tu ne peux pas le prouver, ça n’existe pas.

Pour une PME, “des preuves” ne veut pas dire “une GED infernale”. Ça veut dire:

• un registre des cas d’usage et de leurs décisions,
• des traces de tests (même simples),
• des logs d’usage (au moins sur les cas sensibles),
• une liste de fournisseurs et leurs engagements,
• un historique des incidents et corrections.

Si tu veux cadrer la traçabilité sans usine à gaz: https://lyon-ia.com/blog/tracabilite-decisions-ia.

4) Amélioration continue: faire mieux chaque mois, pas tout d’un coup

ISO 42001 est une norme “système”. Donc elle attend une boucle: objectifs, suivi, audits internes, actions correctives. Pour une PME, le format réaliste est simple: une revue mensuelle de 45 minutes sur les cas d’usage actifs, avec décisions et actions.

Transposer ISO 42001 IA sans viser la certification: le kit pragmatique PME/ETI

Objectif: un niveau 1 qui couvre l’essentiel pour la gouvernance, la sécurité, et la conformité AI Act en entreprise, sans se raconter d’histoires.

1) Une politique d’usage IA (1 page) + une charte équipes (2 pages)

Ta politique fixe le cadre. Ta charte dit comment les gens bossent au quotidien. Ne mélange pas tout.

• Politique IA: périmètre, objectifs, rôles, types d’usages autorisés/interdits, exigences de preuves, règles fournisseurs.
• Charte d’usage: ce que les équipes peuvent envoyer ou non dans une IA, comment vérifier, comment signaler un incident, comment gérer les données.

Base utile côté charte: https://lyon-ia.com/blog/charte-usage-ia-entreprise.

2) Un registre des cas d’usage (le vrai début du management de l’IA)

Tu veux piloter? Tu listes. Un registre, c’est ton tableau de bord. Tu n’as pas besoin de 40 champs. Tu as besoin des bons.

• Nom du cas, sponsor métier, propriétaire run.
• Type: assistance, génération, classification, agent qui agit.
• Données: sensibles? personnelles? secrets d’affaires? oui/non + où elles passent.
• Fournisseur: outil, modèle, hébergeur, sous-traitants.
• Risques principaux: erreurs, hallucinations, biais, fuite, conformité, réputation.
• Contrôles: validation humaine, limites, filtrage, red teaming simple, monitoring.
• Preuves: lien vers tests, logs, décision go/no-go.
• Statut: test, pilote, prod, arrêté.

Si tu veux un modèle prêt à copier pour documenter, cet article est pile dans le sujet: https://lyon-ia.com/blog/ai-act-documenter-vos-usages-dia-en-entreprise-registre-pret-a-copier-exemple-pme-lyon.

3) Gestion fournisseurs: tu n’achètes pas un “outil IA”, tu achètes un risque

ISO 42001 pousse à maîtriser les fournisseurs. Pour une PME, la version réaliste:

• Cartographier les outils IA utilisés (y compris Shadow AI quand c’est possible).
• Classer: faible risque (résumés internes), moyen (emails clients), élevé (décisions, RH, finance, santé, juridique).
• Exiger: politique de données (réutilisation pour entraînement, conservation), localisation, sous-traitants, modalités d’audit, sécurité, incident response.

Pour la lecture contractuelle, garde cet article sous le coude: https://lyon-ia.com/blog/contrat-fournisseur-ia-clauses.

4) Journalisation: logs minimum viables (sinon tu voles à l’aveugle)

Sans logs, tu ne sais pas qui a fait quoi, avec quel prompt, sur quelles données, ni pourquoi ça a dérapé. Pour un niveau 1:

• Pour chaque cas “moyen ou élevé”: conserver les métadonnées (utilisateur, date, outil, type d’action, succès/échec).
• Conserver le contenu (prompts, sorties) seulement si justifié, et avec une politique de conservation claire.
• Tracer les actions d’un agent (création de ticket, envoi d’email, modification CRM) comme des actions applicatives normales.

Si tu veux une approche orientée risques sur les agents et leurs traces: https://lyon-ia.com/blog/agents-ia-en-production-garde-fous.

5) Critères de sortie: décider d’arrêter fait partie du management

Les PME gardent des usages IA “bof” trop longtemps parce que personne n’a défini la sortie. ISO 42001, dans l’esprit, te pousse à piloter par objectifs et performance. Traduction simple: tu fixes à l’avance des critères d’arrêt.

