NIST AI RMF, ISO 42001 et règlement sur l’IA : la table de correspondance

Si vous construisez ou déployez des systèmes d’IA en 2026, vous ne travaillez pas dans un seul environnement réglementaire : vous naviguez dans au moins trois cadres de gouvernance qui se recoupent. Le règlement sur l’IA (règlement (UE) 2024/1689), le NIST AI RMF 1.0 et l’ISO/IEC 42001:2023 abordent chacun la gouvernance de l’IA sous un angle différent : droit contraignant, cadre volontaire de gestion des risques, et norme internationale certifiable. Ensemble, ils définissent la réalité opérationnelle de toute organisation qui prend au sérieux une IA responsable.

La bonne nouvelle est que ces cadres n’ont pas été conçus isolément. Les rédacteurs du règlement sur l’IA se sont appuyés sur les travaux de normalisation internationale. Le NIST AI RMF a puisé dans les principes ISO de management du risque. L’ISO 42001 a été élaborée par des experts qui suivaient à la fois le processus législatif de l’Union et le cadre du NIST. Le résultat est un recoupement substantiel : environ 70 à 80 % des exigences sous-jacentes pointent dans la même direction.

La mauvaise nouvelle est que les 20 à 30 % restants contiennent des divergences critiques, capables de faire trébucher même des équipes de conformité bien dotées. Comprendre exactement où les cadres s’alignent, où ils divergent, et comment construire une stratégie de conformité unifiée n’est plus facultatif : c’est une compétence de gouvernance de premier plan.

Ce guide fournit la comparaison de cadres d’IA la plus détaillée disponible : une table de correspondance complète qui rattache les articles du règlement sur l’IA aux clauses de l’ISO 42001 et aux fonctions du NIST AI RMF, une analyse des écarts qui identifie où chaque cadre reste court, et une stratégie concrète pour construire un seul programme de conformité qui satisfait les trois.

L’essentiel, la correspondance en bref

• Trois cadres, un objectif. Le règlement sur l’IA est un droit contraignant, avec des sanctions jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Le NIST AI RMF 1.0 est un cadre américain volontaire qui organise la gestion des risques liés à l’IA en quatre fonctions (Govern, Map, Measure, Manage). L’ISO/IEC 42001 est une norme internationale certifiable de système de management de l’IA.
• 70 à 80 % de recoupement. La gestion des risques, la documentation technique, le contrôle humain, la transparence, l’exactitude et la robustesse, et la surveillance après mise sur le marché sont traités par les trois cadres, avec des niveaux de prescriptivité différents.
• Des écarts critiques existent. Les exigences de gouvernance des données de l’article 10 du règlement sur l’IA, le marquage CE, les pratiques interdites et les structures de sanctions précises n’ont pas d’équivalents directs dans le NIST AI RMF ni dans l’ISO 42001.
• Partez de l’ISO 42001 comme épine dorsale de management, superposez le NIST AI RMF pour les fonctions opérationnelles de risque, et ajoutez les exigences propres au règlement sur l’IA comme couche supérieure de conformité.
• La double conformité UE-États-Unis est atteignable. La loi du Colorado sur l’IA, modifiée en mai 2026, applicable au 1er janvier 2027 et recentrée sur la divulgation des technologies de prise de décision automatisée (ADMT), et d’autres lois d’États américains émergentes, traitent encore le NIST AI RMF et l’ISO 42001 comme l’ossature pratique des devoirs de documentation et de divulgation, ce qui rend une stratégie unifiée efficace, même si l’exonération d’origine fondée sur un cadre reconnu a été retirée par l’amendement.
• La table ci-dessous rattache sept domaines d’exigences aux trois cadres, avec les références précises d’articles, de clauses et de fonctions.

Trois cadres, un objectif

Avant d’entrer dans la correspondance, il faut comprendre ce qu’est chaque cadre, qui l’a créé, à qui il s’applique, et à quoi ressemble la conformité en pratique. Les trois visent une IA digne de confiance, mais ils diffèrent fondamentalement par la nature, l’opposabilité et le champ.

Règlement sur l’IA, un règlement contraignant qui a des dents

Le règlement sur l’IA (règlement (UE) 2024/1689) est le premier règlement horizontal, complet et juridiquement contraignant au monde pour l’intelligence artificielle. Il est entré en vigueur le 1er août 2024, avec des obligations qui s’échelonnent de février 2025 à août 2028. Les obligations des systèmes à haut risque, cœur du règlement, s’appliquent à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Les obligations de transparence de l’article 50 restent au 2 août 2026.

Le règlement emploie un système de classification fondé sur le risque, qui répartit les systèmes d’IA en quatre paliers : interdit, haut risque, risque limité et risque minimal. Pour les systèmes d’IA à haut risque, ceux utilisés dans des domaines tels que le recrutement, la santé, les services financiers, les infrastructures critiques, les activités répressives et l’éducation, le règlement sur l’IA impose des obligations détaillées couvrant la gestion des risques (article 9), la gouvernance des données (article 10), la documentation technique (article 11), la conservation des enregistrements (article 12), la transparence (article 13), le contrôle humain (article 14), et l’exactitude, la robustesse et la cybersécurité (article 15).

Le non-respect entraîne des sanctions jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les violations de pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % pour les autres infractions. Pour le détail, voir notre guide des sanctions du règlement sur l’IA.

Le règlement sur l’IA a une portée extraterritoriale : il s’applique à tout fournisseur qui met un système d’IA sur le marché de l’Union, et à tout déployeur situé dans l’Union, quel que soit le siège du fournisseur. Pour un calendrier et une liste de contrôle complets, voir notre liste de contrôle 2026 du règlement sur l’IA.

