ISO 42001 : certification du système de management de l’IA

Pour l’IA médicale, l’ISO/IEC 42001 se superpose à votre SMQ ISO 13485, voir ISO 42001 et ISO 13485 aux côtés du règlement sur l’IA.

Le règlement sur l’IA (règlement (UE) 2024/1689) crée des obligations contraignantes. Mais un règlement ne s’accompagne pas d’un mode d’emploi. Il vous dit ce que vous devez atteindre, gestion des risques, documentation technique, contrôle humain, gestion de la qualité, sans prescrire comment construire la machinerie organisationnelle qui livre ces résultats, jour après jour. C’est là qu’entre l’ISO/IEC 42001.

Publiée en décembre 2023, l’ISO/IEC 42001 est la première norme internationale de système de management dédiée à l’intelligence artificielle. Elle fournit un cadre certifiable, calqué sur la structure de haut niveau familière de l’annexe SL, déjà utilisée par l’ISO 27001, l’ISO 9001 et d’autres normes de système de management, pour établir, mettre en œuvre, tenir et améliorer en continu un système de management de l’IA (AIMS). Pour les organisations qui visent l’échéance de conformité à haut risque de décembre 2027, une certification ISO 42001 devient rapidement l’investissement structurel le plus utile qu’elles puissent faire.

Ce guide explique tout ce qu’il faut savoir : ce que la norme exige, comment elle se rattache au règlement sur l’IA, à quoi ressemble le parcours de certification, comment elle s’intègre aux normes que vous détenez déjà, et, point décisif, ce qu’elle ne couvre pas.

L’essentiel, l’ISO 42001 en bref

• ISO/IEC 42001:2023 est la première norme internationale certifiable pour les systèmes de management de l’IA. Elle a été publiée par l’ISO et la CEI en décembre 2023.
• Elle s’applique à toute organisation qui développe, fournit ou utilise des systèmes d’IA, quelle que soit la taille, le secteur ou la géographie.
• La norme suit la structure de haut niveau de l’annexe SL, ce qui la rend directement intégrable avec l’ISO 27001, l’ISO 9001 et l’ISO 27701.
• Elle comprend des contrôles de l’annexe A conçus pour l’IA, couvrant les biais, la transparence, la gouvernance des données, le contrôle humain et la gestion du cycle de vie des systèmes.
• La certification ISO 42001 couvre, selon les estimations, 70 à 80 % des exigences organisationnelles et de processus du règlement sur l’IA pour les systèmes à haut risque, en particulier la gestion des risques de l’article 9 et la gestion de la qualité de l’article 17.
• La certification n’équivaut pas à la conformité complète au règlement sur l’IA. Des écarts critiques demeurent autour des spécificités de gouvernance des données de l’article 10, du marquage CE et des procédures d’évaluation de la conformité.
• Le calendrier type de certification est de 12 à 18 mois, de l’analyse des écarts à la délivrance du certificat.
• La certification est accordée par des organismes tiers accrédités et vaut trois ans, sous réserve d’audits de surveillance annuels.
• Les organisations qui détiennent déjà l’ISO 27001 peuvent s’appuyer sur l’infrastructure SMSI existante pour accélérer nettement la mise en œuvre de l’AIMS.

Qu’est-ce que l’ISO 42001 ?

ISO/IEC 42001:2023, Intelligence artificielle, Système de management est une norme internationale qui spécifie les exigences pour établir, mettre en œuvre, tenir et améliorer en continu un système de management de l’IA (AIMS) au sein d’une organisation. Elle a été publiée le 18 décembre 2023 par un comité technique mixte ISO/CEI (JTC 1/SC 42, Intelligence artificielle) et représente l’aboutissement de plusieurs années de travaux impliquant des experts de plus de 50 pays.

La norme est agnostique quant à la technique. Elle ne dicte ni quelles techniques d’IA utiliser, ni sur quelle infrastructure déployer. Elle fournit une enveloppe de système de management, politiques, processus, rôles, appréciations des risques, contrôles, documentation, surveillance et audit, qui assure que l’IA est gouvernée de façon responsable tout au long de son cycle de vie.

À qui s’applique-t-elle ?

L’ISO 42001 est conçue pour toute organisation impliquée dans l’IA, qu’elle soit développeur, fournisseur, déployeur ou intégrateur. Cela inclut les éditeurs de produits d’IA, les entreprises qui déploient des systèmes d’IA de tiers ou internes, les organismes du secteur public qui utilisent l’IA pour la prise de décision, et les cabinets de conseil ou intégrateurs de systèmes d’IA.

