L’IA est déjà dans votre entreprise. Votre système de management, lui, ne le sait pas encore.

Vos équipes utilisent ChatGPT pour rédiger des courriers. Votre service commercial teste un outil de scoring. Votre prestataire informatique a glissé « de l’IA » dans sa dernière mise à jour. Tout cela s’est installé sans inventaire, sans règle d’usage, sans validation — exactement comme les fichiers Excel ont colonisé la gestion qualité il y a vingt ans.

La différence ? Cette fois, la réglementation arrive avant la maturité des entreprises, pas après. Et une norme existe déjà pour structurer la réponse : ISO/IEC 42001:2023, la première norme certifiable de management de l’intelligence artificielle.

ISO 42001 : de quoi parle-t-on exactement ?

Publiée fin 2023, l’ISO 42001 fait pour l’IA ce que l’ISO 9001 a fait pour la qualité et l’ISO 27001 pour la sécurité de l’information : elle définit un système de management — pas une liste de bonnes intentions.

Concrètement, la norme repose sur deux blocs :

La structure harmonisée ISO (chapitres 4 à 10) : contexte, leadership, planification, support, opérations, évaluation des performances, amélioration. Si vous êtes déjà certifié ISO 9001 ou 27001, vous êtes en terrain connu.
L’Annexe A : 38 contrôles spécifiques à l’IA, couvrant tout le cycle de vie des systèmes : politique d’IA, rôles et responsabilités, analyse d’impact, gestion des données, transparence vis-à-vis des utilisateurs, supervision humaine, gestion des fournisseurs d’IA.

Le principe central : vous devez savoir quels systèmes d’IA vous utilisez, pourquoi, avec quels risques, et qui en répond. Tout le reste en découle.

Qui est concerné au Maroc ?

Plus d’entreprises qu’on ne le croit — et pas seulement les éditeurs de logiciels :

Les exportateurs et sous-traitants de groupes européens. L’AI Act européen impose des obligations de transparence sur les contenus générés par IA. Vos donneurs d’ordre européens vont répercuter ces exigences sur leur chaîne de sous-traitance — comme ils l’ont fait avec le RGPD.
Les prestataires de services numériques et cabinets de conseil. Si vous utilisez l’IA pour produire des livrables clients (analyses, documents, code), vos clients voudront des garanties sur la maîtrise de ces outils.
Les industriels qui intègrent l’IA dans leurs processus. Maintenance prédictive, contrôle qualité par vision, optimisation énergétique : dès que l’IA influence des décisions opérationnelles, sa gouvernance devient un sujet d’audit.
Toute entreprise traitant des données personnelles avec de l’IA. La loi marocaine 09-08 et la CNDP encadrent déjà le traitement des données personnelles. Faire transiter des données clients ou salariés par des outils d’IA sans cadre, c’est un risque juridique actuel, pas futur.

Ce que la norme exige concrètement

Au-delà du jargon normatif, voici ce qu’un auditeur ISO 42001 viendra vérifier :

1. Un inventaire de vos systèmes d’IA

Quels outils, pour quels usages, avec quelles données, sous la responsabilité de qui. C’est le point de départ — et pour la plupart des entreprises, la première découverte douloureuse : personne ne sait combien d’outils d’IA circulent réellement.

2. Une politique d’IA responsable

Un document court qui fixe les règles du jeu : usages autorisés et interdits, validation des nouveaux outils, traitement des données sensibles, exigences vis-à-vis des fournisseurs.

3. Des analyses d’impact

Pour chaque système d’IA significatif : quels risques pour les personnes concernées (clients, salariés, candidats) ? Quelles mesures de maîtrise ? L’exercice ressemble aux analyses d’impact RGPD — les deux se mutualisent d’ailleurs très bien.

4. Une supervision humaine définie

Qui valide les sorties de l’IA avant qu’elles n’engagent l’entreprise ? Sur quels cas l’humain doit-il obligatoirement reprendre la main ? La norme exige que ces points de contrôle soient définis — pas improvisés.

5. Des preuves

Comme pour toute norme ISO : ce qui n’est pas tracé n’existe pas. Décisions, validations, incidents, revues — tout doit laisser une trace exploitable en audit.

Le vrai bon plan : la coupler avec ISO 27001

ISO 42001 partage la structure harmonisée ISO avec la 27001 (sécurité de l’information). Les deux normes se recouvrent largement : gestion des actifs, des fournisseurs, des incidents, des risques. Une entreprise qui vise les deux certifications dans un système de management intégré mutualise l’essentiel de l’effort documentaire et des audits.

C’est le chemin qu’a suivi E-Quality Engineering, cabinet de conseil et éditeur de solutions digitales : confronté aux exigences de clients grands comptes sur le développement sécurisé et l’IA responsable, il a construit un SMI couvrant les deux référentiels — et obtenu la double certification ISO 27001 + ISO 42001, avec l’ensemble des contrôles, preuves et analyses d’impact pilotés dans Betterfly.

Par où commencer : 5 étapes réalistes

Inventoriez vos usages d’IA — y compris les usages « sauvages ». Un simple questionnaire interne révèle généralement deux fois plus d’outils que prévu.
Rédigez votre politique d’IA — une page suffit pour démarrer. L’important est qu’elle existe, qu’elle soit validée par la direction et communiquée.
Menez vos premières analyses d’impact sur les 2-3 systèmes les plus sensibles (ceux qui touchent aux données personnelles ou aux décisions importantes).
Mettez en place les contrôles de l’Annexe A progressivement, en commençant par ceux qui répondent à un risque réel identifié — pas par ordre alphabétique.
Auditez en interne avant de viser la certification. Un audit à blanc révèle les écarts pendant qu’ils sont encore peu coûteux à corriger.

Comment Betterfly vous aide (et ce qu’il ne fera pas à votre place)

Betterfly intègre le référentiel ISO 42001 dans sa plateforme : suivi de chaque exigence et de chaque contrôle de l’Annexe A avec son statut et son responsable, déclaration d’applicabilité, et surtout liaison directe entre les contrôles et vos preuves — politiques, analyses d’impact, actions correctives, enregistrements.

Soyons honnêtes sur un point : aucun logiciel n’obtiendra la certification à votre place. La politique d’IA, les arbitrages de risques, la décision finale — c’est vous. Ce que la plateforme garantit, c’est que rien ne se perd, que tout se prouve, et que le jour de l’audit, le dossier est déjà prêt.

Et c’est un engagement que nous appliquons à nous-mêmes : Betterfly est éditée par une entreprise certifiée ISO 27001 et ISO 42001. Les exigences que nous outillons, nous les vivons.

Pour aller plus loin :

Découvrez notre page dédiée ISO 42001 : exigences, parcours de certification, checklist de conformité
Réservez une démonstration pour voir le référentiel ISO 42001 en action sur vos cas d’usage