NIST AI RMF, cadre américain volontaire de gestion des risques

Le NIST AI RMF 1.0 (cadre américain de gestion des risques liés à l’IA) a été publié par le National Institute of Standards and Technology des États-Unis en janvier 2023. C’est un cadre volontaire, non contraignant, destiné à aider les organisations à concevoir, développer, déployer et utiliser des systèmes d’IA de façon à gérer les risques efficacement tout en favorisant des résultats d’IA dignes de confiance.

Le cadre s’organise autour de quatre fonctions centrales :

• GOVERN, établir les structures de gouvernance, les politiques, les rôles, les mécanismes de responsabilisation et la culture organisationnelle pour la gestion des risques liés à l’IA. C’est la fonction transversale qui rend possibles les trois autres.
• MAP, contextualiser les risques du système d’IA en comprenant la destination du système, les parties prenantes, l’environnement d’exploitation et les impacts potentiels. Cette cartographie comprend l’identification des catégories et sous-catégories de risque pertinentes pour un système d’IA donné.
• MEASURE, quantifier et suivre les risques identifiés avec des indicateurs appropriés, des méthodes d’essai et des critères d’évaluation. Cela inclut les essais de biais, le banc d’essai de performance et l’appréciation de la robustesse.
• MANAGE, traiter, surveiller et communiquer les risques liés à l’IA tout au long du cycle de vie du système, y compris la réponse aux incidents et la surveillance après déploiement.

Chaque fonction contient des catégories et sous-catégories avec des résultats précis. Par exemple, GOVERN 1.1 traite la conformité juridique et réglementaire ; MAP 2.1 traite la destination du système d’IA et le contexte d’usage ; MEASURE 2.6 traite les essais de biais et l’évaluation de l’équité.

Le NIST AI RMF ne crée pas d’obligations juridiques, n’impose pas de sanctions et ne fournit pas de mécanisme de certification. Il a toutefois gagné une pertinence juridique réelle, parce que plusieurs lois d’États américains s’y sont référées. La loi d’origine du Colorado de 2024 nommait le NIST AI RMF comme base d’un moyen de défense affirmatif contre des actions en responsabilité, mais l’amendement de mai 2026 du Colorado (signé le 14 mai 2026, applicable au 1er janvier 2027) a réécrit la loi autour de la divulgation des technologies de prise de décision automatisée (ADMT) et a retiré cette exonération fondée sur un cadre reconnu. Le NIST AI RMF demeure néanmoins l’ossature pratique pour satisfaire les devoirs de documentation, de divulgation et de revue humaine que la loi amendée impose.

ISO/IEC 42001, norme internationale certifiable

L’ISO/IEC 42001:2023 est la première norme internationale de système de management conçue spécifiquement pour l’intelligence artificielle. Publiée en décembre 2023 par le comité technique mixte ISO/CEI JTC 1 / SC 42 (Intelligence artificielle), elle fournit un cadre certifiable pour établir, mettre en œuvre, tenir et améliorer en continu un système de management de l’IA (AIMS).

La norme suit la structure de haut niveau harmonisée de l’annexe SL, partagée par l’ISO 27001 (sécurité de l’information), l’ISO 9001 (management de la qualité), l’ISO 14001 (management environnemental) et l’ISO 27701 (management de la protection de la vie privée). Cet alignement structurel rend l’intégration avec les systèmes de management existants directe, en particulier pour les organisations déjà certifiées ISO 27001. Pour un examen approfondi, voir notre guide complet de certification ISO 42001.

Les exigences normatives de l’ISO 42001 sont dans les clauses 4 à 10 (contexte, leadership, planification, support, fonctionnement, évaluation de la performance, amélioration), complétées par les contrôles de l’annexe A couvrant des sujets propres à l’IA, dont les analyses d’impact de l’IA, la gestion des données, la transparence, l’explicabilité, le contrôle humain et la gestion du cycle de vie des systèmes.

Contrairement au règlement sur l’IA, l’ISO 42001 est agnostique quant à la technique et neutre quant à la juridiction. Contrairement au NIST AI RMF, elle est certifiable : les organisations peuvent subir des audits par des organismes de certification accrédités et recevoir un certificat valable trois ans, avec des audits de surveillance annuels.

Tableau comparatif de synthèse

La correspondance, comment les trois cadres se rattachent

C’est le cœur de la table de correspondance du règlement sur l’IA. Ci-dessous, nous rattachons sept domaines d’exigences critiques aux trois cadres, en identifiant où ils s’alignent, où ils se complètent, et où des écarts existent.

Gestion des risques

Règlement sur l’IA, article 9 exige des fournisseurs de systèmes d’IA à haut risque qu’ils établissent, mettent en œuvre, documentent et tiennent un système de gestion des risques qui s’exécute tout au long du cycle de vie du système. Le système de gestion des risques doit identifier et analyser les risques connus et raisonnablement prévisibles, estimer et évaluer les risques susceptibles d’apparaître lorsque le système est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisible, et adopter des mesures de gestion des risques appropriées. Le risque résiduel doit être jugé acceptable, et des procédures d’essai doivent être menées pour identifier les mesures de gestion des risques les plus appropriées.

ISO 42001, clause 6.1 (Actions face aux risques et opportunités) exige que l’organisation détermine les risques et opportunités pertinents pour l’AIMS, planifie les actions pour les traiter, et intègre ces actions dans le système de management. Les contrôles de l’annexe A.5 (évaluation des impacts des systèmes d’IA) et A.6 (cycle de vie des systèmes d’IA) précisent en outre les activités d’appréciation des risques tout au long du cycle de vie.

