---
title: "Certification ISO 42001 : étapes et coûts"
description: "La certification ISO 42001 atteste, par un organisme accrédité, que le système de management de l'IA (AIMS) d'une organisation satisfait aux exigences de l'ISO/IEC 42001:2023."
locale: "fr"
canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/certification-iso-42001-etapes-et-couts"
category: "Agents IA"
topic: "ISO 42001 (système de management de l'IA)"
updated: "2026-10-28T13:26:34.989Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# Certification ISO 42001 : étapes et coûts

La certification ISO 42001 atteste, par un organisme accrédité, que le système de management de l'IA (AIMS) d'une organisation satisfait aux exigences de l'ISO/IEC 42001:2023. La démarche comprend l'analyse des écarts, la mise en place de l'AIMS, l'audit interne, la revue de direction ainsi qu'un audit externe en deux étapes (étape 1 et étape 2). Le certificat est valable trois ans.

## L’essentiel

- La certification ISO 42001 se déroule en deux étapes externes : l'étape 1 (revue documentaire, 1-3 jours) et l'étape 2 (audit opérationnel principal, 3-10 jours), menées par un organisme accrédité selon l'ISO/IEC 17021-1 et l'ISO/IEC 42006:2025.
- Le certificat est valable trois ans, avec des audits de surveillance annuels et un audit de renouvellement en fin de cycle. C'est le même rythme que pour l'ISO 27001.
- La durée totale entre le lancement du projet et l'obtention du certificat est généralement de 6-12 mois avec un SMSI/SMQ existant, et de 9-18 mois en partant de zéro.
- C'est le système de management (AIMS) qui est certifié, pas un système d'IA en particulier. La formule « notre IA est certifiée ISO 42001 » est trompeuse.
- Pour les ETI de la région DACH (Allemagne, Autriche, Suisse) qui agissent en tant que déployeurs (500-2 000 salariés), le coût total se situe généralement entre 50 k€ et 150 k€ (chiffres 2026). Le conseil et la mise en place représentent le poste le plus important, et non les frais d'audit.
- Avant l'audit d'étape 2, on attend 3-6 mois de preuves de fonctionnement opérationnel ainsi qu'au moins un cycle complet d'audit interne.

La certification ISO 42001 prouve qu'une organisation exploite un [système de management de l'IA](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia) efficace (SMIA ; en anglais Artificial Intelligence Management System, AIMS) conforme à l'ISO/IEC 42001:2023. Un organisme de certification accrédité vérifie, lors d'un audit en deux étapes, si les politiques, les processus, les rôles ainsi que les analyses de risques et d'impact répondent aux exigences de la norme. Le certificat est valable trois ans.

Une précision importante d'abord : c'est le système de management qui est certifié, pas un système ou un modèle d'[IA](https://blckalpaca.at/fr/glossaire/ia) en particulier. L'affirmation répandue « notre IA est certifiée ISO 42001 » est réductrice, voire trompeuse. La formulation correcte est : « L'AIMS de l'organisation X est certifié selon l'ISO/IEC 42001:2023, avec le périmètre Y (selon la déclaration d'applicabilité version Z). »

**Trois réponses rapides :**

- **Démarche :** analyse des écarts → mise en place de l'AIMS (politique, analyse des risques et d'impact, mesures de l'annexe A) → fonctionnement opérationnel avec preuves → audit interne + revue de direction → audit externe d'étape 1 et d'étape 2 → certificat (3 ans).
- **Durée :** 6-12 mois avec une certification ISO 27001/9001 existante, 9-18 mois en partant de zéro. Étape 1 externe : 1-3 jours, étape 2 : 3-10 jours.
- **Coût :** 50-150 k€ pour une ETI de la région DACH (Allemagne, Autriche, Suisse) agissant en tant que déployeur (500-2 000 salariés, chiffres 2026) ; le conseil et la mise en place constituent le poste le plus important, et non les frais d'audit.

