ISO/IEC 42001 au Canada
ISO/IEC 42001 : partir de ce que vous avez déjà
L’ISO/IEC 42001 est la norme internationale des systèmes de management de l’intelligence artificielle. Elle reprend la structure commune des normes de management de l’ISO. Si votre organisation est déjà certifiée, une grande partie du travail est faite.
L’essentiel
Qu’est-ce que l’ISO/IEC 42001 ?
L’ISO/IEC 42001:2023, souvent appelée ISO 42001, est la norme internationale qui définit les exigences d’un système de management de l’intelligence artificielle (SMIA). Publiée en décembre 2023 par l’ISO et la CEI, c’est la première norme certifiable de ce type.
Elle ne certifie pas un système d’IA : elle certifie la manière dont une organisation encadre les systèmes d’IA qu’elle développe, fournit ou utilise. Elle comprend les articles 4 à 10, communs aux normes de management de l’ISO, et une annexe A de 38 mesures réparties en neuf objectifs.
Elle s’adresse à toute organisation, quelle que soit sa taille, qu’elle conçoive des systèmes d’IA ou qu’elle en achète.
- Désignation
- ISO/IEC 42001:2023
- Publication
- Décembre 2023
- Annexe A
- 38 mesures, 9 objectifs
- Nature
- Norme volontaire et certifiable
Ce que vos normes couvrent déjà
Une lecture exigence par exigence.
Couverture des exigences de l’ISO/IEC 42001 par les systèmes de management ISO 9001, ISO 14001, ISO/IEC 27001 et ISO 56001.
| Exigence de l’ISO/IEC 42001 | Articles | ISO 9001 | ISO 14001 | ISO/IEC 27001 | ISO 56001 |
|---|---|---|---|---|---|
| Contexte, leadership, politique et objectifs | 4, 5, 6.2 | Couvert | Couvert | Couvert | Couvert |
| Appréciation et traitement des risques | 6.1.2, 6.1.3 | En partie | En partie | Couvert | En partie |
| Évaluation d’impact sur les personnes | 6.1.4, A.5 | À bâtir | En partie | Point d’appui | À bâtir |
| Cycle de vie : conception, vérification, déploiement | A.6 | En partie | Point d’appui | En partie | En partie |
| Données : qualité et provenance | A.7 | Point d’appui | À bâtir | En partie | À bâtir |
| Information aux parties intéressées | A.8 | En partie | En partie | Point d’appui | Point d’appui |
| Usage des systèmes et supervision humaine | A.9 | À bâtir | À bâtir | À bâtir | À bâtir |
| Fournisseurs et tiers | A.10 | En partie | Point d’appui | Couvert | Point d’appui |
| Surveillance, mesure et dérive | 9.1, A.6.2.6 | En partie | En partie | En partie | Point d’appui |
| Audit interne, revue de direction, amélioration | 9.2, 9.3, 10 | Couvert | Couvert | Couvert | Couvert |
Légende
- Couvert
- En partie
- Point d’appui
- À bâtir
Lecture indicative établie à des fins de formation. Elle ne remplace pas une analyse d’écarts.
Quatre exigences sans équivalent
Là où le travail est vraiment nouveau.
L’impact sur les personnes
6.1.4, A.5
Ce que la norme demande
Évaluer les conséquences possibles d’un système d’IA pour les personnes et les groupes concernés, et pas seulement pour l’organisation.
Ce que vos équipes savent déjà faire
La méthode aspects et impacts de l’ISO 14001 : identifier, coter, maîtriser et revoir.
La frontière entre l’humain et la machine
A.9
Ce que la norme demande
Définir ce que le système peut faire seul, ce qui exige une décision humaine et comment la supervision s’exerce.
Ce que vos équipes savent déjà faire
Les matrices de responsabilités : qui décide, qui exécute, qui est consulté, qui est informé.
La surveillance de la dérive
9.1, A.6.2.6
Ce que la norme demande
Suivre la performance du système d’IA dans le temps et réagir lorsqu’elle se dégrade.
Ce que vos équipes savent déjà faire
Les cartes de contrôle : limites, signaux de sortie, plan de réaction.
Le cycle de vie des systèmes d’IA
A.6
Ce que la norme demande
Encadrer chaque étape, de la conception à la vérification, au déploiement, à l’exploitation et au retrait.
Ce que vos équipes savent déjà faire
La maîtrise de la conception et du développement (ISO 9001, 8.3).
Ce que nous faisons
Trois façons de vous accompagner.
Diagnostic de préparation
2 à 4 semaines
Nous lisons votre système de management existant, repérons les écarts avec l’ISO/IEC 42001 et remettons un plan de travail priorisé.
Audit interne
2 à 5 jours
Un audit interne de votre système de management de l’IA, mené selon l’ISO 19011, pour préparer la revue de direction et l’audit de certification.
Formation
Demi-journée à 2 jours
Des programmes pour les responsables qualité, les auditeurs internes et les directions, qui partent des normes que vos équipes appliquent déjà.
La certification
Comment se déroule une démarche ISO 42001.
Avec TechVibes
Diagnostic de préparation
Lecture de votre système de management existant, écarts avec l’ISO/IEC 42001 et plan de travail priorisé.