NIST AI RMF, fonctions GOVERN et MAP fournissent l’architecture opérationnelle de la gestion des risques. GOVERN 1.1 traite les exigences juridiques et réglementaires. MAP 1 établit le contexte et identifie les risques. MAP 2 catégorise les risques. MAP 3 identifie les risques propres à l’IA tels que le biais, la vie privée et la sécurité. La fonction MEASURE quantifie ensuite ces risques, et MANAGE les traite.

Alignement : les trois exigent une identification et une atténuation systématiques des risques, déployées sur tout le cycle de vie. Le règlement sur l’IA est le plus prescriptif, en imposant des résultats précis (par exemple le risque résiduel doit être acceptable). L’ISO 42001 et le NIST AI RMF fournissent l’architecture de processus qui rend ces résultats possibles.

Documentation technique

Règlement sur l’IA, article 11 exige des fournisseurs qu’ils établissent une documentation technique avant qu’un système d’IA à haut risque ne soit mis sur le marché ou mis en service. L’annexe IV précise en détail ce que la documentation doit contenir : une description générale du système d’IA, une description détaillée des éléments du système et de son processus de développement, des informations détaillées sur la surveillance, le fonctionnement et le contrôle du système, une description du système de gestion des risques, une description des changements apportés au système tout au long de son cycle de vie, et davantage.

ISO 42001, clause 7.5 (Informations documentées) exige que l’organisation tienne les informations documentées exigées par la norme et toute documentation supplémentaire que l’organisation juge nécessaire à l’efficacité de l’AIMS. Cela inclut les politiques, procédures, appréciations des risques, analyses d’impact de l’IA, et les enregistrements de performance du système et de décisions.

NIST AI RMF, fonction GOVERN traite la documentation de façon implicite par les résultats de gouvernance. GOVERN 1.2 exige la documentation des processus de l’organisation. GOVERN 4 traite la documentation organisationnelle et la communication. Les sous-catégories MAP exigent en outre la documentation de la destination du système, du contexte, des parties prenantes et des risques.

Alignement : le règlement sur l’IA est de loin le plus prescriptif sur le contenu documentaire (l’annexe IV est très précise). L’ISO 42001 et le NIST AI RMF exigent de la documentation, mais ne prescrivent pas le même niveau de détail. Les organisations qui visent la conformité au règlement sur l’IA devraient utiliser l’annexe IV comme structure documentaire maîtresse, et veiller à ce que leur AIMS ISO 42001 et leurs processus NIST produisent une documentation qui satisfait ces exigences.

Contrôle humain

Règlement sur l’IA, article 14 exige que les systèmes d’IA à haut risque soient conçus et développés de façon à pouvoir être effectivement contrôlés par des personnes physiques pendant la période où ils sont utilisés. Les mesures de contrôle humain doivent être identifiées et intégrées dans le système par le fournisseur ou, le cas échéant, mises en œuvre par le déployeur. Les personnes chargées du contrôle doivent pouvoir pleinement comprendre les capacités et les limites du système, en surveiller le fonctionnement, en interpréter correctement les sorties, et intervenir, y compris au moyen d’un « bouton d’arrêt » ou d’un mécanisme analogue pour substituer ou inverser la sortie du système.

ISO 42001, annexe A.5 (évaluation des impacts des systèmes d’IA et contrôles connexes) traite l’implication humaine dans la prise de décision par IA. La norme exige que les organisations déterminent le niveau approprié de contrôle humain selon le profil de risque et l’impact du système d’IA. L’annexe A.8 (information des parties intéressées, transparence et explicabilité) appuie aussi le contrôle, en veillant à ce que les décideurs puissent comprendre les sorties de l’IA.

NIST AI RMF, GOVERN 1.5 traite spécifiquement le contrôle humain des systèmes d’IA, en exigeant des organisations qu’elles définissent et documentent le rôle du jugement humain dans les décisions du système d’IA. MAP 3.5 traite l’interaction humain-IA et le potentiel de biais d’automatisation. MEASURE 2.8 traite l’efficacité des mécanismes de contrôle humain.

Alignement : les trois cadres imposent un contrôle humain significatif, proportionné au risque. Le règlement sur l’IA est le plus précis sur les capacités exigées (comprendre, surveiller, interpréter, intervenir). L’ISO 42001 et le NIST AI RMF fournissent l’architecture de gouvernance et de mesurage pour mettre en œuvre et vérifier ces capacités.

Gouvernance des données

Règlement sur l’IA, article 10 est l’une des dispositions les plus prescriptives du règlement. Il exige que les jeux d’entraînement, de validation et d’essai soient soumis à des pratiques appropriées de gouvernance et de gestion des données. Concrètement, il impose : les choix de conception pertinents, les processus de collecte des données et leur origine, les opérations de préparation des données (annotation, étiquetage, nettoyage, enrichissement), la formulation des hypothèses sur l’information que les données sont censées mesurer, l’appréciation de la disponibilité, de la quantité et de l’adéquation des jeux de données, l’examen des biais possibles susceptibles d’affecter les droits fondamentaux, et l’identification des lacunes ou insuffisances pertinentes des données et de la façon de les traiter. Pour les systèmes à haut risque impliquant des données à caractère personnel, l’article 10, paragraphe 5, permet le traitement de données de catégories particulières, sous conditions strictes, pour la détection et la correction des biais.