## Le processus de certification en détail

L'ISO/IEC 42001:2023 suit la structure de haut niveau de l'annexe SL, comme l'ISO 9001, l'ISO 14001 et l'ISO/IEC 27001. La certification est délivrée par un organisme de certification accrédité (Certification Body, CB) qui travaille selon l'ISO/IEC 17021-1 et, depuis 2025, selon le supplément spécifique à l'IA ISO/IEC 42006:2025. La démarche se divise en une phase de préparation côté organisation et l'audit externe.

### 1. Analyse des écarts (readiness assessment)

Tout commence par une comparaison entre la situation actuelle et les exigences des chapitres 4 à 10 de la norme et de l'annexe A. À cette occasion, l'inventaire IA (registre des agents/IA) est créé ou mis à jour, tous les systèmes d'IA du périmètre sont classés par niveau de risque, et un rapport d'écarts est établi avec niveaux de gravité et responsables. Cette étape dure généralement 4-8 semaines.

### 2. Mise en place de l'AIMS

C'est ici que l'essentiel se construit. Le cœur est la politique IA approuvée par la direction (chapitre 5.2 / [annexe A.2.2](https://www.isms.online/iso-42001/annex-a-controls/a-2-policies-related-to-ai/)), complétée par cinq à sept procédures support : gestion des risques IA, analyse d'impact IA, cycle de vie de l'IA, gouvernance des données pour l'IA, procédure fournisseurs et réponse aux incidents IA. En parallèle, les mesures applicables de l'annexe A (9 domaines de contrôle, 38 mesures) sont mises en œuvre de manière opérationnelle. Pour les exploitants d'agents, les points clés sont [A.4](https://www.isms.online/iso-42001/annex-a-controls/a-4-resources-for-ai-systems/) (ressources des systèmes d'IA ; leur documentation peut servir de base au registre IA), A.5 (analyse d'impact), A.6.2.8 (journalisation des événements), A.7 (provenance des données) et A.10 (fournisseurs). L'étape se conclut par la déclaration d'applicabilité (SoA), qui indique pour chaque mesure de l'annexe A si elle est « applicable » ou « non applicable », avec une justification fondée sur les risques. La SoA est le document le plus examiné lors de l'audit ; sa version et sa date sont référencées sur le certificat. Le [certificat ISO 42001 de SAP SE](https://www.sap.com/documents/2025/10/a6c727b9-227f-0010-bca6-c68f7e60039b.html) mentionnait ainsi d'abord la version 1.4 de la SoA du 28 juillet 2025, puis, après mise à jour, la version 1.5 du 10 mars 2026.

### 3. Fonctionnement opérationnel

L'AIMS doit fonctionner, pas seulement être documenté. Avant l'audit externe d'étape 2, on attend 3-6 mois de preuves de fonctionnement opérationnel : analyses de monitoring, journaux d'incidents, preuves de changements et de formations, évaluations des fournisseurs. Le constat le plus fréquent en étape 1 est « documentation sans fonctionnement » : de beaux documents, mais aucune preuve de fonctionnement.

### 4. Audit interne et revue de direction

Le chapitre 9.2 exige un audit interne fondé sur les risques, couvrant tous les chapitres et les mesures applicables de l'annexe A. Au moins un cycle complet d'audit interne est attendu avant l'audit externe d'étape 2 ; les auditeurs internes doivent être indépendants des activités auditées. La direction conduit ensuite la revue de direction selon le chapitre 9.3, avec des éléments d'entrée obligatoires (résultats d'audit, non-conformités, atteinte des objectifs, retours clients) et des éléments de sortie obligatoires (décisions d'amélioration, de changement, de ressources). Les comptes rendus constituent eux-mêmes des preuves d'audit.

### 5. Audit externe d'étape 1

L'organisme de certification vérifie, essentiellement sur la base de documents, si la documentation de l'AIMS (périmètre, politique, objectifs, SoA, méthodologie de risques, processus d'analyse d'impact, audit interne, revue de direction) existe et si l'organisation est prête pour l'étape 2. Durée pour une ETI : 1-3 jours. Les constats sont généralement traités en quelques jours ; des lacunes importantes repoussent l'étape 2.