La norme est neutre quant au secteur et s’adapte à l’échelle. Une jeune pousse de trois personnes qui développe un seul modèle d’apprentissage automatique peut la mettre en œuvre, comme une multinationale qui déploie des centaines de systèmes d’IA dans plusieurs juridictions. Le champ de l’AIMS est défini par l’organisation elle-même (clause 4.3).

Pourquoi maintenant ?

Le paysage réglementaire a basculé. Les obligations à haut risque du règlement sur l’IA s’appliquent à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Le NIST AI RMF, les règles chinoises de gouvernance de l’IA, le cadre britannique favorable à l’innovation et l’AIDA canadien avancent tous. L’ISO 42001 donne aux organisations un seul cadre opérationnel qui satisfait les attentes de processus et de gouvernance de plusieurs régimes à la fois. Pour une comparaison plus large, voir notre guide sur la régulation de l’IA : UE, États-Unis, Royaume-Uni, Chine.

Structure de l’ISO 42001 et exigences clés

L’ISO 42001 suit la structure harmonisée de l’annexe SL, la même architecture de haut niveau utilisée par l’ISO 27001 (sécurité de l’information), l’ISO 9001 (qualité), l’ISO 14001 (environnement) et l’ISO 27701 (vie privée). Si votre organisation exploite déjà l’un de ces systèmes de management, la structure sera immédiatement familière. Sinon, l’architecture est logique et bien documentée.

La norme est organisée en clauses 4 à 10 (exigences normatives), plus l’annexe A (jeu de référence de contrôles propres à l’IA) et les annexes B à D (orientation de mise en œuvre).

Contexte de l’organisation (clause 4)

La clause 4 exige que l’organisation comprenne son contexte interne et externe en ce qui concerne l’IA, y compris les exigences réglementaires, les attentes des parties intéressées et le paysage concurrentiel. Concrètement, l’organisation doit :

• Identifier les parties intéressées, régulateurs, clients, personnes concernées, salariés, organisations de la société civile, et déterminer leurs besoins et attentes liés à l’IA.
• Définir le champ de l’AIMS : quels systèmes d’IA, unités organisationnelles, sites et processus sont couverts.
• Documenter les étapes du cycle de vie des systèmes d’IA pertinentes pour les activités de l’organisation.

Cette clause est fondatrice. Chaque exigence suivante, appréciation des risques, choix des contrôles, évaluation de la performance, dépend d’un champ et d’un contexte clairement définis. Les organisations qui sautent la clause 4, ou y sous-investissent, peinent invariablement plus tard.

Leadership et politique IA (clause 5)

La direction doit démontrer un leadership et un engagement à l’égard de l’AIMS. Ce n’est pas cérémoniel. La norme exige de la direction qu’elle :

• Établisse une politique IA qui comprend des engagements aux principes d’IA responsable, à la conformité aux exigences applicables, et à l’amélioration continue.
• Veille à ce que les rôles, responsabilités et autorités pour l’AIMS soient attribués, communiqués et compris.
• Intègre les exigences de l’AIMS dans les processus métier de l’organisation.
• Assure des ressources adéquates, budget, personnel, outils.

La politique IA sert de document d’ancrage. Elle devrait articuler la position de l’organisation sur l’équité, la transparence, la responsabilisation, la sécurité et la vie privée dans l’IA, et elle doit être communiquée à tout le personnel concerné. Pour structurer un programme plus large de gouvernance de l’IA autour de ces engagements, voir notre guide pour construire un cadre de gouvernance de l’IA.

Planification, appréciation des risques et des opportunités (clause 6)

La clause 6 est le cœur analytique de la norme. Elle exige que l’organisation :

• Mène une appréciation des risques liés à l’IA qui identifie les risques et opportunités liés à l’AIMS et aux systèmes d’IA dans le champ. Les risques doivent être évalués selon la vraisemblance et l’impact, en considérant tout le cycle de vie de l’IA.
• Tienne un plan de traitement des risques liés à l’IA qui précise quels risques seront traités, quels contrôles seront appliqués, et quel risque résiduel est accepté.
• Fixe des objectifs de l’AIMS, des cibles mesurables qui portent l’amélioration (par exemple « réduire de 30 % d’une année sur l’autre les incidents de biais de modèle » ou « atteindre une couverture documentaire de 100 % pour les systèmes à haut risque en 6 mois »).

La méthode d’appréciation des risques doit être systématique et reproductible. Beaucoup d’organisations adoptent une matrice (vraisemblance × impact) avec des catégories de risque propres à l’IA : dégradation de la performance, biais et discrimination, atteintes à la vie privée, vulnérabilités de sécurité, opacité et défaillances d’explicabilité, et impact sociétal.