ISO 42001 traite la gestion des données par l’annexe A.7 (données pour les systèmes d’IA), qui couvre la qualité des données, la provenance des données et la gestion du cycle de vie des données. Le niveau de spécificité est toutefois nettement inférieur à celui de l’article 10. La norme exige que les organisations établissent des politiques de gestion des données, mais ne prescrit pas de pratiques précises telles qu’un examen obligatoire des biais des jeux d’entraînement.

NIST AI RMF traite les données par MAP 2.3 (pertinence, représentativité et qualité des données) et MEASURE 2.6 (essais de biais, y compris au niveau des données). Le cadre ne prescrit toutefois pas d’obligations de gouvernance des données comparables aux exigences détaillées de l’article 10.

Écart identifié : la gouvernance des données de l’article 10 est le plus grand écart entre le règlement sur l’IA et les deux autres cadres. Les organisations qui s’appuient uniquement sur l’ISO 42001 ou le NIST AI RMF devront compléter nettement leurs pratiques de gouvernance des données pour satisfaire l’article 10. Ce n’est pas un écart mineur : il va au cœur de la préoccupation du règlement sur l’IA pour la qualité des données d’entraînement et la prévention des biais.

Exactitude, robustesse et cybersécurité

Règlement sur l’IA, article 15 exige que les systèmes d’IA à haut risque atteignent un niveau approprié d’exactitude, de robustesse et de cybersécurité, et qu’ils se comportent de façon cohérente à ces égards tout au long de leur cycle de vie. Le système doit être résilient face aux erreurs, défaillances et incohérences qui peuvent survenir dans le système ou dans l’environnement dans lequel il fonctionne, en particulier du fait de l’interaction avec des personnes physiques ou d’autres systèmes. Des solutions de redondance technique peuvent être exigées, y compris des mécanismes de secours ou de sécurité intégrée. Les systèmes d’IA à haut risque doivent aussi être résilients face aux tentatives de tiers non autorisés d’en altérer l’usage, les sorties ou la performance en exploitant des vulnérabilités du système (attaques adverses).

ISO 42001, annexe A.6 (cycle de vie des systèmes d’IA) traite la vérification, la validation et les essais. L’annexe A.7 (données pour les systèmes d’IA) traite la qualité des données qui sous-tend l’exactitude. L’intégration avec l’ISO 27001 fournit une couche supplémentaire de management de la sécurité.

NIST AI RMF, fonction MEASURE traite directement l’exactitude et la robustesse. MEASURE 1 couvre les indicateurs d’exactitude et l’évaluation. MEASURE 2 couvre les essais de robustesse, y compris les essais adverses (MEASURE 2.7). MEASURE 3 traite la fiabilité et la cohérence de la performance dans le temps. La fonction MANAGE traite la surveillance continue et la remédiation.

Alignement : fort recoupement entre les trois cadres. Le règlement sur l’IA pose la barre (ce qui doit être atteint), tandis que l’ISO 42001 et le NIST fournissent l’orientation méthodologique (comment essayer, mesurer et surveiller). Les organisations qui mettent en œuvre les sous-catégories MEASURE du NIST et les contrôles des annexes A.6 et A.7 de l’ISO couvriront la plupart des exigences de l’article 15.

Transparence

Règlement sur l’IA, article 13 exige que les systèmes d’IA à haut risque soient conçus et développés de façon que leur fonctionnement soit suffisamment transparent pour permettre aux déployeurs d’interpréter la sortie d’un système et de l’utiliser de façon appropriée. La notice d’utilisation doit comprendre la destination du système, le niveau d’exactitude, de robustesse et de cybersécurité, les circonstances connues ou prévisibles susceptibles d’entraîner des risques, les spécifications de performance pour les personnes affectées par le système, et, le cas échéant, les spécifications des données d’entrée. L’article 50 impose des obligations de transparence supplémentaires aux systèmes à risque limité tels que les agents conversationnels, les générateurs d’hypertrucages et les systèmes de reconnaissance des émotions.

ISO 42001, annexe A.8 (information des parties intéressées, transparence et explicabilité) exige que les organisations veillent à ce que les parties prenantes pertinentes reçoivent une information appropriée sur le système d’IA, ses capacités et ses limites. Le niveau de transparence doit être proportionné au contexte et à l’impact du système d’IA.

NIST AI RMF, fonction MAP traite la transparence par MAP 1.5 (documentation de la destination, des capacités et des limites du système d’IA pour les parties prenantes) et MAP 5 (communication des risques et impacts de l’IA aux parties prenantes pertinentes). GOVERN 1.4 traite la transparence dans les processus organisationnels de gouvernance de l’IA.

Alignement : les trois cadres exigent une transparence proportionnée au risque et au contexte. Le règlement sur l’IA est le plus précis sur l’information à divulguer (article 13 + renvois à l’annexe IV). Le NIST et l’ISO fournissent l’architecture de gouvernance et de communication pour permettre une transparence systématique.

Surveillance après mise sur le marché

Règlement sur l’IA, article 72 exige des fournisseurs de systèmes d’IA à haut risque qu’ils établissent et documentent un système de surveillance après mise sur le marché, d’une manière proportionnée à la nature des technologies d’IA et aux risques du système. Le système de surveillance doit collecter, documenter et analyser de façon active et systématique les données pertinentes fournies par les déployeurs ou collectées par d’autres sources sur la performance du système tout au long de sa durée de vie. Pour un guide détaillé, voir notre guide de surveillance après mise sur le marché et de signalement d’incidents.

ISO 42001, clause 9 (évaluation de la performance) exige que l’organisation surveille, mesure, analyse et évalue la performance et l’efficacité de l’AIMS et des systèmes d’IA dans son champ. La clause 10 (amélioration) exige une amélioration continue fondée sur les résultats de l’évaluation de la performance. Ensemble, ces clauses créent un cycle continu de surveillance et d’amélioration.