### 6. Audit externe d'étape 2 (audit principal)

L'audit opérationnel se déroule sur site ou en format hybride. L'auditeur prélève des échantillons pour chaque ligne de la SoA, interroge les responsables des mesures (direction, référent IA, responsables des systèmes, data stewards, responsable MLOps, délégué à la protection des données, RSSI) et vérifie si l'AIMS fonctionne efficacement. Durée : 3-10 jours, selon la taille, la complexité du périmètre et le nombre de systèmes d'IA. Les constats sont classés en non-conformités majeures (à lever avant la certification, généralement sous 90 jours), non-conformités mineures (plan d'actions correctives après l'audit) et pistes d'amélioration (OFI).

### 7. Décision de certification

Un évaluateur de l'organisme de certification, indépendant des auditeurs principaux, décide de la certification. La validité est de trois ans.

### 8. Audits de surveillance et renouvellement

Les audits de surveillance annuels examinent, sur un périmètre plus restreint, les mesures clés, les changements depuis le dernier audit, l'atteinte des objectifs et l'avancement des actions correctives (généralement 1-4 jours). Au terme du cycle de trois ans intervient l'audit de renouvellement, comparable à l'étape 2 initiale, mais qui tient compte de l'historique de l'AIMS.

## Tableau : phases, contenu, durée

| Phase | Contenu | Durée |
| --- | --- | --- |
| Sponsor & périmètre | Budget, équipe projet, déclaration de périmètre, comité de pilotage | 2-4 semaines |
| Analyse des écarts | Comparaison existant/cible des chapitres 4-10 + annexe A, inventaire IA, classification des risques | 4-8 semaines |
| Socle de politiques | Politique IA + 5-7 procédures, intégration au SMSI/SMQ | 4-8 semaines |
| Risques & analyse d'impact | Méthodologie, modèles (ISO 42005 / AIPD / FRIA), premières évaluations | 4-8 semaines |
| Mesures de l'annexe A | Élaboration des documents et pratiques pour chaque mesure applicable | 8-24 semaines |
| Finalisation de la SoA | Chaque mesure applicable/non applicable avec justification, validation par la direction | 2-4 semaines |
| Fonctionnement | Produire des preuves opérationnelles (monitoring, incidents, formation) | au moins 3-6 mois |
| Audit interne | Cycle d'audit complet, actions correctives | 2-4 semaines |
| Revue de direction | Revue selon le chap. 9.3, décisions documentées | env. 1 semaine |
| Audit d'étape 1 (externe) | Revue documentaire par le CB | 1-3 jours |
| Audit d'étape 2 (externe) | Audit opérationnel principal, décision de certification | 3-10 jours |

Répartition observée de l'effort par chapitre : le chapitre 6 + le chapitre 8 + l'annexe A (le cœur risques, impact et exploitation) représentent environ 60 %, les chapitres 4 + 5 environ 15 %, le chapitre 7 environ 10 %, les chapitres 9 + 10 environ 15 %.

## Effort, coûts et rôles

La fourchette de coûts dépend fortement de la situation de départ et du périmètre. Les valeurs suivantes (chiffres 2026, consolidés à partir de Schellman, BSI Group, A-LIGN, DNV, Vanta, reconn.io et de l'étude de cas Modulos, en euros pour la région DACH) sont indicatives :

| Segment | Coût total (conseil + audit + interne) | Durée typique |
| --- | --- | --- |
| Petit fournisseur d'IA / startup, périmètre restreint | 30-80 k€ | 4-9 mois |
| ETI DACH agissant en tant que déployeur (500-2 000 salariés) | 50-150 k€ | 9-12 mois |
| Grand groupe DACH avec SMSI mature (≥2 000 salariés) | 200-500 k€ | 12-18 mois |
| Fournisseur d'IA DACH (certificat comme facteur de différenciation) | 150-400 k€ | 9-15 mois |
| Très grands programmes d'entreprise, périmètre large | jusqu'à 1 M€ et plus | 12-24 mois |

Les seuls frais d'audit externe (étape 1 + étape 2) s'élèvent à 20-60 k€ pour une ETI et à 50-150 k€ et plus pour une grande entreprise ; chaque audit de surveillance ajoute environ 25-40 %. Le poste le plus important est en général le conseil (analyse des écarts, mise en place de l'AIMS, audit interne).

