Analyse des écarts ISO 42001 : où en est votre système de management de l'IA ?
L'analyse des écarts ISO 42001 (gap analysis ou autodiagnostic initial) compare ce que l'organisme fait déjà avec ce qu'exige l'ISO/IEC 42001:2023 pour un système de management de l'intelligence artificielle (SMIA). Chaque exigence des articles 4 à 10 et chaque mesure de l'annexe A reçoit un statut (mis en œuvre, partiellement mis en œuvre, non mis en œuvre ou non applicable), avec la preuve actuelle et l'action nécessaire. On obtient un taux d'avancement par article et une liste d'écarts priorisée qui devient le plan du projet. La norme ne l'impose pas, mais c'est le moyen le plus rapide de connaître son point de départ.
L'analyse des écarts est-elle obligatoire pour l'ISO 42001 ?
Non. Aucun article de l'ISO/IEC 42001:2023 ne demande d'analyse des écarts, et l'auditeur de certification ne l'exigera pas comme information documentée. Presque tous les projets commencent pourtant par là : elle dimensionne le travail, permet de prioriser avec méthode et donne à la direction une base de référence pour suivre l'avancement.
Si l'organisme est déjà certifié ISO 27001, le diagnostic montre souvent qu'une bonne partie des articles 4 à 10 (contexte, leadership, informations documentées, audit interne, revue de direction, amélioration) peut être étendue plutôt que créée. Les écarts importants se situent en général dans ce qui est propre à l'IA : évaluation de l'impact des systèmes d'IA (6.1.4 et 8.4), cycle de vie, données et relations avec les tiers.
Ce qui est évalué : 27 exigences et 38 mesures
L'autodiagnostic du kit NexoDocs (AIMS-GAP-01) répartit la norme sur deux onglets. Les titres et résumés sont rédigés par NexoDocs : la norme est citée par numéro d'article et de mesure, jamais recopiée.
| Partie de la norme | Contenu | Lignes du diagnostic |
|---|---|---|
| Article 4 · Contexte | Contexte et rôles vis-à-vis de l'IA, parties intéressées, domaine d'application, système de management | 4 |
| Article 5 · Leadership | Engagement de la direction, politique IA, rôles et autorités | 3 |
| Article 6 · Planification | Risques et opportunités, appréciation et traitement des risques liés à l'IA, évaluation d'impact, objectifs, modifications | 6 |
| Article 7 · Support | Ressources, compétences, sensibilisation, communication, informations documentées | 5 |
| Article 8 · Fonctionnement | Maîtrise opérationnelle et réalisation de l'appréciation des risques, du traitement et de l'évaluation d'impact | 4 |
| Article 9 · Évaluation des performances | Surveillance et mesure, audit interne, revue de direction | 3 |
| Article 10 · Amélioration | Amélioration continue, non-conformités et actions correctives | 2 |
| Annexe A (A.2 à A.10) | Politiques, organisation interne, ressources, évaluation des impacts, cycle de vie, données, informations pour les parties intéressées, utilisation de l'IA et tiers | 38 mesures en 9 groupes |
Le groupe le plus important de l'annexe A est le cycle de vie des systèmes d'IA (A.6, 9 mesures), suivi des ressources (A.4) et des données (A.7), avec 5 mesures chacun. Ce sont aussi les plus longs à traiter quand l'organisme développe ou entraîne ses propres modèles.
Kit ISO 42001 : la documentation de votre système de management de l'IA
30 documents Word · 31 outils Excel · 38 mesures de l'annexe A
Voir le kit ISO 42001 en françaisRéaliser l'analyse des écarts étape par étape
- Fixer un domaine d'application provisoire : quels systèmes d'IA, processus et sites sont concernés. Sans lui, le diagnostic mélange des éléments qui seront exclus ensuite.
- Réunir les personnes qui connaissent la pratique réelle : responsable du SMIA, équipes qui développent ou achètent les systèmes d'IA, données, juridique ou conformité, sécurité de l'information.
- Pour chaque exigence et mesure, choisir l'un des quatre statuts : mis en œuvre, partiellement mis en œuvre, non mis en œuvre ou non applicable.
- Noter la preuve actuelle (document, enregistrement, outil). Sans preuve, le statut n'est pas « mis en œuvre », même si la pratique existe oralement.
- Rédiger l'action nécessaire en une phrase vérifiable et désigner un responsable.
- Consulter le tableau de bord : avancement par article et par groupe de mesures, nombre d'éléments non mis en œuvre et de lignes non évaluées.
- Transformer les écarts en tâches du plan de projet, en commençant par les articles 4 à 6, dont dépend tout le reste.