NIST AI RMF, fonction MANAGE traite directement la surveillance après déploiement. MANAGE 1 se concentre sur la gestion des risques liés à l’IA après le déploiement. MANAGE 2 traite la surveillance de la performance du système d’IA en production. MANAGE 3 couvre la réponse aux incidents et l’escalade. MANAGE 4 traite la communication des risques et incidents d’IA aux parties prenantes.

Alignement : alignement fort. Le règlement sur l’IA impose la surveillance ; l’ISO 42001 et le NIST AI RMF fournissent les processus systématiques pour la livrer. Les organisations qui mettent en œuvre les cycles des clauses 9 et 10 de l’ISO et les sous-catégories MANAGE du NIST auront une infrastructure de surveillance robuste qui satisfait l’article 72.

Tableau complet de correspondance

Où les cadres se recoupent, les 70 à 80 % de terrain commun

Si le tableau ci-dessus rattache des domaines d’exigences précis, il vaut la peine de prendre du recul pour comprendre la convergence structurelle plus large des trois cadres. Ce recoupement n’est pas accidentel : il reflète un consensus mondial émergent sur ce à quoi ressemble une gouvernance responsable de l’IA.

Gestion des risques déployée sur tout le cycle de vie. Les trois cadres insistent sur le fait que la gestion des risques liés à l’IA n’est pas une activité unique, menée avant le déploiement. Le risque doit être identifié, apprécié, atténué et surveillé tout au long du cycle de vie du système d’IA, de la conception au développement, au déploiement, à l’exploitation et à la mise hors service. Ce principe partagé signifie que toute organisation qui construit un processus de gestion des risques sur tout le cycle de vie pour satisfaire un cadre construit simultanément le socle des deux autres.

Proportionnalité au risque. Les trois cadres adoptent une forme d’approche proportionnée au risque. Le règlement sur l’IA le fait par sa classification à quatre paliers. Le NIST AI RMF le fait par sa cartographie des risques propre au contexte. L’ISO 42001 le fait en exigeant que l’organisation définisse ses propres critères de risque et applique des contrôles proportionnés aux risques identifiés. L’implication pratique : une organisation qui classe correctement ses systèmes d’IA et applique des contrôles proportionnés est alignée avec les trois cadres sur cette dimension.

Gouvernance et responsabilisation. Les trois exigent une responsabilisation organisationnelle claire pour les systèmes d’IA. Le règlement sur l’IA assigne des obligations juridiques aux fournisseurs et aux déployeurs. NIST GOVERN établit la gouvernance organisationnelle et la responsabilisation. Les clauses 5 (Leadership) et 5.3 (Rôles, responsabilités et autorités) de l’ISO 42001 exigent l’engagement de la direction et des rôles définis. Si vous avez construit un cadre de gouvernance de l’IA, vous avez probablement déjà traité cette exigence partagée.

Transparence et documentation. Les trois exigent que les systèmes d’IA, leurs destinations, capacités, limites et risques soient documentés et communiqués aux parties prenantes pertinentes. Le degré de prescription varie (l’annexe IV du règlement sur l’IA est la plus détaillée), mais le principe sous-jacent est le même.

Contrôle humain. Les trois reconnaissent que les systèmes d’IA, en particulier ceux qui prennent ou influencent des décisions lourdes de conséquences, doivent être soumis à un contrôle humain significatif. Cela inclut de veiller à ce que des humains puissent comprendre, surveiller et intervenir dans le fonctionnement du système.

Surveillance et amélioration continue. Les trois exigent une surveillance continue de la performance après le déploiement et des mécanismes d’amélioration continue. Le règlement sur l’IA le formule comme surveillance après mise sur le marché (article 72). L’ISO 42001 le formule comme évaluation de la performance et amélioration (clauses 9-10). Le NIST le formule comme la fonction MANAGE.

L’enseignement pratique : une organisation qui met en œuvre un système de management de l’IA robuste, traitant le risque sur tout le cycle de vie, la gouvernance, la documentation, le contrôle humain et la surveillance, a couvert environ 70 à 80 % des exigences des trois cadres. Les 20 à 30 % restants consistent en exigences propres à chaque cadre, qui doivent être traitées une par une, et c’est là que se trouvent les écarts critiques.

Écarts critiques, là où un cadre reste court

Comprendre le recoupement est utile. Comprendre les écarts est indispensable. Ce sont les zones où la conformité à un ou deux cadres ne livre pas automatiquement la conformité au troisième.

Article 10, gouvernance des données, l’exigence la plus prescriptive du règlement sur l’IA

Comme détaillé dans la correspondance ci-dessus, l’article 10 impose des obligations de gouvernance des données qui vont bien au-delà de ce qu’exigent l’ISO 42001 ou le NIST AI RMF. L’examen obligatoire des données d’entraînement pour les biais susceptibles d’affecter les droits fondamentaux, la documentation des processus de collecte des données et de leur origine, l’appréciation de l’adéquation et de la représentativité des jeux de données, et les dispositions précises pour le traitement de données de catégories particulières aux fins de correction des biais, aucun de ces éléments n’a d’équivalent direct dans les autres cadres.

Impact pratique : les organisations doivent construire une couche dédiée de conformité à l’article 10 par-dessus leur AIMS ISO 42001 et leurs processus de risque NIST. Cela implique typiquement de créer une politique de gouvernance des données d’entraînement, d’établir des procédures d’examen des biais pour chaque jeu d’entraînement et de validation, de documenter la provenance et la lignée des données, et de mettre en œuvre des processus d’essais de biais qui traitent spécifiquement les impacts sur les droits fondamentaux.

