Ce que le cours ne couvre pas
Bilan après les 16 sections. Le cours explique le quoi et le pourquoi, rarement le comment : aucun modèle de document, aucun exemple rempli, peu de chiffres. Détail des erreurs : rubriques « À vérifier » de chaque section. Second cours croisé : croisement-cours-rigcert.md.
Documents que la norme rend obligatoires
Le cours n'en donne jamais la liste. Ce sont eux que l'auditeur de certification demande en premier.
4.3 périmètre de l'AIMS
4.4 documentation de l'AIMS, de ses processus et de leurs interactions
5.2 politique IA
6.1.1 actions relatives aux risques et opportunités
6.1.2 méthode d'appréciation des risques IA (critères, échelle, acceptation)
6.1.3 méthode de traitement des risques, plan de traitement ; déclaration d'applicabilité
couvrant toutes les mesures nécessaires, y compris hors annexe A, avec justifications
6.1.4 méthode et résultats des évaluations d'impact
6.2 objectifs IA documentés, mesurables lorsque c'est réalisable
7.2 preuves de compétence
8.1 informations montrant que les processus sont exécutés comme prévu
8.2 résultats des appréciations de risques
8.3 résultats du traitement
8.4 résultats des évaluations d'impact
9.1 résultats de surveillance et de mesure
9.2 programme d'audit interne et résultats
9.3 résultats de la revue de direction
10.2 nature des non-conformités, actions entreprises, résultats des actions correctives
Liste établie par recoupement (catalogue et aperçus ISO, sources secondaires), le texte complet de la norme n'ayant pas été consulté.
Exigences de la norme absentes ou faussées
- déclaration d'applicabilité (6.1.3) : jamais citée ; le cours présente l'annexe A comme « recommandée »
- 6.2 objectifs IA et 6.3 planification des modifications : absents ; objectifs placés en clause 5
- 4.1 rôle de l'organisation vis-à-vis de l'IA (fournisseur, producteur, client, partenaire, sujet ; ISO/IEC 22989) : absent
- 4.4 établir et tenir à jour l'AIMS : absent
- annexe A annoncée à « plus de 40 » mesures (38 en réalité), numéros faux (A.6.8.8, A.6.26), A.6.2.2 oublié
- clause 8 réduite au cycle de vie des modèles ; en réalité 8.2 à 8.4 = exécuter risques, traitement, impact
- bonnes pratiques présentées comme exigences : red team obligatoire, registre des modèles, comité d'éthique avec veto
Normes compagnes jamais citées
ISO/IEC 22989 vocabulaire et rôles de l'IA
ISO/IEC 23894 management du risque IA, recommandations spécialisées en complément d'ISO 31000
ISO/IEC 42005 évaluation d'impact des systèmes IA (2025)
ISO/IEC 42006 exigences pour les organismes qui certifient 42001 (2025)
ISO/IEC 5338 cycle de vie des systèmes IA
ISO/IEC 25059 modèle de qualité des systèmes IA (famille SQuaRE)
ISO/IEC 38507 gouvernance, implications de l'usage de l'IA (citée par le second cours)
AI Act : le lien pratique manque
- 42001 n'est pas une norme harmonisée (art. 40) : certification != présomption de conformité ; la Commission la distingue du système de management de la qualité exigé par l'AI Act (art. 17)
- rôles AI Act (fournisseur, déployeur, importateur, distributeur) jamais reliés aux rôles 42001 (4.1)
- classes de risque (interdit, haut risque, transparence, minimal) : pas de méthode de classement d'un système
- maîtrise de l'IA (art. 4) : applicable depuis le 2 février 2025, absente du cours ; rédaction modifiée en juillet 2026 : mesures adaptées pour soutenir la maîtrise de l'IA du personnel (la formation est un moyen)
- analyse d'impact sur les droits fondamentaux (art. 27), enregistrement UE (art. 49), incidents graves (art. 73, 15 / 10 / 2 jours) : absents
- modèles d'IA à usage général (art. 53 à 55) : absents
- sanctions (art. 99) : citées en passant, sans montants
- calendrier : règlement (UE) 2026/1744 (omnibus), en vigueur le 27 juillet 2026 ; obligations haut risque reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I, art. 6 § 1) ; vérifier article par article, dispositions transitoires comprises
Pratique de terrain absente
- liste des outils et modèles autorisés, croisée avec le niveau de données : absente (ajoutée en docs/06)
- sanctions internes et formalités du règlement intérieur : absentes (ajoutées en docs/06)
- classification des données et usage de l'IA générative par les salariés : survolés
- lien avec le RGPD : AIPD (art. 35, si risque élevé) et évaluation d'impact IA peuvent partager le travail sans se remplacer ; décisions exclusivement automatisées à effet significatif (art. 22)
- durée et coût d'une mise en œuvre : aucun ordre de grandeur (jours, budget, taille d'équipe)
- certification : audit initial en deux étapes, cycle de trois ans, surveillance au moins une fois par année civile sauf l'année de renouvellement, première surveillance dans les 12 mois suivant la décision (ISO/IEC 17021-1) ; vérifier que la portée d'accréditation du certificateur couvre ISO/IEC 42001 (une accréditation 27001 ne suffit pas ; aucune accréditation COFRAC 42001 trouvée en octobre 2026)
- aucun exemple de registre des risques rempli, d'évaluation d'impact remplie, de compte rendu de revue de direction
- climat : déjà dans ISO/IEC 42001:2023 (4.1 et note de 4.2), non cité ; il n'existe pas d'amendement Amd 1:2024
Modèles à produire pour combler le manque
Formats de travail proposés pour satisfaire les exigences ; la norme n'impose ni un fichier par exigence ni ces intitulés. Par ordre d'utilité, les obligatoires d'abord :
périmètre et rôles (4.1, 4.3)
politique IA avec liste des outils autorisés et sanctions (5.2, A.2, A.9)
inventaire des systèmes IA avec classe de risque AI Act
registre des risques IA avec méthode et échelle (6.1.2, 6.1.3, 8.2, 8.3)
évaluation d'impact (6.1.4, A.5, aligné AIPD et art. 27 AI Act)
déclaration d'applicabilité (part de docs/annexe-a-grille-audit.md)
objectifs IA et indicateurs (6.2, 9.1)
fiche système / fiche modèle (A.6.2.3, A.6.2.7)
fiche jeu de données (A.7)
questionnaire fournisseur IA (A.10.3)
procédure d'incident IA (A.8.4, art. 73 AI Act)
programme d'audit interne et compte rendu de revue de direction (9.2, 9.3)
registre des non-conformités (10.2)