Documents obligatoires ISO 42001 (système de management de l'IA)
L'ISO/IEC 42001:2023 exige notamment comme informations documentées : le domaine d'application du système de management de l'IA (4.3), la politique d'IA (5.2), les processus et résultats d'appréciation et de traitement des risques liés à l'IA (6.1.2, 6.1.3, 8.2 et 8.3), la déclaration d'applicabilité (6.1.3), l'évaluation d'impact des systèmes d'IA (6.1.4 et 8.4), les objectifs d'IA (6.2) et les enregistrements de compétence, de surveillance, d'audit interne, de revue de direction et d'actions correctives.
Documents exigés par article
| Document | Article | À quoi il sert |
|---|---|---|
| Domaine d'application du système de management de l'IA | 4.3 | Définit les systèmes, processus et rôles vis-à-vis de l'IA couverts |
| Politique d'IA | 5.2 | Engagements de la direction et cadre des objectifs |
| Processus d'appréciation des risques liés à l'IA | 6.1.2 | Critères pour identifier, analyser et évaluer les risques |
| Processus de traitement des risques liés à l'IA | 6.1.3 | Comment les mesures sont choisies et les risques résiduels approuvés |
| Déclaration d'applicabilité | 6.1.3 | Mesures nécessaires de l'annexe A, justification et état de mise en œuvre |
| Processus d'évaluation d'impact des systèmes d'IA | 6.1.4 | Comment évaluer les conséquences pour les personnes, les groupes et la société |
| Objectifs d'IA | 6.2 | Cibles mesurables et plans pour les atteindre |
| Preuves de compétence | 7.2 | Formation et expérience des personnes qui travaillent avec des systèmes d'IA |
| Informations opérationnelles | 8.1 | Ce qui est nécessaire pour avoir confiance dans le déroulement prévu des processus |
| Résultats de l'appréciation des risques | 8.2 | Registre des risques à jour |
| Résultats du traitement des risques | 8.3 | Plan de traitement et avancement |
| Résultats des évaluations d'impact | 8.4 | Évaluations d'impact de chaque système |
| Résultats de surveillance et de mesure | 9.1 | Indicateurs et leur analyse |
| Programme et résultats d'audit interne | 9.2 | Plan, rapports et constats |
| Résultats de la revue de direction | 9.3 | Décisions et actions de la direction |
| Non-conformités et actions correctives | 10.2 | Ce qui n'a pas fonctionné, cause, action et résultat |
L'article 7.5.1 ajoute les informations documentées que l'organisme juge lui-même nécessaires à l'efficacité du système, et plusieurs mesures de l'annexe A demandent des décisions documentées sur le cycle de vie, les données et les informations fournies aux utilisateurs.
Enregistrements que les auditeurs demandent souvent en plus
- Inventaire des systèmes d'IA avec finalité, rôle de l'organisme et personnes concernées.
- Registre des fournisseurs d'IA et des responsabilités convenues avec eux.
- Preuves de formation et de maîtrise de l'IA du personnel (voir l'article 4 du règlement européen sur l'IA).
- Journal des incidents ou préoccupations signalés concernant les systèmes d'IA.
- Gestion des versions et approbations des documents du système.
Erreurs fréquentes
- Copier la déclaration d'applicabilité de l'ISO 27001 : l'ISO 42001 a sa propre annexe A de 38 mesures.
- Apprécier les risques pour l'organisme mais oublier l'évaluation d'impact sur les personnes concernées par le système.
- Avoir une politique d'IA sans objectifs mesurables ni indicateurs de suivi.
- Ne pas enregistrer le rôle de l'organisme pour chaque système (par exemple fournisseur ou utilisateur).
- Des documents sans propriétaire ni date de revue.
Comment organiser la documentation
Une structure pratique sépare la gouvernance (domaine d'application, politique, rôles), la planification (méthodologie des risques, registre des risques, évaluation d'impact, déclaration d'applicabilité, objectifs), le fonctionnement (procédures de cycle de vie, de données et de fournisseurs) et l'évaluation et l'amélioration (indicateurs, audit, revue de direction, actions correctives). Si l'organisme dispose déjà d'un SMSI ISO 27001, les documents de management communs sont étendus plutôt que dupliqués.
Questions fréquentes
Combien de documents obligatoires compte l'ISO 42001 ?
Il n'y a pas de nombre fixe : la norme demande des informations documentées dans plusieurs articles (domaine d'application, politique, risques, impact, déclaration d'applicabilité, objectifs et enregistrements de fonctionnement, d'évaluation et d'amélioration). Chaque organisme ajoute ce qu'il juge nécessaire.
L'évaluation d'impact est-elle obligatoire ?
Oui. L'article 6.1.4 exige un processus d'évaluation d'impact des systèmes d'IA et l'article 8.4 demande d'en conserver les résultats.
Peut-on réutiliser les documents de l'ISO 27001 ?
Oui, pour les parties communes du système de management (maîtrise documentaire, audit interne, revue de direction, actions correctives). Les documents propres à l'IA doivent être préparés à part.
Quel format doivent avoir les documents ?
La norme n'impose aucun format. Il peut s'agir de documents texte, de tableurs ou d'enregistrements dans un outil, à condition qu'ils soient maîtrisés, disponibles et protégés.
Guides associés
- Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
- Documents obligatoires ISO 27001:2022 : la liste par article
- Qu'est-ce que l'ISO/IEC 42001 ? Le système de management de l'intelligence artificielle
Mis à jour: 2026-10-20