On me demande de plus en plus souvent comment implanter ISO 42001. Ma réponse ne change pas : ce n’est pas un audit qu’on subit une fois par année, c’est un système de gestion que votre entreprise doit posséder et faire vivre. Moi, je peux auditer ou accompagner. Le travail de fond reste chez vous.

Pour rappel, ISO/IEC 42001 existe depuis décembre 2023. C’est la première norme internationale qui encadre la gestion de l’intelligence artificielle dans une organisation. Elle s’adresse à toute entreprise qui développe, fournit ou utilise des systèmes d’IA, peu importe sa taille ou son secteur.

Vous avez probablement déjà de l’IA, même sans le savoir

Le premier réflexe d’un président de PME, c’est de me dire qu’il n’a pas d’IA dans son entreprise. Il ne développe pas de modèle, il n’a pas d’équipe de scientifiques de données.

La norme ne vise pas seulement les entreprises qui construisent de l’IA. Elle vise aussi celles qui l’utilisent. Copilot dans Microsoft 365, un agent conversationnel sur votre site web, un outil de tri de candidatures en ressources humaines, une extension de navigateur branchée à ChatGPT, un système de tarification automatisé chez votre assureur : c’est déjà de l’IA dans vos opérations.

Dans mes premières rencontres, je réalise presque toujours que trois ou quatre départements utilisent déjà des outils d’IA sans processus d’approbation, sans politique et sans personne qui en garde la liste. C’est le point de départ réel de la norme, pas la théorie.

Si personne dans votre entreprise ne tient la liste des outils d’IA déjà utilisés, vous n’êtes pas « sans IA ». Vous êtes sans gouvernance.

ISO 27001, ce n’est pas ISO 42001

Beaucoup me disent : « On a déjà ISO 27001, on doit être couverts. » Non.

ISO 27001 protège la confidentialité, l’intégrité et la disponibilité de l’information. ISO 42001 pose d’autres questions. Est-ce que votre système d’IA traite les gens de façon équitable? Est-ce que ses décisions peuvent s’expliquer? Est-ce que quelqu’un surveille réellement comment il est utilisé au quotidien, pas seulement comment il est configuré?

Un système d’IA peut respecter toutes vos règles de sécurité de l’information et rester biaisé, opaque ou mal encadré. Les deux normes se complètent. L’une ne remplace pas l’autre.

Qu’est-ce qu’un système d’IA à risque élevé?

C’est la question qui détermine combien de rigueur mettre sur chaque outil. Cinq critères simples suffisent pour se situer.

Influence sur une personne

Le système influence ou prend une décision sur une personne : embauche, crédit, tarification, accès à un service.

Renseignements personnels

Il traite des renseignements personnels.

Décision sans révision humaine

Une décision s’applique sans révision humaine avant de prendre effet.

Données confidentielles ou stratégiques

Il touche des données confidentielles ou stratégiques pour votre entreprise.

Dépendance opérationnelle

Votre entreprise deviendrait vulnérable s’il tombait en panne ou donnait une mauvaise réponse : autrement dit, vous en dépendez opérationnellement.

Plus un outil correspond à plusieurs de ces critères, plus il exige un encadrement serré. Un outil qui résume des courriels internes n’a pas besoin du même traitement qu’un outil qui filtre des candidatures.

Les neuf familles de contrôles de l’annexe A

ISO 42001 fonctionne comme ISO 27001 : des exigences de gestion dans le corps de la norme (contexte, leadership, planification, ressources, exploitation, évaluation, amélioration) et une annexe A avec 38 contrôles regroupés en neuf thèmes. Vous justifiez lesquels s’appliquent à vous dans une déclaration d’applicabilité, exactement comme en ISO 27001.

Si vous n’utilisez que des outils SaaS sans développer de modèles, une partie des contrôles peut ne pas s’appliquer. J’ai détaillé ce cas dans ISO 42001 : votre PME n’utilise que ChatGPT?.

Voici les neuf thèmes et à quoi ressemble une PME bien organisée pour chacun.

Politiques liées à l’IA

Une politique écrite qui dit ce que votre entreprise permet, interdit et encadre. Une PME organisée l’a rédigée à partir de ses outils réels, pas copiée d’un modèle générique.

Organisation interne

Des rôles et responsabilités clairs. Minimalement : un propriétaire du dossier IA, un mécanisme d’approbation pour les nouveaux outils et une procédure d’escalade quand un risque est identifié.

Ressources pour les systèmes d’IA

La preuve que vous avez alloué les compétences, les données et l’infrastructure nécessaires, pas juste branché un outil et espéré que ça fonctionne.

Évaluation des répercussions

Une analyse structurée de ce qui pourrait mal se passer avec un système donné, faite avant le déploiement. Une PME organisée documente cette analyse pour chaque outil à risque élevé, pas seulement pour ceux qu’elle développe elle-même.

Cycle de vie des systèmes d’IA

De l’acquisition jusqu’au retrait, chaque système est documenté, testé et suivi. Un outil abandonné sort de l’inventaire ; il n’y traîne pas à moitié oublié.

Données utilisées par l’IA

La qualité, la provenance et la légalité des données qui nourrissent vos systèmes. C’est ici que la Loi 25 et ISO 42001 se croisent directement dès que ces données contiennent des renseignements personnels.