Comment l'avancement est calculé
Dans le modèle, chaque ligne reçoit un score selon son statut ; le pourcentage d'un article est la moyenne de ses lignes :
| Statut | Score | Quand l'utiliser |
|---|---|---|
| Mis en œuvre | 100 % | C'est fait, documenté quand il le faut, et prouvé |
| Partiellement mis en œuvre | 50 % | Fait en partie, sans document ou sans enregistrements suffisants |
| Non mis en œuvre | 0 % | Pas fait, ou aucune preuve |
| Non applicable | Exclu de la moyenne | Uniquement pour les mesures de l'annexe A exclues avec justification (par exemple, l'organisme ne développe pas de modèles) |
Exemple : si l'article 7 (5 exigences) compte 2 lignes mises en œuvre, 2 partielles et 1 non mise en œuvre, l'avancement est de (100 + 100 + 50 + 50 + 0) / 5 = 60 %. Les articles 4 à 10 n'admettent pas « non applicable » : ils s'imposent à tout organisme qui vise la certification. Les exclusions de l'annexe A sont justifiées ensuite dans la déclaration d'applicabilité.
Que faire des résultats
- Prioriser selon les dépendances, pas selon la facilité : sans contexte (4.1), domaine d'application (4.3) et politique IA (5.2), ni l'appréciation des risques ni l'évaluation d'impact ne tiennent.
- Regrouper les écarts en lots (gouvernance, risques et impacts, cycle de vie et données, fournisseurs, évaluation et amélioration) et les inscrire au plan de projet avec des dates.
- Utiliser le diagnostic comme donnée d'entrée de l'inventaire des systèmes d'IA et de l'appréciation des risques, pas comme substitut.
- Refaire l'autodiagnostic chaque trimestre : le même fichier montre l'avancement à la direction sans rapport supplémentaire.
- Avant l'audit de certification, le confronter à un audit interne (9.2) : un autodiagnostic est souvent optimiste.
Erreurs fréquentes
- Cocher « mis en œuvre » parce que « on le fait », sans preuve.
- Utiliser « non applicable » pour les articles 4 à 10, qui n'admettent aucune exclusion.
- Mener le diagnostic depuis la seule conformité, sans les personnes qui conçoivent ou achètent les systèmes d'IA.
- Confondre l'appréciation des risques liés à l'IA (6.1.2) et l'évaluation de l'impact des systèmes d'IA (6.1.4) : la première regarde l'organisme, la seconde les personnes et groupes concernés.
- Ranger le diagnostic dans un tiroir : sans plan avec responsables et échéances, il ne sert à rien.
Modèle : l'autodiagnostic du kit ISO 42001
Le kit ISO 42001 de NexoDocs comprend l'autodiagnostic des écarts AIMS-GAP-01 en français : un fichier Excel sans macros avec les 27 exigences des articles 4 à 10 et les 38 mesures de l'annexe A préremplies avec nos propres résumés, une liste de statuts en couleur, le calcul automatique du score et un tableau de bord par article et par groupe de mesures. Il est relié au plan de projet avec diagramme de Gantt (AIMS-PRJ-01), où le diagnostic est la deuxième tâche, et au guide de mise en œuvre du même kit. Pour commencer gratuitement, le modèle de charte d'utilisation de l'IA est téléchargeable.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit ISO 42001 : la documentation de votre système de management de l'IA
30 documents Word · 31 outils Excel · 38 mesures de l'annexe A
Voir le kit ISO 42001 en français
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Combien de temps prend une analyse des écarts ISO 42001 ?
Cela dépend de la taille et du nombre de systèmes d'IA dans le périmètre. Dans un petit ou moyen organisme, avec les bonnes personnes autour de la table, deux ou trois séances de travail et la revue des preuves existantes suffisent en général.
Peut-on réutiliser une analyse des écarts ISO 27001 pour l'ISO 42001 ?
Elle aide pour les articles 4 à 10, qui ont la même structure dans les deux normes, mais elle ne couvre ni les mesures de l'annexe A de l'ISO 42001 ni l'évaluation de l'impact des systèmes d'IA. Un diagnostic propre à l'IA est préférable.
Quelle différence entre analyse des écarts et audit interne ?
L'analyse des écarts est un autodiagnostic de planification, sans format imposé. L'audit interne (article 9.2) est obligatoire, conduit par des personnes objectives et impartiales selon un programme défini, et ses constats sont enregistrés comme non-conformités ou observations.
À quelle fréquence la refaire ?
Au lancement du projet puis chaque trimestre pendant la mise en œuvre. Une fois le SMIA en place, le suivi passe par les indicateurs, l'audit interne et la revue de direction.
Un score de 100 % garantit-il la certification ?
Non. La certification est décidée par un organisme certificateur après son audit ; l'analyse des écarts est un autodiagnostic qui organise le travail et montre l'avancement.
Guides associés
Qu'est-ce que l'ISO/IEC 42001 ? Le système de management de l'intelligence artificielle
Ce qu'est l'ISO/IEC 42001:2023, à qui elle s'adresse, les articles 4 à 10, les 38 mesures de l'annexe A et ses liens avec l'ISO 27001 et le règlement IA.
Lire le guide →Documents obligatoires ISO 42001 (système de management de l'IA)
Les informations documentées exigées par l'ISO/IEC 42001:2023 pour un système de management de l'IA, avec l'article de chaque document et les preuves d'audit.
Lire le guide →Modèle gratuit de charte d'utilisation de l'IA générative en entreprise
Modèle Word gratuit de charte d'utilisation de l'IA générative pour le personnel : outils autorisés, données permises, règles, responsabilités et registres.
Lire le guide →Mis à jour: 2026-10-29