L'IA s'est installée dans les PME et les organismes de formation sans prévenir : un assistant pour rédiger, une fonction de correction dans la plateforme, un outil de tri des demandes. La question n'est plus de savoir si vous utilisez l'IA, mais si cet usage est sous contrôle. Voici un questionnaire en 30 questions pour le vérifier, et pour préparer, si besoin, une démarche ISO/IEC 42001 avec un accompagnement.
Ce que l'on attend aujourd'hui d'une organisation qui utilise l'IA
Trois références se complètent.
Le règlement européen sur l'IA. Le règlement (UE) 2024/1689 s'applique par étapes. Il demande aux organisations qui utilisent l'IA de développer la maîtrise de l'IA de leurs équipes (article 4). Il classe aussi certains usages comme à haut risque. Dans l'éducation et la formation professionnelle, c'est le cas des systèmes qui décident d'une admission, évaluent les acquis ou orientent les apprenants (annexe III). Enfin, il pose des obligations de transparence quand une personne échange avec une IA ou reçoit un contenu généré. Le calendrier de certaines obligations a été ajusté en 2026 : vérifiez toujours la version consolidée du texte.
La CNIL. Dès qu'un usage de l'IA touche des données personnelles, le RGPD s'applique. La CNIL a publié des recommandations sur les systèmes d'IA et une liste de vérification. Si vous êtes organisme de formation, notre article sur le RGPD et les organismes de formation rappelle les bases.
La norme [ISO/IEC 42001](https://www.iso.org/standard/42001). Elle décrit un système de management de l'IA : politique, rôles, évaluation des risques, maîtrise des usages, amélioration continue. Elle suit la même structure que l'ISO 9001. Un organisme déjà engagé dans une démarche qualité retrouve des repères familiers, comme le montre notre point sur les nouveautés de l'ISO 9001:2026.
Un questionnaire en cinq domaines
Le questionnaire compte 30 questions, réparties en cinq domaines de six questions. Chaque question se note de 0 à 3 : 0 si rien n'est fait, 1 si la pratique est informelle, 2 si elle est définie mais pas toujours appliquée, 3 si elle est écrite, appliquée et prouvée.
1. Objectifs et cadre. Savez-vous quels outils d'IA sont utilisés, y compris à titre individuel ? Chaque usage a-t-il un objectif écrit ? Avez-vous repéré ceux qui touchent des décisions sur des personnes ? Existe-t-il une politique IA validée par la direction ?
2. Gouvernance interne. Une personne est-elle nommément responsable des usages de l'IA ? Un nouvel outil passe-t-il par une validation ? Les utilisateurs sont-ils formés aux limites de l'IA ? Savez-vous quoi faire en cas d'erreur grave ?
3. Niveau d'intervention humaine. C'est le domaine le plus parlant. Pour chaque usage, l'humain peut être dans la boucle (l'IA propose, une personne décide), au-dessus de la boucle (l'IA décide, une personne surveille et peut reprendre la main) ou hors de la boucle (l'IA décide seule). Les questions vérifient que ce choix est fait, écrit, et adapté à l'impact sur les personnes.
4. Données et modèles. Savez-vous quelles données partent vers chaque outil, et où elles sont traitées ? Une règle interdit-elle d'y envoyer des données personnelles sans validation ? Testez-vous la qualité des résultats ?
5. Information des personnes. Les personnes savent-elles qu'elles échangent avec une IA ? Sont-elles informées quand l'IA intervient dans une décision qui les concerne ? Les réclamations sont-elles traitées ?
L'exemple d'un organisme de formation
Prenons trois usages courants.
Un formateur utilise une IA pour proposer une correction des copies. Si chaque note est relue et validée par lui, l'humain est dans la boucle. C'est le bon niveau : une évaluation des acquis touche directement l'apprenant.
L'organisme trie automatiquement les demandes entrantes par thème. Une personne vérifie le tri chaque semaine. L'humain est au-dessus de la boucle, ce qui suffit pour un usage à faible impact.
Un assistant répond seul aux questions des visiteurs du site, sans relecture. L'humain est hors de la boucle. C'est acceptable seulement si l'assistant ne donne pas d'avis sur un parcours ou un financement, et si le visiteur sait qu'il parle à une machine.
Le questionnaire aide à faire ce tri usage par usage, plutôt que de traiter l'IA comme un bloc.
Lire votre score
Chaque domaine est noté sur 18. Entre 0 et 5, le domaine n'est pas maîtrisé : il faut agir dans le mois. Entre 6 et 11, les pratiques existent mais dépendent des personnes. Entre 12 et 15, elles sont définies et il reste à les tracer. À partir de 16, le domaine est piloté.
Sur le total de 90 points, trois lectures :
- Moins de 36 : posez les fondations. Inventaire des usages, référent IA, règle sur les données, validation humaine des décisions qui touchent des personnes.
- De 36 à 63 : la base existe. Un diagnostic d'écart avec l'ISO/IEC 42001 permet de construire un plan sur 6 à 12 mois.
- Plus de 63 : la certification devient un objectif réaliste. Le travail porte sur la documentation, l'audit interne et la revue de direction.
Un point de vigilance : un seul 0 sur l'inventaire des usages, sur les décisions qui touchent des personnes ou sur la règle des données justifie une action immédiate, quel que soit le total.
Par où commencer cette semaine
Trois actions suffisent pour passer d'un usage subi à un usage maîtrisé :
- Faire l'inventaire des outils d'IA utilisés, avec l'usage, le service et les données concernées.
- Désigner un référent IA et écrire une politique d'une page : ce qui est autorisé, interdit, à demander.
- Repérer les usages qui touchent une décision sur une personne et y garder un humain dans la boucle.
Faire l'autodiagnostic en ligne
Le questionnaire complet est en ligne : l'autodiagnostic ISO 42001. Vous notez les 30 questions de 0 à 3, votre score s'affiche par domaine au fur et à mesure, avec la piste d'action de chaque point faible. Vous pouvez recevoir la synthèse par e-mail.
Pour en parler ou pour un premier retour sur vos résultats : lois.armand@hinsight.org ou 04 82 53 39 32.
Ce questionnaire s'inspire de la structure du guide d'autoévaluation ISAGO, publié à Singapour par l'IMDA et la PDPC.