La clause 6 s’aligne directement sur l’article 9 du règlement sur l’IA, qui impose un système de gestion des risques tout au long du cycle de vie d’un système d’IA à haut risque. Une appréciation des risques ISO 42001, correctement bornée, fournit le socle documenté que l’article 9 exige.

Support, ressources, compétence, sensibilisation (clause 7)

La clause 7 traite l’infrastructure organisationnelle nécessaire pour exploiter l’AIMS :

• Ressources : budget, outils, infrastructure de calcul et personnel.
• Compétence : le personnel qui travaille dans l’AIMS doit avoir une compétence démontrable en IA, gestion des risques et gouvernance. L’organisation doit identifier les exigences de compétence, fournir la formation et conserver les preuves de compétence.
• Sensibilisation : tout le personnel concerné doit connaître la politique IA, sa contribution à l’AIMS, et les implications d’une non-conformité.
• Communication : les processus de communication interne et externe liés à la gouvernance de l’IA doivent être définis.
• Informations documentées : l’AIMS doit s’appuyer sur des informations documentées, politiques, procédures, enregistrements, appréciations et rapports d’audit. Cette documentation doit être maîtrisée, versionnée et accessible.

Les exigences documentaires de la clause 7 se rattachent étroitement aux obligations de documentation technique de l’article 11 du règlement sur l’IA. Les organisations qui construisent des pratiques documentaires robustes à la clause 7 constateront que produire la documentation technique de l’annexe IV devient un exercice en aval, plutôt qu’un projet isolé. Pour un modèle pratique, voir notre guide de documentation technique de l’annexe IV.

Fonctionnement, traitement des risques liés à l’IA (clause 8)

La clause 8 passe de la planification à l’exécution. L’organisation doit :

• Mettre en œuvre le plan de traitement des risques défini à la clause 6.
• Appliquer les contrôles de l’annexe A choisis lors du traitement des risques (voir ci-dessous).
• Maîtriser les changements opérationnels, nouveaux systèmes d’IA, mises à jour de modèles, modifications de pipelines de données, par des processus définis de gestion des changements.
• Mener une analyse d’impact du système d’IA pour les systèmes susceptibles d’avoir des impacts significatifs sur des personnes, des groupes ou la société.

L’analyse d’impact du système d’IA est l’un des éléments les plus distinctifs de la norme. Elle exige des organisations qu’elles évaluent, avant le déploiement et périodiquement ensuite, les impacts potentiels d’un système d’IA sur les personnes et communautés concernées, y compris les impacts sur les droits fondamentaux, la sécurité, le bien-être et l’environnement. Cette analyse est conceptuellement alignée sur l’analyse d’impact sur les droits fondamentaux (FRIA) exigée par l’article 27 du règlement sur l’IA pour certains déployeurs.

Évaluation de la performance (clause 9)

La clause 9 exige que l’organisation :

• Surveille, mesure, analyse et évalue la performance de l’AIMS et des systèmes d’IA individuels. Des indicateurs doivent être définis, des données collectées, et les résultats analysés à des intervalles planifiés.
• Mène des audits internes de l’AIMS à des intervalles planifiés pour vérifier que le système est conforme aux exigences de la norme et effectivement mis en œuvre.
• Procède à des revues de direction où la direction évalue l’adéquation, la pertinence et l’efficacité de l’AIMS, et décide des actions d’amélioration, de l’allocation des ressources et de l’orientation stratégique.

Les audits internes doivent être menés par des auditeurs indépendants des activités auditées. Dans les plus petites organisations, cela peut exiger un appui externe. Les constats d’audit doivent être documentés et suivis jusqu’à clôture.

Amélioration (clause 10)

La clause 10 ferme la boucle Planifier-Réaliser-Vérifier-Agir (PDCA). L’organisation doit :

• Traiter les non-conformités par des actions correctives, en investiguant les causes profondes, en mettant en œuvre des corrections et en vérifiant l’efficacité.
• Poursuivre l’amélioration continue de l’adéquation, de la pertinence et de l’efficacité de l’AIMS.

Les non-conformités peuvent naître d’audits internes, de revues de direction, de signalements d’incidents ou de retours externes. La norme ne prescrit pas une méthode d’amélioration particulière, mais le cycle PDCA encastré dans la structure de l’annexe SL donne le rythme opérationnel.

Annexe A, référentiel de contrôles IA

L’annexe A est peut-être la partie opérationnellement la plus significative de la norme. Elle fournit un catalogue de contrôles propres à l’IA organisé en domaines fonctionnels. Contrairement aux contrôles génériques de l’annexe A de l’ISO 27001, ces contrôles sont conçus pour la gouvernance de l’IA :

L’organisation doit produire une déclaration d’applicabilité (SoA), analogue à la SoA de l’ISO 27001, qui liste chaque contrôle de l’annexe A, indique s’il est applicable, justifie les exclusions, et renvoie aux preuves de mise en œuvre. Ce document devient un artefact d’audit central.