• Le gain n’est pas mesuré ou pas au rendez-vous après X semaines.
• Le taux d’erreur dépasse un seuil (ou le coût de validation humaine annule le ROI).
• Un incident sécurité ou data arrive et les contrôles ne suffisent pas.
• Le fournisseur change ses conditions (données, prix, SLA) et le risque devient inacceptable.

Pour mesurer sans se mentir, utile: https://lyon-ia.com/blog/mesurer-gain-reel-usage-ia.

Plan 30 jours “niveau 1” inspiré d’ISO 42001 IA (sans certification)

But: sortir du flou et obtenir un socle qui tient face à un client exigeant, un audit interne, ou un sujet AI Act. Tu peux le faire avec une petite équipe et un pilotage serré.

Semaine 1: cadrage et responsabilités

• Nommer un sponsor et un référent IA.
• Définir le périmètre: quels services, quels outils, quels usages.
• Écrire une politique IA (1 page) et valider en direction.
• Lancer une première action de littératie IA (AI literacy): 45 minutes, règles de base, risques, qui alerter. Rappel: c’est déjà dans le radar AI Act depuis février 2025.

Semaine 2: registre des cas d’usage et classification risque

• Inventorier tous les usages IA connus (y compris “officieux”).
• Créer le registre (tableur suffit) et remplir 10 à 30 lignes.
• Classer chaque cas: faible, moyen, élevé.
• Décider: quels cas passent en “autorisé”, “autorisé sous conditions”, “interdit pour l’instant”.

Semaine 3: fournisseurs, données, conservation

• Pour les cas moyen/élevé: vérifier les conditions data (réutilisation, conservation, opt-out), sous-traitants, localisation.
• Écrire une politique de conservation spécifique aux outils IA (durées, finalités, accès, suppression).
• Mettre à jour 2 ou 3 contrats ou annexes si besoin (au minimum: clauses data et sécurité).

À garder sous la main: https://lyon-ia.com/blog/politique-conservation-donnees-ia.

Semaine 4: preuves, logs, critères go/no-go et première revue

• Définir le log minimum viable par cas moyen/élevé.
• Créer un dossier “preuves” par cas (tests, décisions, incidents).
• Poser des critères de sortie (arrêt) et des critères d’acceptation (mise en prod).
• Faire une revue de management IA (45 minutes): décisions, actions, priorités du mois suivant.

Ce que tu gagnes, même sans certification ISO 42001 IA

• Moins de Shadow AI, parce que tu proposes un cadre utilisable.
• Des décisions plus rapides: le registre rend visible ce qui existe vraiment.
• Des preuves quand un client, un assureur ou un audit demande “comment vous maîtrisez l’IA”.
• Un alignement naturel avec la conformité AI Act en entreprise, sans te transformer en service juridique.

Trois erreurs classiques des PME, et comment les éviter

Erreur 1: écrire une charte “interdiction générale”

Résultat: les équipes contournent. Fais l’inverse: autorise des usages à faible risque, encadre les autres, interdis seulement ce que tu ne peux pas maîtriser.

Erreur 2: traiter l’IA comme un achat outil

Tu dois traiter ça comme un changement de process. Donc formation minimum, validation, suivi, et revue.

Erreur 3: ne pas mesurer et ne pas arrêter

Si tu ne mesures pas, tu ne sais pas si tu dois industrialiser. Si tu n’arrêtes pas, tu accumules des dettes: sécurité, coûts, réputation, qualité.

Actions à lancer dès cette semaine (checklist courte)

• 1 décision: qui est sponsor IA, qui est référent IA.
• 1 document: politique IA (1 page).
• 1 outil: registre des cas d’usage (tableur, partagé, à jour).
• 1 règle: classification risque (faible, moyen, élevé) avec exigences associées.
• 1 preuve: pour chaque cas “moyen ou élevé”, un dossier avec décision go/no-go + test simple.
• 1 rituel: revue mensuelle IA (45 minutes, décisions écrites).

Si tu veux recoller ça au contexte réglementaire et au calendrier, tu peux aussi t’appuyer sur ce point de repère publié sur Lyon IA: https://lyon-ia.com/blog/ai-act-a-lyon-ce-qui-sapplique-deja-et-ton-plan-30-jours-usages-contrats-preuves.

ISO 42001 IA n’est pas “un truc de grands groupes”. C’est une logique de management. Et à Lyon comme ailleurs, c’est exactement ce qui manque quand l’IA passe du test Slack à l’usage client, du résumé interne à l’agent qui agit. Fais simple, mais fais traçable. C’est ça, le niveau 1 qui tient.