**Rôles :** La fonction centrale est celle du responsable de l'AIMS ou référent IA, qui pilote le projet. L'ISO 42001 n'impose pas de titre unique d'« AI Officer » ; dans les ETI de la région DACH, ce rôle est souvent cumulé avec celui de RSSI ou de délégué à la protection des données. Sont également impliqués la direction (responsabilité, approbation de la politique et de la SoA), le responsable MLOps, les responsables produit des systèmes d'IA, les achats (fournisseurs, A.10.3) ainsi que les RH/la formation (compétences selon le chap. 7.2).

## Exemple concret : une ETI qui déploie de l'IA

Une ETI de la région DACH de 800 salariés, certifiée ISO 9001 mais sans SMSI, exploite cinq applications d'IA ([agent](https://blckalpaca.at/fr/glossaire/agent) de service client, assistant de connaissances, copilote commercial, recherche interne, agent documentaire RH). Avec un budget total d'environ 100 k€, l'effort se répartit généralement ainsi :

- Analyse des écarts : 10 % (10 k€)
- Mise en place des politiques et processus : 25 % (25 k€)
- Mise en œuvre de l'annexe A (opérationnelle) : 30 % (30 k€)
- Audit interne + remédiation : 10 % (10 k€)
- Frais d'audit externe : 20 % (20 k€)
- Marge de sécurité : 5 % (5 k€)

Recommandation pour une première certification : choisir un périmètre restreint (« Exploitation d'agents IA pour [ensemble de fonctions défini] ») et l'élargir lors du renouvellement. Le cas de Xayn (Allemagne) fait figure d'exception par sa rapidité : selon des informations de SGS, l'entreprise a été certifiée en quatre semaines environ. Cela n'a été possible que parce que la substance de l'AIMS (politiques, registre des risques, revue du cycle de vie, monitoring) existait déjà en grande partie avant le lancement du projet.

## Organismes accrédités dans la région DACH

Dans la région DACH, on trouve notamment TÜV SÜD ([premier certificat ISO 42001 délivré par TÜV SÜD en Europe](https://www.tuvsud.com/de-de/presse-und-medien/2025/april/tuev-sued-zertifiziert-ki-managementsysteme-nach-iso-iec-42001), Unique AG, avril 2025), TÜV Rheinland, TÜV Austria avec sa division TRUSTIFAI, TÜV Nord, DEKRA, DQS, BSI Group et SGS (premier certificat allemand, Xayn). Les organismes d'accréditation sont la DAkkS (Allemagne), Akkreditierung Austria (Autriche) et le SAS (Suisse), reconnus mutuellement via l'IAF MLA. Un point de vigilance : un organisme qui fait la promotion de la « certification ISO 42001 » devrait pouvoir justifier du périmètre concret de son accréditation et de son alignement sur l'ISO/IEC 42006:2025. En 2026, l'accréditation n'est pas encore harmonisée et certains CB travaillent sous des régimes transitoires.

Remarque : cet article constitue une orientation technique et non un conseil juridique. Les notions juridiques, numéros d'articles et délais (par exemple concernant le [règlement européen sur l'IA](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai), l'analyse d'impact relative à la protection des données au titre du [RGPD](https://blckalpaca.at/fr/glossaire/rgpd) ou l'analyse d'impact sur les droits fondamentaux) doivent être vérifiés au cas par cas avec un conseil juridique qualifié. Il en va de même pour l'état de la normalisation : le CEN-CENELEC a publié l'[EN 18286:2026 sur le système de management de la qualité](https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-07-30-ai-quality-management/), première norme de mise en œuvre du règlement sur l'IA.