Comment l’ISO 42001 se rattache aux exigences du règlement sur l’IA

L’un des arguments les plus solides pour la certification ISO 42001 est son alignement structurel avec les exigences du chapitre III du règlement sur l’IA pour les systèmes d’IA à haut risque. La correspondance n’est pas parfaite, la norme et le règlement servent des objets différents, mais le recoupement est substantiel.

Le tableau suivant rattache les articles clés du règlement sur l’IA aux clauses et contrôles de l’annexe A de l’ISO 42001 correspondants :

Enseignement clé : l’ISO 42001 fournit une couverture structurelle solide des articles 9, 11, 13, 14 et 17. La couverture est modérée pour les articles 10, 12, 15 et 73, où le règlement sur l’IA ajoute une spécificité technique au-delà du champ de système de management de la norme. La norme ne traite pas les procédures d’évaluation de la conformité (article 43), le marquage CE (article 48) ni l’enregistrement dans la base de données de l’UE (article 49).

Pour une vue d’ensemble des exigences des systèmes à haut risque, voir notre liste de contrôle de conformité au règlement sur l’IA.

Le processus de certification

La certification ISO 42001 est accordée par un organisme de certification accrédité à l’issue d’un audit formel. Le processus s’étend typiquement sur 12 à 18 mois, du lancement à la délivrance du certificat. Voici le détail de chaque phase.

Phase 1 : analyse des écarts (mois 1-2)

Avant de construire quoi que ce soit, il faut savoir où l’on en est. Une analyse des écarts compare vos pratiques actuelles de gouvernance de l’IA aux exigences de l’ISO 42001 et identifie les lacunes.

Activités :

• Revoir les politiques, procédures et documentation IA existantes.
• Inventorier tous les systèmes d’IA dans le champ prévu de l’AIMS.
• Rattacher les contrôles actuels aux exigences de l’annexe A.
• Apprécier la préparation organisationnelle, l’engagement de la direction, la disponibilité des ressources, les niveaux de compétence.
• Produire un rapport d’analyse des écarts avec des actions de rattrapage priorisées.

Beaucoup d’organisations recourent à un consultant ou à une plateforme de conformité pour cette phase. Le livrable est un plan de rattrapage qui alimente directement la phase 2.

Si vous n’avez pas encore d’inventaire complet de vos systèmes d’IA, commencez par là. Notre guide pour construire un inventaire des systèmes d’IA déroule le processus pas à pas.

Phase 2 : mise en œuvre (mois 3-8)

C’est la phase la plus lourde. L’organisation construit, documente et opérationnalise l’AIMS.

Livrables clés :

• Politique IA et documents de politique d’appui (usage acceptable, gouvernance des données, réponse aux incidents).
• Méthode d’appréciation des risques et appréciations achevées pour tous les systèmes d’IA dans le champ.
• Plan de traitement des risques avec les contrôles de l’annexe A choisis et les justifications.
• Déclaration d’applicabilité (SoA) couvrant tous les contrôles de l’annexe A.
• Analyses d’impact des systèmes d’IA pour les systèmes à impact potentiel significatif.
• Procédures documentées pour le développement, les essais, le déploiement, la surveillance, la gestion des changements et la mise hors service.
• Cadre de compétence avec enregistrements de formation.
• Plan de communication pour les parties prenantes internes et externes.
• Conception du programme d’audit interne.
• Ordre du jour et cadence de la revue de direction.

Les calendriers de mise en œuvre varient nettement. Une organisation avec un SMSI ISO 27001 existant peut souvent réutiliser 40 à 60 % de ses processus documentés (méthode de risque, maîtrise documentaire, programme d’audit interne, procédures de revue de direction) et concentrer l’effort sur les ajouts propres à l’IA. Une mise en œuvre à partir de zéro prend plus longtemps.

Phase 3 : audit interne (mois 9-10)

Avant d’inviter l’organisme de certification, l’organisation doit mener au moins un cycle complet d’audit interne couvrant toutes les clauses et les contrôles applicables de l’annexe A.

Exigences :

• Les auditeurs doivent être indépendants des activités auditées.
• L’audit doit vérifier à la fois la conformité (les processus documentés existent-ils ?) et l’efficacité (fonctionnent-ils réellement ?).
• Tous les constats doivent être classés (non-conformité majeure, non-conformité mineure, observation) et suivis.
• Les actions correctives pour les non-conformités doivent être mises en œuvre et vérifiées avant de passer à l’audit de certification.