Information aux parties intéressées

Vos clients et vos employés savent quand ils interagissent avec un système d’IA et comprennent ses limites. La transparence n’est pas optionnelle.

Utilisation responsable des systèmes d’IA

Des règles concrètes pour vos employés sur ce qu’ils peuvent soumettre à un outil d’IA, particulièrement les renseignements confidentiels ou personnels.

Relations avec les tiers

Vos fournisseurs d’IA répondent aux mêmes exigences que vous. Un contrat muet sur la gestion des risques d’IA de votre fournisseur est un contrat incomplet.

Certification complète ou alignement progressif?

Pour la majorité des PME québécoises, viser la certification complète dès le départ n’est pas le bon objectif.

La certification a du sens si un contrat client l’exige, si vous vendez à des secteurs réglementés comme la santé ou la finance, ou si vos concurrents directs l’utilisent déjà comme argument de vente. Sans une de ces raisons d’affaires précises, la certification est un investissement qui dépasse souvent ce que votre entreprise peut justifier cette année.

L’objectif réaliste pour la plupart : vous aligner progressivement sur les mêmes neuf thèmes, sans viser l’audit de certification tout de suite. Adopter un vocabulaire commun sur l’IA dans votre entreprise (ISO 22989 en fournit un), structurer une évaluation des répercussions pour vos projets les plus sensibles (l’esprit d’ISO 42005) et gérer les risques connus de façon systématique (ISO 23894). J’ai listé les autres normes liées dans Autour de l’ISO 42001 : quelles normes pour gouverner l’IA. La certification peut suivre plus tard, quand la raison d’affaires le justifie.

Ce n’est pas moi qui décide si vous devez certifier. C’est votre conseil d’administration, votre marché ou vos clients qui doivent le décider. Mon rôle est de vous aider à voir clairement où vous en êtes, pas de vous vendre un objectif dont vous n’avez pas besoin.

Préparer vos équipes avant que j’arrive

Voici ce qui distingue une première rencontre productive d’une rencontre où tout le monde improvise. C’est aussi, dans les faits, un test de maturité : si vous n’avez ni inventaire, ni responsable, ni règles d’utilisation, ni mécanisme d’approbation, vous êtes essentiellement au niveau zéro, peu importe ce que dit votre site web sur l’IA responsable.

Faites l’inventaire des outils déjà utilisés

Même les initiatives spontanées. Pour chaque outil, notez : le nom, le propriétaire interne, le fournisseur, l’usage réel, les utilisateurs ou départements concernés, les données traitées, la présence de renseignements personnels, les répercussions potentielles sur une personne et un niveau de criticité (faible, moyen, élevé selon les cinq critères plus haut). Le ChatGPT personnel d’un employé ou une extension de navigateur compte autant qu’un système officiel.

Classez chaque outil selon son niveau de risque

Cette classification, pas l’inventaire brut, est ce qui vous dit où concentrer vos efforts en premier.

Nommez un responsable interne du dossier

Pas nécessairement un spécialiste TI. Quelqu’un qui a l’autorité de convoquer les bonnes personnes et de faire avancer les décisions.

Rédigez des règles d’utilisation, même courtes

Ce que vos employés peuvent soumettre à un outil d’IA, ce qui est interdit, et à qui poser la question en cas de doute.

Mettez en place un mécanisme d’approbation pour les nouveaux outils

Sans ça, chaque département continue d’adopter des outils de son côté et votre inventaire est déjà obsolète le mois suivant.

Rassemblez ce qui existe déjà

Votre politique de sécurité, votre politique de protection des renseignements personnels exigée par la Loi 25, vos contrats avec vos fournisseurs infonuagiques et vos fournisseurs d’IA. La moitié du travail de gouvernance est souvent déjà écrite ailleurs, dispersée dans des documents qui ne se parlent pas entre eux.

Prévenez vos équipes : ce n’est pas une chasse aux sorcières

L’objectif n’est pas de trouver qui a utilisé un outil sans permission. C’est de comprendre comment l’IA est réellement utilisée pour l’encadrer correctement.

Quand j’arrive dans une PME pour une première rencontre, je ne demande jamais de me montrer un système d’IA. Je demande de me montrer la liste des outils que vos équipes utilisent au quotidien. J’ai déjà vu cette liste griffonnée sur un post-it collé sur un moniteur. Ce n’est pas le format qu’un auditeur va chercher au final, mais c’est un point de départ honnête, et c’est déjà plus que ce que la plupart des entreprises ont en main.

Si vous ne faites que cinq choses cette semaine

1. Inventaire

Listez les outils d’IA utilisés dans votre entreprise.

2. Classification

Classez chaque outil selon son niveau de risque.

3. Responsable

Nommez un responsable IA.

4. Règles d’utilisation

Rédigez des règles, même sommaires.

5. Approbation

Mettez en place un mécanisme d’approbation pour tout nouvel outil.

Aucune de ces cinq actions ne demande de consultant ni de budget de certification. Elles demandent une heure de réunion et la volonté de la gestion de trancher.

Bref

ISO 42001 ne va pas gérer votre intelligence artificielle à votre place. Elle vous donne un cadre pour le faire vous-même, avec ou sans certification au bout. Je suis curieux de savoir combien d’entre vous ont déjà cette liste d’outils d’IA à jour dans leur entreprise.

Ça vous touche? Parlons-en.