## Pour les agences et les décideurs B2B

Pour les agences marketing et les prestataires B2B qui [exploitent des agents IA pour leurs clients](https://blckalpaca.at/fr/services/agent-ia-entreprise), la certification ISO 42001 devient de plus en plus un argument commercial : le certificat remplace une partie des questionnaires fournisseurs des grands comptes et raccourcit les cycles de vente. Si tu fais certifier tôt un périmètre restreint et bien documenté, tu poses une base de gouvernance auditable que tu pourras élargir plus tard. Blck Alpaca accompagne les entreprises de toute l'Europe dans l'analyse des écarts, la mise en place de l'AIMS et la préparation à l'audit, en se concentrant sur l'effort réel plutôt que sur le simple polissage des documents.

## Questions fréquentes

### Combien de temps dure une certification ISO 42001 ?

Entre le lancement du projet et le certificat, il faut généralement compter 6-12 mois si un système de management ISO 27001 ou ISO 9001 existe déjà, et 9-18 mois en partant de zéro. L'audit externe d'étape 1 dure 1-3 jours, l'audit d'étape 2 entre 3 et 10 jours, selon la taille de l'organisation et le nombre de systèmes d'IA inclus dans le périmètre. Avant l'audit d'étape 2, on attend 3-6 mois de preuves de fonctionnement opérationnel.
### Combien coûte une certification ISO 42001 dans la région DACH ?

Pour une ETI de la région DACH (Allemagne, Autriche, Suisse) de 500-2 000 salariés agissant en tant que déployeur, le coût total (conseil, audit, charge interne) se situe généralement entre 50 k€ et 150 k€ (chiffres 2026). Les seuls frais d'audit externe pour l'étape 1 et l'étape 2 s'élèvent à 20-60 k€ pour une ETI, et chaque audit de surveillance ajoute environ 25-40 %. Les grands groupes dotés d'un SMSI mature se situent entre 200 k€ et 500 k€.
### Combien de temps un certificat ISO 42001 est-il valable ?

Un certificat ISO 42001 est valable trois ans. Au cours de ce cycle ont lieu des audits de surveillance annuels au périmètre plus restreint. Au terme des trois ans intervient un audit de renouvellement, d'une ampleur comparable à l'audit d'étape 2 initial, mais qui tient compte de l'historique existant de l'AIMS.
### La certification ISO 42001 atteste-t-elle la conformité au règlement européen sur l'IA ?

Non. En 2026, l'ISO/IEC 42001 n'est pas une norme harmonisée et n'est pas citée au Journal officiel de l'UE ; elle ne confère aucune présomption de conformité au règlement européen sur l'IA. Les normes harmonisées liées au règlement sur l'IA sont élaborées par le CEN-CENELEC JTC 21 dans la série EN 182xx ; la première publiée est l'EN 18286, consacrée au système de management de la qualité prévu à l'article 17. La présomption de conformité n'existe qu'une fois la référence de la norme publiée au Journal officiel de l'UE. L'ISO 42001 est toutefois considérée comme la base organisationnelle la plus solide pour se préparer au règlement sur l'IA. Ceci ne constitue pas un conseil juridique.
### Quels rôles faut-il pour la certification ?

Le rôle central revient au responsable de l'AIMS ou référent IA, qui pilote le projet, entouré de la direction (responsabilité et approbation), du RSSI ou responsable du SMSI, du délégué à la protection des données, du responsable MLOps, des responsables produit des systèmes d'IA inclus dans le périmètre et d'une fonction d'audit interne. Dans les ETI de la région DACH, le rôle de référent IA est souvent cumulé avec la fonction de RSSI ou de protection des données.

---

Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/certification-iso-42001-etapes-et-couts). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.