Faut-il un consultant ISO 42001 pour se certifier ? Ce que vous pouvez faire seul, et ce qui justifie un accompagnement

Ce que la norme exige vraiment

La norme ISO/IEC 42001:2023 définit les exigences pour établir, exploiter, surveiller, maintenir et améliorer un système de management de l'intelligence artificielle (SMIA)^[2]. Elle couvre les clauses 4 à 10, complétées par des contrôles de référence dans l'Annex A et trois annexes supplémentaires (B, C, D) qui fournissent des orientations de mise en œuvre, des sources de risques et des indications d'intégration avec d'autres normes^[3].

Nulle part dans ce cadre il n'est prescrit de recourir à un consultant externe. L'organisme est libre de mobiliser ses propres ressources pour satisfaire chaque clause. La question n'est donc pas réglementaire, elle est pratique : disposez-vous en interne des compétences, du temps et du recul nécessaires pour mener la démarche à terme sans multiplier les itérations coûteuses ?

Trois prestations types d'un consultant

Les cabinets spécialisés proposent généralement trois niveaux d'intervention. Les distinguer permet de ne pas acheter un accompagnement complet quand seule une brique manque.

Analyse d'écart (gap analysis)

Le consultant compare votre posture actuelle aux exigences de la norme. L'exercice comprend des demandes de preuves, des revues documentaires et des entretiens avec les parties prenantes clés^[2]. À l'issue, un rapport identifie les écarts existants et propose des recommandations de remédiation hiérarchisées^[2].

Ce livrable est précieux si vous partez d'une feuille blanche ou si vous avez déjà un système de management (ISO 27001, par exemple) et souhaitez mesurer ce qu'il reste à couvrir. Certains prestataires proposent cette analyse d'écart comme une prestation isolée, ce qui permet de garder la main sur la suite^[3].

Accompagnement à l'implémentation

Ici, le consultant aide à construire ou adapter le SMIA : rédaction de politiques, réalisation d'évaluations d'impact IA, sélection et documentation des contrôles Annex A, intégration avec un système de management existant^[3]. Cette prestation est la plus variable en durée et en coût, car elle dépend de la maturité de l'organisme et du périmètre retenu.

L'observation générale sur le terrain montre que c'est souvent cette phase qui absorbe le plus de budget externe, alors qu'une partie du travail (documentation des processus métier, inventaire des systèmes IA, collecte de preuves) relève directement des équipes internes.

Audit interne

La norme exige un audit interne avant l'audit de certification. Le consultant peut intervenir comme auditeur interne, apportant l'objectivité et l'impartialité requises^[3]. Pour une PME qui ne dispose pas d'un service d'audit interne, c'est souvent la prestation la plus simple à externaliser, car elle est ponctuelle et bien délimitée.

Ce que vous pouvez faire en interne

Avant de solliciter un consultant, il vaut la peine d'identifier ce que vos équipes peuvent raisonnablement prendre en charge. Plusieurs activités ne nécessitent pas d'expertise normative pointue, mais une bonne connaissance de votre propre organisation.

• Inventaire de vos systèmes IA et de leurs usages (clause 4, contexte de l'organisme).
• Identification des parties intéressées et de leurs attentes vis-à-vis de l'IA.
• Collecte des preuves de conformité existantes (politiques de données, registres de traitement, processus qualité).
• Documentation des processus métier impliquant de l'IA.
• Sensibilisation interne et formation des collaborateurs concernés.

Si votre organisation est déjà certifiée ISO 27001 ou ISO 9001, une partie de la structure documentaire (politique, gestion des risques, revue de direction, amélioration continue) est transposable. La norme ISO 42001 reprend le format familier des clauses 4 à 10 et s'intègre avec des normes comme ISO 27001^[3][2]. Cela réduit significativement la charge de travail, mais attention : les contrôles Annex A sont spécifiques à l'IA et ne se déduisent pas d'un SMSI existant.

Quand un consultant se justifie

La réponse dépend de trois facteurs concrets. Plutôt qu'une règle universelle, voici une grille d'évaluation que vous pouvez appliquer à votre situation.

Facteurs de décision : consultant ou interne

Facteur	Interne probablement suffisant	Consultant recommandé
Maturité normative	Déjà certifié ISO 27001 ou ISO 9001, équipe familière avec les audits	Première certification ISO, pas d'expérience des systèmes de management
Complexité des systèmes IA	Usage limité (un ou deux outils IA bien identifiés)	Systèmes multiples, apprentissage continu, décisions automatisées[3]
Disponibilité interne	Responsable qualité ou conformité dédié, avec du temps alloué	Équipes déjà saturées, pas de ressource dédiée au projet

Un dirigeant de PME qui coche deux cases dans la colonne « consultant recommandé » a tout intérêt à externaliser au moins l'analyse d'écart et l'audit interne. En revanche, une organisation déjà rompue aux certifications ISO peut souvent se limiter à un accompagnement ciblé sur les spécificités IA de l'Annex A.

Il existe aussi un argument de calendrier. La certification passe par un audit en deux étapes : l'étape 1 vérifie la conception du SMIA (documentation, planification), l'étape 2 en teste l'efficacité opérationnelle^[2]. Si votre échéance est serrée (appel d'offres, exigence d'un client ou d'un régulateur), un consultant qui connaît le processus peut vous éviter un cycle d'audit supplémentaire.