Une revue de direction doit aussi être menée après l’audit interne, la direction évaluant la performance de l’AIMS et approuvant tout changement.

Phase 4 : audit de certification (mois 11-14)

L’audit de certification est mené par l’organisme de certification accrédité en deux étapes :

Étape 1, revue documentaire :

• L’organisme de certification revoit la documentation de l’AIMS : politiques, appréciations des risques, SoA, procédures, rapports d’audit interne, procès-verbaux de revue de direction.
• Il apprécie si l’AIMS est suffisamment conçu et prêt pour l’étape 2.
• L’étape 1 peut se tenir à distance et dure typiquement 1 à 3 jours selon le champ.
• Un rapport d’étape 1 identifie les points à résoudre avant l’étape 2.

Étape 2, audit sur site (ou mixte) :

• Les auditeurs vérifient que l’AIMS est mis en œuvre et efficace, pas seulement documenté.
• Ils interviewent le personnel, observent les processus, revoient les enregistrements et testent les contrôles.
• Ils apprécient si les systèmes d’IA dans le champ sont gouvernés conformément à l’AIMS.
• L’étape 2 dure typiquement 3 à 8 jours selon le champ, le nombre de systèmes d’IA et la complexité organisationnelle.
• Les constats sont classés en non-conformités majeures, non-conformités mineures, ou pistes d’amélioration.

Les non-conformités majeures doivent être résolues avant que le certificat puisse être délivré. Les non-conformités mineures doivent être traitées dans un délai défini (typiquement 90 jours). S’il n’y a pas de non-conformité majeure, ou une fois celles-ci résolues, l’organisme de certification délivre le certificat ISO 42001, valable trois ans.

Phase 5 : surveillance continue

La certification n’est pas un événement unique. L’organisme de certification mène des audits de surveillance, typiquement chaque année, pour vérifier que l’AIMS reste conforme et efficace. Un audit de renouvellement complet est exigé avant l’expiration du certificat de trois ans.

Entre les audits, l’organisation doit continuer d’exploiter l’AIMS : apprécier les risques des nouveaux systèmes d’IA, mener des audits internes, tenir des revues de direction, traiter les incidents et porter l’amélioration continue.

Synthèse du calendrier

Coûts : les coûts de certification varient selon la taille de l’organisation, le champ et l’organisme de certification. Attendez-vous à 15 000 à 40 000 EUR de frais de l’organisme (étapes 1 + 2) pour une organisation de taille moyenne. Les coûts de mise en œuvre, conseil, outillage, temps du personnel, vont typiquement de 50 000 à 200 000 EUR pour une mise en œuvre à partir de zéro, et de 20 000 à 80 000 EUR lorsqu’un système ISO 27001 existant fournit une base.

Intégration avec d’autres normes ISO

L’une des décisions de conception les plus significatives de l’ISO 42001 est l’adoption de la structure de haut niveau de l’annexe SL. Cela la rend nativement intégrable avec d’autres normes de système de management, réduit les doublons et permet aux organisations d’exploiter un seul système de management intégré (SMI).

ISO 27001, management de la sécurité de l’information

L’intégration entre l’ISO 42001 et l’ISO/IEC 27001:2022 est la plus naturelle et la plus fréquente. Les deux normes partagent :

• Des structures de clauses identiques (clauses 4 à 10).
• Le même cadre méthodologique d’appréciation et de traitement des risques (appliqué à des domaines de risque différents).
• Les mêmes exigences d’informations documentées, d’audit interne, de revue de direction et d’amélioration continue.
• Des contrôles d’annexe A complémentaires, l’ISO 27001 traite les contrôles de sécurité de l’information ; l’ISO 42001 traite les contrôles propres à l’IA.

Bénéfice pratique : une organisation avec un SMSI ISO 27001 certifié peut l’étendre à l’IA en :

1. Élargissant l’énoncé de champ pour inclure les systèmes d’IA et les processus liés à l’IA.
2. Menant des appréciations des risques propres à l’IA avec la méthode de risque existante.
3. Ajoutant les contrôles de l’annexe A de l’ISO 42001 à la SoA existante (ou en tenant une SoA IA séparée).
4. Étendant l’audit interne et la revue de direction aux sujets de gouvernance de l’IA.

Cette approche peut réduire l’effort de mise en œuvre de 40 à 60 % et permet à l’organisation de viser un audit de certification combiné.

ISO 9001, management de la qualité

L’ISO 9001:2015 fournit l’infrastructure de management des processus et d’assurance de la qualité qui sous-tend l’article 17 du règlement sur l’IA. L’ISO 42001 complète l’ISO 9001 en ajoutant l’appréciation des risques propres à l’IA, l’analyse d’impact et les contrôles de l’annexe A. Les organisations certifiées ISO 9001 ont déjà des processus matures de gestion des changements, de traitement des non-conformités et d’amélioration continue, tous directement réutilisables dans l’AIMS.