Avec TechVibes
Mise en œuvre
Politique d’IA, inventaire des systèmes, évaluations d’impact, déclaration d’applicabilité des mesures de l’annexe A.
Avec TechVibes
Audit interne et revue de direction
Un cycle complet d’audit interne (article 9.2) et de revue de direction (article 9.3), attendu avant l’audit de certification.
Organisme accrédité
Audit de certification
Audit en deux étapes, documentaire puis sur le terrain, mené par un organisme de certification accrédité.
Organisme accrédité
Maintien
Audits de surveillance annuels et renouvellement du certificat tous les trois ans.
Au Canada, l’accréditation des organismes de certification relève notamment du Conseil canadien des normes.
Partout au Canada
Un accompagnement ISO 42001 d’un océan à l’autre.
Diagnostic de préparation et audit interne à distance, partout au Canada, ou sur place au Québec. Formations en ligne pour les équipes de toutes les provinces, en présentiel au Québec.
Pourquoi maintenant
Les exigences se précisent.
Loi 25
Depuis septembre 2023, une organisation qui rend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels doit en informer la personne concernée et, à sa demande, lui communiquer les renseignements utilisés ainsi que les raisons et les principaux facteurs ayant mené à la décision.
Secteur financier
La ligne directrice de l’AMF sur l’utilisation de l’intelligence artificielle et la ligne directrice E-23 du BSIF sur la gestion du risque de modèle, applicable à compter du 1er mai 2027.
Gouvernement fédéral
La Directive sur la prise de décisions automatisée du Conseil du Trésor encadre les systèmes de décision automatisée des institutions fédérales, avec une évaluation de l’incidence algorithmique obligatoire.
Ontario
La Loi de 2024 visant à renforcer la cybersécurité et la confiance dans le secteur public fixe des obligations aux organismes publics ontariens qui utilisent des systèmes d’intelligence artificielle.
Règlement européen sur l’IA
Obligations de transparence depuis août 2026, exigences applicables aux systèmes à haut risque à partir de décembre 2027, pour les organisations qui servent le marché européen.
Pour aller plus loin
Guides et repères, en accès libre.
- Le guide « La passerelle »
D’ISO 9001 et ISO/IEC 27001 vers ISO/IEC 42001 : ce qui se réutilise, ce qui change, un plan de 90 jours.
- Qui peut certifier l’ISO/IEC 42001 au Canada ?
Les organismes accrédités par le CCN et ailleurs, avec les sources.
- ISO/IEC 42001 au Québec
Ce que la Loi 25, l’État québécois et l’AMF demandent déjà en matière d’IA.
- Examen blanc ISO/IEC 42001 Lead Auditor
Gratuit, en anglais : 80 questions, 180 minutes, résultats détaillés par domaine.
Questions fréquentes
ISO 42001 : vos questions.
Qu’est-ce que l’ISO 42001 ?
L’ISO/IEC 42001:2023 est la norme internationale des systèmes de management de l’intelligence artificielle. Elle fixe les exigences pour établir, mettre en œuvre, tenir à jour et améliorer la façon dont une organisation encadre ses systèmes d’IA. C’est la première norme de ce type à pouvoir être certifiée.
ISO 42001 et ISO/IEC 42001, est-ce la même norme ?
Oui. La désignation complète est ISO/IEC 42001:2023, car la norme est publiée conjointement par l’ISO et la Commission électrotechnique internationale (CEI). On l’appelle couramment ISO 42001.
Faut-il être certifié ISO 9001 ou ISO/IEC 27001 pour viser l’ISO 42001 ?
Non. Mais une organisation qui applique déjà une norme de management part avec une avance nette : les articles 4 à 10 suivent la même structure. Le travail se concentre sur l’évaluation d’impact, la supervision humaine, la surveillance de la dérive et le cycle de vie des systèmes d’IA.
L’ISO 42001 est-elle obligatoire au Canada ?
Non, c’est une norme volontaire. Elle aide toutefois à démontrer le respect d’exigences qui, elles, s’appliquent : décisions automatisées sous la Loi 25 au Québec, ligne directrice E-23 du BSIF dans le secteur financier, règlement européen sur l’IA pour les organisations qui servent ce marché.
Combien de temps faut-il pour se préparer ?
Cela dépend du nombre de systèmes d’IA et de la maturité de votre système de management. Notre diagnostic de préparation prend de 2 à 4 semaines et se conclut par un plan de travail priorisé.
TechVibes peut-il certifier notre organisation ?
Non. TechVibes prépare votre organisation : diagnostic, mise en œuvre, audit interne et formation. L’audit de certification relève d’un organisme de certification accrédité, indépendant de celui qui vous a accompagné.
Intervenez-vous ailleurs qu’au Québec ?
Oui. Diagnostics, audits internes et formations se font à distance partout au Canada. Les interventions sur place et les formations en présentiel ont lieu au Québec, dont la Côte-Nord.
Vos formations mènent-elles à la certification Lead Auditor ?
Non. Nos formations ne sont pas certifiantes et ne mènent pas à un examen PECB. Elles préparent vos équipes à appliquer la norme et à conduire des audits internes.
Commencer par le guide ou par un diagnostic.
Le guide « La passerelle » montre, norme par norme, ce que votre système de management couvre déjà. Le diagnostic l’applique à votre organisation.