Marquage CE et évaluation de la conformité, propres à l’Union

Le règlement sur l’IA exige que les systèmes d’IA à haut risque subissent une évaluation de la conformité avant d’être mis sur le marché. Selon la catégorie, il s’agit soit d’une procédure d’auto-évaluation (la majorité des systèmes à haut risque de l’annexe III), soit d’une évaluation par un tiers menée par un organisme notifié (pour les systèmes d’identification biométrique et certaines applications critiques pour la sécurité). Après une évaluation réussie, le fournisseur appose le marquage CE, établit une déclaration UE de conformité, et enregistre le système dans la base de données de l’UE.

Ni la certification ISO 42001 ni la conformité au NIST AI RMF ne constituent une évaluation de la conformité au titre du règlement sur l’IA. Si la certification ISO 42001 démontre qu’une organisation a un système de management de l’IA fonctionnel, elle n’apprécie pas la conformité d’un système d’IA précis aux exigences techniques du règlement sur l’IA. L’évaluation de la conformité est propre au produit ; la certification ISO est à l’échelle de l’organisation.

Impact pratique : les organisations doivent mener des évaluations de la conformité pour chaque système d’IA à haut risque, indépendamment, selon les procédures précisées dans le règlement sur l’IA (annexe VI et annexe VII). La certification ISO 42001 fournit un élément de preuve solide que les processus de management sous-jacents sont robustes, ce qui allégera nettement l’évaluation de la conformité, mais elle ne la remplace pas.

Pratiques interdites, propres à l’Union

L’article 5 du règlement sur l’IA interdit d’emblée certaines pratiques d’IA jugées présenter des risques inacceptables : la notation sociale par les gouvernements, l’identification biométrique à distance en temps réel dans des espaces accessibles au public (avec d’étroites exceptions), la manipulation par des techniques subliminales, l’exploitation des vulnérabilités de groupes précis, et la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement (avec des exceptions limitées). Ces interdictions s’appliquent depuis le 2 février 2025.

Ni le NIST AI RMF ni l’ISO 42001 ne contiennent d’interdictions pures. Ce sont des cadres pour gérer l’IA de façon responsable, pas pour interdire des applications précises. Un système interdit au titre du règlement sur l’IA pourrait, en théorie, être « bien géré » au titre des cadres NIST et ISO.

Impact pratique : les organisations doivent mener un inventaire des systèmes d’IA et filtrer chaque système au regard des interdictions de l’article 5 avant d’appliquer des cadres de gestion des risques. Le filtrage des interdictions est une étape de bascule qui précède la conformité aux cadres.

Structure de sanctions précise, propre à l’Union

La structure de sanctions par paliers du règlement sur l’IA, 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour les manquements à haut risque, 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes, n’a pas d’équivalent dans les autres cadres. Le NIST AI RMF n’emporte aucune sanction. La non-conformité à l’ISO 42001 entraîne la perte de la certification, pas des sanctions financières.

Impact pratique : la structure de sanctions change fondamentalement l’analyse coûts-bénéfices. Si la conformité au NIST et à l’ISO est un investissement dans les bonnes pratiques, la conformité au règlement sur l’IA est une obligation juridique avec un risque de baisse quantifiable. Cela fait du règlement sur l’IA le plancher de conformité, le standard minimal à satisfaire, plutôt qu’une aspiration volontaire.

Interaction avec les autorités, propre à l’Union

Le règlement sur l’IA établit des obligations précises d’interaction avec les autorités nationales compétentes et le bureau de l’IA, y compris le signalement obligatoire d’incidents (article 73), l’enregistrement dans la base de données de l’UE (article 49 ; la base elle-même est instituée à l’article 71), et la coopération avec les autorités de surveillance du marché. Ni le NIST ni l’ISO ne traitent l’engagement avec les autorités à ce niveau de spécificité.

Construire une stratégie de conformité unifiée

Pour les organisations qui opèrent dans plusieurs juridictions, ou qui cherchent à préparer leur gouvernance de l’IA à l’avenir, une approche en couches qui s’appuie sur les trois cadres livre le meilleur résultat. Voici une stratégie concrète pour construire un programme de conformité unifié.

Partez de l’ISO 42001 comme épine dorsale de management

L’ISO 42001 fournit le socle structurel de tout votre programme de gouvernance de l’IA. Parce qu’elle suit la structure de haut niveau de l’annexe SL, elle s’intègre naturellement aux systèmes de management existants (ISO 27001, ISO 9001, ISO 27701) et fournit un cadre certifiable et auditable qui démontre une maturité de gouvernance aux régulateurs, aux clients et aux partenaires.

Actions clés :

• Définir le champ de votre système de management de l’IA (AIMS), quels systèmes d’IA, unités métier et étapes du cycle de vie entrent dans le champ (clause 4.3)
• Mener une analyse d’impact initiale de l’IA pour chaque système dans le champ (annexe A.5)
• Établir les politiques, rôles et responsabilités IA (clauses 5.1-5.3)
• Mettre en œuvre les contrôles de l’annexe A couvrant l’appréciation des risques, la gestion des données, la transparence, le contrôle humain et la performance des systèmes
• Établir le cycle d’évaluation de la performance et d’amélioration (clauses 9-10)
• Viser une certification par un tiers pour obtenir les bénéfices juridiques et commerciaux d’une vérification indépendante

Pour un guide de certification pas à pas, voir ISO 42001 : le guide complet des systèmes de management de l’IA.