ISO 27701, management de la protection de la vie privée

L’ISO/IEC 27701:2019 étend l’ISO 27001 à la protection des données à caractère personnel, offrant un pont opérationnel vers la conformité au RGPD. Puisque les systèmes d’IA traitent fréquemment des données à caractère personnel, intégrer l’ISO 27701 à l’ISO 42001 crée une couche de gouvernance unifiée pour la sécurité, la vie privée et l’IA, à l’intersection qui crée le plus de complexité réglementaire. Pour le recoupement RGPD et règlement sur l’IA, voir notre analyse règlement sur l’IA et RGPD.

Bénéfices d’un système de management intégré

L’ISO 42001 vous rend-elle conforme au règlement sur l’IA ?

C’est la question que pose chaque responsable de la conformité, et la réponse honnête est : non, mais elle vous y mène en grande partie.

Ce que couvre la certification ISO 42001

Un certificat ISO 42001 démontre que l’organisation a un système de management de l’IA fonctionnel et audité qui traite :

• La gestion systématique des risques liés à l’IA (alignée sur environ 80 % des exigences de l’article 9).
• La gestion de la qualité pour l’IA (alignée sur la majorité de l’article 17).
• Les pratiques de documentation technique (alignées substantiellement sur l’article 11 et l’annexe IV).
• Les contrôles de contrôle humain (alignés sur l’article 14).
• Les pratiques de transparence et de divulgation (alignées sur l’article 13).
• La surveillance après mise sur le marché et l’amélioration (alignées sur l’article 72).

Écarts critiques que la certification ne comble pas

Même avec un certificat ISO 42001 en main, les obligations suivantes du règlement sur l’IA exigent un travail supplémentaire :

1. Article 10, spécificités de la gouvernance des données. Le règlement sur l’IA prescrit des exigences détaillées pour les jeux d’entraînement, de validation et d’essai, les propriétés statistiques, la détection des biais, la représentativité des données et les techniques de comblement des lacunes. L’annexe A.7 de l’ISO 42001 traite la gouvernance des données à un niveau plus élevé. Les organisations doivent compléter leur AIMS par des procédures de gouvernance des données propres à l’article 10.

2. Article 43, évaluation de la conformité. La certification ISO 42001 n’est pas une évaluation de la conformité au titre du règlement sur l’IA. Les fournisseurs de systèmes à haut risque doivent encore achever soit une auto-évaluation (annexe VI), soit une évaluation par un organisme notifié (annexe VII). Pour le détail de la voie qui s’applique à vos systèmes, voir notre guide évaluation de la conformité : auto-évaluation ou organisme notifié.

3. Articles 47 à 49, déclaration UE de conformité, marquage CE et enregistrement dans la base de données de l’UE. Ce sont des obligations réglementaires-administratives qu’aucune norme de système de management ne peut remplacer. Elles exigent une conformité procédurale précise aux dispositions du règlement sur l’IA.

4. Article 73, signalement d’incidents graves. Le règlement sur l’IA impose un signalement aux autorités de surveillance du marché dans des délais précis. L’ISO 42001 exige une gestion des incidents, mais ne prescrit pas le circuit de signalement réglementaire. Voir notre guide sur la surveillance après mise sur le marché et le signalement d’incidents.

5. Article 50, obligations de transparence pour certains systèmes d’IA. Les exigences de marquage des contenus générés par l’IA, de divulgation des interactions avec des systèmes d’IA et de marquage des hypertrucages sont des obligations réglementaires précises, non traitées par l’ISO 42001. Voir notre guide des obligations de transparence.

La certification comme élément de preuve, pas comme preuve

Au titre du règlement sur l’IA, la certification ISO 42001 sert d’élément de preuve solide que l’organisation a mis en œuvre les exigences de processus et de gouvernance attendues des fournisseurs et des déployeurs. Dans une procédure d’exécution, elle démontre la diligence raisonnable ; dans les interactions de surveillance du marché, elle construit la crédibilité. Mais ce n’est pas un bouclier juridique : les autorités évalueront la conformité au fond.

Le CEN et le CENELEC élaborent des normes harmonisées au titre du règlement sur l’IA. La conformité à une norme harmonisée créera une présomption de conformité aux exigences correspondantes du règlement sur l’IA. L’ISO 42001, en tant que norme internationale (ISO/IEC) plutôt que norme harmonisée européenne (EN), ne crée pas cette présomption automatiquement, mais les normes harmonisées devraient largement s’appuyer sur la structure de l’ISO 42001.

