ISO 42001 en PME : par où commencer, combien de temps, pour quoi faire

Appliquer ISO 42001 en PME ne demande pas un service conformité. La norme s'adapte à la taille : un périmètre réduit, quelques documents courts et des rôles cumulés suffisent pour démarrer. Le point de départ est toujours le même : un diagnostic, qui montre ce qui existe déjà et ce qui manque.

Quand la norme vous sert

Une PME, au sens européen, compte moins de 250 personnes. Pour elle, la norme est utile dans trois cas :

• un client ou un appel d'offres demande des garanties sur votre usage de l'IA ;
• vous vendez un produit ou un service qui intègre de l'IA ;
• vous avez déjà un système de management, en sécurité ou en qualité, dans lequel l'IA peut entrer.

Si votre usage se limite à quelques outils et que personne ne pose la question, une charte et une sensibilisation couvrent l'essentiel. La décision d'attendre peut s'écrire, avec une date pour la revoir.

Commencer par un diagnostic ISO 42001 en PME

Le diagnostic se fait en deux temps :

1. le diagnostic express, en dix questions et sans compte, dit si vous êtes concerné et donne trois actions ;
2. le diagnostic complet, avec un compte, reprend les questions de la norme rôle par rôle : direction, référent IA, DSI, juridique, RH, métier, data. Chacun répond pour ce qu'il connaît, et l'outil montre les écarts entre les réponses. Créer un compte pour le diagnostic complet.

Dans une PME, une même personne tient souvent plusieurs rôles. Elle répond une seule fois, en le notant.

Un périmètre à la taille de l'entreprise

La norme demande d'écrire le périmètre du système de management : quels systèmes d'IA, quels sites, quelles équipes. Une PME peut commencer par les outils les plus utilisés, ou par le seul produit vendu aux clients. Ce qui compte : que les exclusions soient écrites et justifiées.

La clause 4.1 demande aussi votre rôle pour chaque système. Une entreprise qui utilise des assistants du marché n'a pas les mêmes mesures à appliquer qu'une entreprise qui développe ses propres modèles.

Combien de temps compter

Des cabinets et éditeurs étrangers annoncent de 3 à 9 mois de mise en place, et environ 5 mois pour un projet bien mené. Le temps serait réduit de 40 à 60 % quand ISO/IEC 27001 est déjà en place. Ce sont des repères de vendeurs, pas des engagements. Le coût de l'audit est détaillé sur la page prix de la certification.

Les premières étapes

• lister les outils et systèmes d'IA utilisés, y compris ceux qui n'ont pas été déclarés ;
• nommer un référent IA et la personne qui autorise un nouvel outil ;
• faire signer une politique IA courte par la direction ;
• sensibiliser les utilisateurs et garder la trace ;
• choisir une méthode simple pour juger les risques de chaque système.

Une charte IA sert de point de départ à la politique.