Superposez le NIST AI RMF pour les fonctions opérationnelles de risque

Si l’ISO 42001 fournit l’enveloppe de système de management, le NIST AI RMF fournit une orientation plus granulaire pour opérationnaliser la gestion des risques. Utilisez les quatre fonctions du NIST comme guide opérationnel à l’intérieur de votre AIMS ISO 42001 :

Actions clés :

• GOVERN : rattachez aux clauses 4-5 de l’ISO 42001. Veillez à ce que les structures de gouvernance, les lignes de responsabilisation et la culture du risque soient alignées.
• MAP : utilisez les sous-catégories MAP pour mener une analyse de risque contextuelle détaillée pour chaque système d’IA. Alimentez les sorties dans vos analyses d’impact de l’annexe A.5 de l’ISO 42001.
• MEASURE : développez des indicateurs précis, des protocoles d’essai et des critères d’évaluation pour l’exactitude, le biais, la robustesse et la performance. Utilisez les sous-catégories MEASURE du NIST comme liste de contrôle de votre programme d’essais et de surveillance.
• MANAGE : mettez en œuvre la surveillance après déploiement, la réponse aux incidents et les processus de communication des risques. Alignez-vous sur les clauses 9-10 de l’ISO 42001 et sur l’article 72 du règlement sur l’IA.

Le guide opérationnel du NIST AI RMF (Playbook) fournit des actions suggérées précises pour chaque sous-catégorie ; elles se traduisent directement en procédures opérationnelles à l’intérieur de votre AIMS ISO 42001.

Ajoutez les exigences propres au règlement sur l’IA comme couche supérieure

Avec l’ISO 42001 comme épine dorsale de management et le NIST AI RMF comme processus opérationnel de risque, la dernière couche traite les exigences du règlement sur l’IA qui ne sont pas pleinement couvertes par les deux autres cadres :

Actions clés :

• Classification des risques : classez chaque système d’IA selon le cadre à quatre paliers du règlement sur l’IA. Pour l’orientation, voir Mon système d’IA est-il à haut risque ?
• Filtrage des pratiques interdites : filtrez chaque système au regard des interdictions de l’article 5, c’est une étape de bascule avant tout autre travail de conformité.
• Gouvernance des données de l’article 10 : construisez une couche dédiée de gouvernance des données pour les jeux d’entraînement, de validation et d’essai. Cela va au-delà de la gestion standard des données et exige un examen précis des biais, une documentation de la provenance et une appréciation de la représentativité.
• Documentation technique selon l’annexe IV : veillez à ce que votre documentation satisfasse les exigences prescriptives de l’annexe IV. Utilisez la structure de l’annexe IV comme ossature documentaire maîtresse.
• Évaluation de la conformité : menez une auto-évaluation ou une évaluation de la conformité par un tiers pour chaque système à haut risque, selon ce qui est exigé.
• Marquage CE et déclaration UE de conformité : achevez la déclaration formelle de conformité et marquez le système.
• Enregistrement : enregistrez les systèmes à haut risque dans la base de données de l’UE.
• Surveillance après mise sur le marché et signalement d’incidents : veillez à ce que vos systèmes de surveillance NIST MANAGE / clauses 9 de l’ISO satisfassent aussi les exigences de l’article 72, y compris les obligations de signalement d’incidents au titre de l’article 73.

Plan de mise en œuvre concret

Pour les organisations qui opèrent à la fois dans l’Union et aux États-Unis

Les organisations présentes à la fois sur les marchés européens et américains affrontent le paysage de conformité le plus complexe, mais elles ont aussi le plus à gagner d’une approche unifiée.

La loi du Colorado sur l’IA et la question des cadres

La loi du Colorado sur l’IA est la législation d’État américaine sur l’IA la plus significative adoptée à ce jour. La loi d’origine de 2024 imposait des obligations, dont un devoir de diligence, un programme de gestion des risques et des analyses d’impact, aux développeurs et déployeurs de « systèmes d’IA à haut risque » qui prennent, ou contribuent substantiellement à, des décisions lourdes de conséquences dans des domaines tels que l’éducation, l’emploi, les services financiers, la santé, le logement, l’assurance et les services juridiques.

Cette loi d’origine a été substantiellement modifiée en mai 2026 (signée par le gouverneur Polis le 14 mai 2026). L’amendement a reporté la date d’application du 30 juin 2026 au 1er janvier 2027 et a recentré la loi sur la divulgation des technologies de prise de décision automatisée (ADMT) : un avis avant usage, une divulgation après une issue défavorable, et un jeu limité de droits des consommateurs (dont le droit de demander une revue humaine d’une décision défavorable lourde de conséquences). Le devoir de diligence d’origine, le programme de gestion des risques et les exigences d’analyse d’impact ont été retirés.

La loi d’origine nommait la conformité à « un cadre de gestion des risques pour les systèmes d’intelligence artificielle, reconnu au niveau national ou international, tel que le NIST AI RMF, ou une norme reconnue au niveau international, telle que l’ISO/IEC 42001 » comme base d’un moyen de défense affirmatif. Cette exonération fondée sur un cadre reconnu n’a pas survécu à l’amendement de mai 2026. Le NIST AI RMF et l’ISO 42001 ne sont donc plus un moyen de défense statutaire codifié au Colorado, mais ils demeurent l’ossature pratique pour produire la documentation, la divulgation et les processus de revue humaine que la loi amendée exige. Combinés à la conformité au règlement sur l’IA, ils appuient encore une position à double juridiction, construite sur un seul programme intégré.