Scénarios de mise en œuvre concrets

Scénario 1 : entreprise SaaS avec un outil de présélection RH par IA

Un éditeur SaaS de taille moyenne propose une plateforme de présélection au recrutement par IA, utilisée par des clients d’entreprise dans toute l’Union. Le système entre dans l’annexe III, point 4, a), IA à haut risque dans l’emploi. L’entreprise n’a aucune certification ISO existante.

Approche de mise en œuvre :

• Mois 1-2 : l’analyse des écarts révèle l’absence de gestion formelle des risques, l’absence de politiques IA documentées et l’absence de processus d’analyse d’impact. Le rapport identifie 47 actions de rattrapage.
• Mois 3-8 : l’entreprise construit un AIMS à partir de zéro, politique IA, méthode d’appréciation des risques, mise en œuvre des contrôles de l’annexe A, cadre documentaire, programme d’essais de biais (voir le guide des essais de biais de l’IA), et tableaux de bord de surveillance.
• Mois 9-10 : le premier cycle d’audit interne identifie 3 non-conformités mineures liées aux enregistrements de compétence et à la documentation de la qualité des données. Les actions correctives sont achevées.
• Mois 11-13 : l’organisme de certification achève l’étape 1 (à distance, 2 jours) et l’étape 2 (sur site, 4 jours). Une non-conformité mineure sur la documentation de la gestion des changements est identifiée et résolue.
• Mois 14 : le certificat ISO 42001 est délivré. L’entreprise utilise ensuite la documentation de l’AIMS comme socle de son auto-évaluation de la conformité au titre de l’annexe VI.

Coût total : environ 120 000 EUR (conseil : 40 000 EUR ; temps interne du personnel : 60 000 EUR ; frais de l’organisme de certification : 20 000 EUR).

Scénario 2 : établissement financier qui étend l’ISO 27001 à l’IA

Une grande banque européenne détient les certifications ISO 27001 et ISO 27701. Elle déploie l’IA pour l’établissement de notes de crédit (annexe III, point 5, a)), la détection de la fraude et des agents conversationnels de service client. Le RSSI porte l’initiative.

Approche de mise en œuvre :

• Mois 1-2 : l’analyse des écarts se concentre sur le delta entre le SMSI/SMVP existant et les exigences de l’ISO 42001. Les écarts se concentrent sur l’appréciation des risques propres à l’IA, les contrôles de l’annexe A et l’analyse d’impact des systèmes d’IA ; l’infrastructure de système de management est déjà en place.
• Mois 3-6 : la banque étend sa méthode de risque aux catégories propres à l’IA, met en œuvre les contrôles de l’annexe A, mène des analyses d’impact pour les systèmes d’IA à haut risque, et ajoute la gouvernance de l’IA à l’ordre du jour existant de revue de direction.
• Mois 7-8 : l’audit interne couvre les exigences de l’ISO 42001 dans un audit combiné avec le programme ISO 27001/27701 existant.
• Mois 9-11 : audit de certification combiné. L’organisme de certification audite l’ISO 27001, l’ISO 27701 et l’ISO 42001 en une seule mission.
• Mois 12 : le certificat ISO 42001 est délivré aux côtés des certificats ISO 27001/27701 renouvelés.

Coût total : environ 70 000 EUR (conseil : 15 000 EUR ; temps interne du personnel : 35 000 EUR ; frais combinés de l’organisme de certification : 20 000 EUR).

Scénario 3 : jeune pousse d’IA qui prépare l’entrée sur le marché

Une jeune pousse d’IA de 15 personnes construit un outil d’analyse d’images médicales, un système d’IA à haut risque à la fois au titre du règlement sur l’IA et du règlement relatif aux dispositifs médicaux. Les investisseurs et les équipes d’achat des hôpitaux demandent la maturité de gouvernance.

Approche de mise en œuvre :

• La jeune pousse utilise l’ISO 42001 comme plan de conception dès le premier jour, en structurant les processus de développement, la documentation et la gestion des risques autour des exigences de la norme, plutôt que de viser d’emblée la certification complète.
• Après 12 mois, le produit approchant la préparation au marché, la jeune pousse lance la certification formelle. Parce que l’AIMS a été intégré dès le départ, l’analyse des écarts révèle un besoin de rattrapage minimal.
• La certification renforce la position d’achat de la jeune pousse et fournit un socle de gouvernance pour l’évaluation de la conformité par un organisme notifié, exigée sur la voie des dispositifs médicaux.

Pour les jeunes pousses et les PME qui naviguent dans le règlement sur l’IA, notre guide de conformité pour les jeunes pousses et les PME fournit des stratégies d’échelle concrètes.

