Article 6.1
Actions face aux risques et opportunités
L'article 6.1 exige que l'organisation planifie son SMIA autour des risques et opportunités identifiés. Il contient les deux exigences de planification emblématiques de la norme : l'article 6.1.2, une évaluation des risques liés à l'IA avec des critères documentés qui identifie et analyse les risques découlant de l'usage de l'IA, et l'article 6.1.4, une évaluation d'impact des systèmes d'IA qui examine les conséquences pour les personnes, les groupes et la société. L'article 6.1.3 exige ensuite un plan de traitement sélectionnant des mesures, justifié dans une déclaration d'applicabilité.
Pour une organisation dont les employés utilisent des outils d'IA externes, l'évaluation des risques 6.1.2 doit couvrir les données que ces outils reçoivent : des requêtes contenant des dossiers de clients, des renseignements de santé, des données financières ou du code source sont une catégorie de risque documentée, pas un cas marginal. L'évaluation d'impact 6.1.4 pose une question plus dure : qu'arrive-t-il aux personnes réelles dont un employé colle les renseignements personnels dans un robot conversationnel? IBM constatait en 2025 que 63 % des organisations n'ont aucune politique de gouvernance de l'IA, ce qui signifie que la plupart n'ont pas commencé ce que l'article 6.1 leur demande de terminer.
Article 8.2
Évaluation des risques liés à l'IA en exploitation
L'article 8.2 fait passer l'évaluation des risques de la planification à l'exploitation : l'organisation doit réaliser des évaluations des risques liés à l'IA à intervalles planifiés et lors de changements importants, selon les critères définis à l'article 6.1.2, et conserver les résultats documentés.
C'est cet article qui explique pourquoi un atelier unique ne satisfait pas la norme. De nouveaux outils d'IA apparaissent chaque mois dans les navigateurs et les employés les adoptent sans demander : LayerX mesurait en 2025 que les organisations n'ont aucune visibilité sur environ 89 % de l'usage de l'IA. Une évaluation récurrente qui n'examine jamais l'usage réel et actuel de l'IA dans l'effectif évalue une fiction. Les auditeurs voudront des preuves que les intrants de chaque évaluation reflètent la réalité, ce qui exige une visibilité sur les outils utilisés et les données qui les atteignent.
Article 8.4
Évaluation d'impact des systèmes d'IA en exploitation
L'article 8.4 exige que l'organisation réalise des évaluations d'impact des systèmes d'IA conformément à l'article 6.1.4, à intervalles planifiés et lors de changements importants, et conserve l'information documentée comme preuve des résultats.
L'évaluation d'impact regarde vers l'extérieur, vers les personnes touchées. Quand des renseignements personnels ou confidentiels sur des clients, des patients, des élèves ou des employés circulent vers des outils d'IA externes, elle doit rendre compte de cette exposition : qui pourrait être lésé, avec quelle gravité, et ce qui en réduit la probabilité. Une organisation qui caviarde les données sensibles avant leur entrée dans les outils d'IA peut documenter un impact résiduel nettement plus faible qu'une organisation qui s'appuie sur une note de politique, et c'est à l'article 8.4 que cette différence s'écrit.
Annexe A, mesure A.7
Données pour les systèmes d'IA
L'annexe A est le catalogue de mesures de la norme, sélectionnées et justifiées dans la déclaration d'applicabilité. La famille A.7 traite des données pour les systèmes d'IA : documenter la provenance, la qualité, la préparation et la gestion des données tout au long du cycle de vie de l'IA. Les familles voisines couvrent les processus d'évaluation d'impact (A.5), le cycle de vie des systèmes d'IA (A.6), l'information aux parties intéressées (A.8) et l'usage responsable de l'IA (A.9, incluant l'encadrement de l'utilisation acceptable).
La famille A.7 oblige l'organisation à connaître et documenter les données que consomment ses systèmes d'IA. Lue avec les mesures d'usage responsable de la famille A.9, elle couvre le cas quotidien : des employés qui alimentent des outils d'IA avec des données organisationnelles. La preuve que les types de données sensibles sont identifiés et contrôlés avant d'entrer dans les outils d'IA, et que l'usage est surveillé par rapport à une politique d'utilisation acceptable définie, est exactement le genre de fonctionnement documenté des mesures qu'un auditeur ISO 42001 échantillonne.