Choisir un consultant : critères concrets

Le marché du conseil en gouvernance IA s'est étoffé depuis la publication de la norme en décembre 2023. Tous les prestataires ne se valent pas. Voici les points à vérifier avant de signer un mandat.

Expérience en systèmes de management ISO, pas seulement en IA

Un consultant brillant en machine learning mais qui n'a jamais accompagné de certification ISO risque de sous-estimer les exigences de documentation, de revue de direction et d'amélioration continue. L'inverse est également vrai : un auditeur ISO 27001 chevronné qui ne comprend pas les enjeux spécifiques de l'IA (biais, transparence, qualité des données) passera à côté des contrôles Annex A^[3]. Cherchez la combinaison des deux compétences.

Indépendance vis-à-vis de l'organisme de certification

Le consultant qui vous accompagne dans la préparation ne doit pas être celui qui réalise l'audit de certification. Ce point semble évident, mais certains cabinets proposent les deux services. Vérifiez que les rôles sont clairement séparés. Un cabinet peut légitimement offrir du conseil et de l'audit de certification, à condition que ce ne soient pas les mêmes équipes pour le même client^[2].

Approche adaptée à votre taille

ISO 42001 s'adresse à des organisations de toutes tailles et de tous secteurs^[2]. Mais un consultant habitué aux grands groupes risque de surdimensionner la documentation pour une PME de 50 personnes. Demandez des références dans des organisations comparables à la vôtre. Un bon prestataire adapte le SMIA à la structure, au secteur, à l'appétit pour le risque et aux obligations légales de l'organisme^[3].

Transfert de compétences

Le consultant part, le SMIA reste. Si votre équipe n'a rien appris pendant l'accompagnement, vous serez dépendant du même prestataire pour chaque audit de surveillance (rappel : la certification est valide trois ans, avec des audits de surveillance intermédiaires^[2]). Privilégiez un consultant qui pratique le transfert de connaissances et qui forme vos collaborateurs au fil du projet^[3].

Piège fréquent : confondre consultant et certificateur

C'est une confusion récurrente, en particulier chez les dirigeants qui abordent leur première certification ISO. Le consultant vous aide à préparer votre SMIA. L'organisme de certification (ou « registrar ») est celui qui réalise l'audit de certification et délivre le certificat. Ce sont deux entités distinctes, et elles doivent le rester.

Le processus de certification se déroule en deux étapes formelles. L'étape 1 porte sur la conception du SMIA : revue de la documentation, identification des zones de préoccupation, évaluation du plan de remédiation^[2]. L'étape 2 teste l'efficacité du système, y compris la vérification que les contrôles Annex A sélectionnés sont correctement implémentés, que les contrôles omis sont justifiés, et que les contrôles additionnels sont documentés^[2].

Les rôles du consultant et de l'organisme de certification ne se chevauchent pas.

1Analyse d'écart (consultant ou interne)

2Implémentation du SMIA (interne, avec ou sans consultant)

3Audit interne (consultant ou auditeur interne)

4Audit étape 1 : conception (organisme de certification)^[2]

5Audit étape 2 : efficacité (organisme de certification)^[2]

6Décision de certification et délivrance du certificat

Un consultant peut intervenir aux phases 1 à 3. Il ne peut pas réaliser les phases 4 à 6 pour le même client.

Engager un consultant qui promet « la certification » sans distinguer ces rôles est un signal d'alarme. Ce qu'un consultant peut garantir, c'est la qualité de la préparation. La décision de certification appartient à l'organisme accrédité.

Scénario romand : PME industrielle de 80 personnes

Prenons le cas fictif d'une PME industrielle dans l'Arc lémanique, 80 collaborateurs, déjà certifiée ISO 9001. Elle utilise deux systèmes IA : un outil de maintenance prédictive sur ses lignes de production et un chatbot pour le support client. Son responsable qualité a piloté la certification ISO 9001 trois ans plus tôt.

Dans cette configuration, la structure documentaire de base existe (politique qualité, gestion des risques, procédure d'audit interne, revue de direction). Les clauses 4 à 10 de la norme ISO 42001 reprennent un format comparable à celui d'ISO 9001^[3]. Le responsable qualité peut raisonnablement piloter le projet en interne.

Là où un consultant apporte une valeur tangible dans ce scénario : l'évaluation d'impact IA sur les deux systèmes (le chatbot traite des données clients, la maintenance prédictive influence des décisions opérationnelles), la sélection et la justification des contrôles Annex A, et l'audit interne. Ces trois prestations peuvent être externalisées de manière ciblée, sans accompagnement complet.

Le coût d'un tel accompagnement partiel, pour une PME de cette taille, est sans commune mesure avec un mandat d'implémentation intégral. Et le responsable qualité monte en compétence pour les audits de surveillance ultérieurs, ce qui réduit la dépendance au prestataire sur la durée du cycle de certification de trois ans^[2].

Ce que ce scénario illustre

L'approche la plus efficiente pour une PME n'est généralement pas le « tout interne » ni le « tout consultant ». C'est un découpage précis : identifier les compétences manquantes, externaliser ces briques spécifiques, garder la maîtrise du projet et du calendrier. La norme elle-même ne prescrit rien sur ce point, elle demande des résultats (un SMIA conforme et efficace), pas une méthode d'implémentation particulière.

Dernier point pratique : si vous optez pour un consultant, formalisez dès le départ les livrables attendus, le calendrier et les critères de transfert de compétences. Un bon mandat de conseil se termine quand votre équipe est autonome, pas quand le budget est épuisé.

Questions fréquentes

À lire ensuite