Questions fréquentes

La certification ISO 42001 est-elle obligatoire ?

Non. La certification ISO 42001 est volontaire. Le règlement sur l’IA n’impose aucune certification particulière. En revanche, la certification fournit un élément de preuve solide de maturité de gouvernance et peut réduire nettement la charge de démontrer la conformité aux autorités de surveillance du marché, aux clients et aux équipes d’achat.

Combien de temps prend la certification ?

Typiquement 12 à 18 mois, de l’analyse des écarts à la délivrance du certificat. Les organisations qui détiennent déjà l’ISO 27001 ou l’ISO 9001 peuvent souvent accélérer à 8 à 12 mois en s’appuyant sur l’infrastructure existante.

Que coûte la certification ?

Les coûts totaux vont de 50 000 à 200 000 EUR selon la taille de l’organisation, les certifications existantes, le nombre de systèmes d’IA dans le champ et les besoins de conseil. Les seuls frais de l’organisme de certification vont typiquement de 15 000 à 40 000 EUR pour une organisation de taille moyenne.

Quels organismes de certification peuvent auditer l’ISO 42001 ?

Tout organisme de certification accrédité par un organisme national d’accréditation (membre du Forum international d’accréditation) pour auditer l’ISO 42001. Début 2026, les grands organismes proposant des audits ISO 42001 comprennent BSI, TÜV, Bureau Veritas, SGS, DNV et LRQA. Vérifiez l’accréditation avant d’engager un organisme de certification.

La certification ISO 42001 peut-elle remplacer une évaluation de la conformité au titre du règlement sur l’IA ?

Non. La certification ISO 42001 et l’évaluation de la conformité au titre du règlement sur l’IA servent des objets différents. L’évaluation de la conformité (au titre de l’article 43) est une procédure réglementaire qui vérifie un système d’IA précis au regard des exigences techniques du règlement sur l’IA. La certification ISO 42001 vérifie le système de management d’une organisation. Les deux sont complémentaires, pas interchangeables. Pour le détail du processus d’évaluation de la conformité, voir notre guide auto-évaluation ou organisme notifié.

L’ISO 42001 s’applique-t-elle aux organisations hors de l’Union ?

Oui. L’ISO 42001 est une norme internationale, elle s’applique à toute organisation dans le monde. Pour les organisations hors UE qui vendent des systèmes d’IA sur le marché de l’Union, la certification démontre une maturité de gouvernance aux clients et régulateurs européens, même avant que les dispositions extraterritoriales du règlement sur l’IA ne soient déclenchées. De plus, la norme s’aligne sur les attentes de gouvernance du NIST AI RMF (États-Unis), du cadre britannique de gouvernance de l’IA, et d’autres régimes émergents.

Prochaines étapes

La certification ISO 42001 est une entreprise significative, mais c’est l’un des investissements à plus fort levier qu’une organisation puisse faire à mesure que la régulation de l’IA s’accélère dans le monde. Elle fournit la machinerie organisationnelle, politiques, processus de risque, contrôles, disciplines d’audit et cycles d’amélioration, qui transforme la conformité d’une course réactive en une capacité reproductible.

Si vous évaluez l’ISO 42001 pour votre organisation, partez de ces étapes :

1. Inventoriez vos systèmes d’IA. On ne gouverne pas ce que l’on ignore. Utilisez notre guide d’inventaire des systèmes d’IA pour commencer.
2. Appréciez votre maturité actuelle. Lancez une évaluation des risques au titre du règlement sur l’IA pour comprendre où se situent vos systèmes dans la classification des risques et quelles obligations s’appliquent.
3. Évaluez les opportunités d’intégration. Si vous détenez déjà l’ISO 27001, l’ISO 9001 ou l’ISO 27701, prévoyez une mise en œuvre intégrée pour maximiser l’efficacité.
4. Construisez le dossier métier. Présentez l’ISO 42001 non seulement comme un coût de conformité, mais comme un différenciateur concurrentiel, en particulier pour les organisations qui vendent de l’IA dans des industries réglementées ou sur les marchés de l’Union.
5. Engagez-vous tôt. Les obligations à haut risque du règlement sur l’IA s’appliquant à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), les organisations qui commencent la mise en œuvre de l’ISO 42001 maintenant seront certifiées avant l’échéance. Celles qui retardent ne le seront pas.

Pour une comparaison des outils qui peuvent appuyer votre mise en œuvre de l’ISO 42001 et du règlement sur l’IA, voir notre comparaison des logiciels de conformité au règlement sur l’IA.

Ce guide est fourni à titre d’information et ne constitue pas un conseil juridique. Les organisations devraient consulter un conseil juridique qualifié et des organismes de certification accrédités pour les décisions propres à leur situation.