Efficacités de la double conformité

L’approche en couches décrite ci-dessus livre des efficacités significatives pour la double conformité UE-États-Unis :

• La certification ISO 42001 fournit l’épine dorsale de système de management pour la conformité au règlement sur l’IA et fournit la documentation structurée que le régime amendé de divulgation ADMT du Colorado attend.
• La mise en œuvre du NIST AI RMF fournit le cadre opérationnel de risque qui alimente la documentation d’évaluation de la conformité au règlement sur l’IA et sous-tend les devoirs de divulgation et de revue humaine au titre de la loi amendée du Colorado (même si l’exonération d’origine fondée sur un cadre reconnu a été retirée en mai 2026).
• La conformité au règlement sur l’IA, parce que c’est le cadre le plus prescriptif, assure que votre programme de gouvernance dépasse les exigences de toute loi d’État américaine actuelle.

Le résultat pratique : une organisation qui prend le règlement sur l’IA comme exigence de référence la plus élevée, utilise l’ISO 42001 comme système de management, et documente son alignement au NIST AI RMF, gagne la conformité dans les deux juridictions avec une seule infrastructure de gouvernance. Pour une perspective mondiale plus large, voir notre comparaison mondiale de la régulation de l’IA.

D’autres États américains, dont le Connecticut, le Texas et la Virginie, font avancer une législation sur l’IA qui se réfère de même à des cadres de risque reconnus au niveau national. La tendance est claire : la conformité au NIST AI RMF et à l’ISO 42001 fonctionnera de plus en plus comme un plancher de conformité dans la mosaïque réglementaire des États américains.

Questions fréquentes

La conformité au NIST AI RMF suffit-elle pour la conformité au règlement sur l’IA ?

Non. Le NIST AI RMF est un cadre volontaire de gestion des risques qui ne crée pas d’obligations juridiques. S’il fournit une excellente orientation opérationnelle pour la gestion des risques liés à l’IA, et couvre une part substantielle des exigences orientées processus du règlement sur l’IA, il ne traite pas les obligations propres au règlement sur l’IA, dont la gouvernance des données de l’article 10, l’évaluation de la conformité et le marquage CE, l’enregistrement dans la base de données de l’UE, le filtrage des pratiques interdites, ou le signalement d’incidents aux autorités nationales. Le NIST AI RMF devrait être traité comme une couche à l’intérieur d’un programme plus large de conformité au règlement sur l’IA, pas comme un substitut.

Un certificat ISO 42001 signifie-t-il que je suis conforme au règlement sur l’IA ?

Non. La certification ISO 42001 démontre que votre organisation a un système de management de l’IA fonctionnel, avec des politiques, processus, contrôles et mécanismes d’amélioration continue appropriés. Elle couvre, selon les estimations, 70 à 80 % des exigences organisationnelles et de processus pertinentes pour le règlement sur l’IA, en particulier pour la gestion des risques (article 9) et la gestion de la qualité (article 17). Elle ne constitue toutefois pas une évaluation de la conformité d’un système d’IA précis, ne traite pas la gouvernance des données de l’article 10 au niveau de spécificité exigé, et ne remplace pas le marquage CE, la déclaration UE de conformité, ni les obligations d’enregistrement dans la base de données. Pour une analyse détaillée, voir notre guide de certification ISO 42001.

Puis-je utiliser l’ISO 42001 comme élément de preuve pendant une évaluation de la conformité ?

Oui, et c’est l’une des raisons pratiques les plus solides de viser la certification ISO 42001. Si l’ISO 42001 ne remplace pas l’évaluation de la conformité, elle fournit un élément de preuve substantiel que les processus de management sous-jacents sont robustes. Un certificat ISO 42001 accrédité démontre que vos processus de gestion des risques, de documentation, de gouvernance et de surveillance ont été vérifiés de façon indépendante. Les autorités nationales compétentes et les organismes notifiés y verront un élément de preuve solide de maturité de processus, ce qui peut alléger nettement l’évaluation de la conformité et réduire la charge de la preuve pour chaque système d’IA.

Quel cadre dois-je mettre en œuvre en premier ?

Partez de l’ISO 42001 comme épine dorsale de management. Elle fournit le cadre structuré et auditable à l’intérieur duquel les fonctions du NIST AI RMF et les exigences du règlement sur l’IA peuvent être mises en œuvre. Parce qu’elle suit la structure de l’annexe SL, elle s’intègre naturellement aux systèmes de management existants (ISO 27001, ISO 9001). Les organisations qui détiennent déjà l’ISO 27001 peuvent s’appuyer sur leur infrastructure SMSI pour accélérer la mise en œuvre de l’AIMS. Une fois l’AIMS ISO 42001 établi, superposez le NIST AI RMF pour les processus opérationnels de risque, puis traitez les écarts propres au règlement sur l’IA. Pour un guide de conception de programme, voir Construire un cadre de gouvernance de l’IA.

La loi du Colorado sur l’IA accepte-t-elle l’ISO 42001 comme moyen de défense ?

Plus maintenant. La loi d’origine du Colorado de 2024 prévoyait un moyen de défense affirmatif pour les développeurs et déployeurs qui démontraient la conformité à « une norme reconnue au niveau international, telle que l’ISO/IEC 42001 », et nommait le NIST AI RMF comme cadre admissible. Toutefois, l’amendement de mai 2026 (signé le 14 mai 2026, applicable au 1er janvier 2027) a réécrit la loi autour de la divulgation des technologies de prise de décision automatisée (ADMT) et a retiré cette exonération fondée sur un cadre reconnu. L’ISO 42001 et le NIST AI RMF ne sont plus un moyen de défense statutaire codifié au Colorado. Ils restent très utiles en pratique, la documentation, la divulgation et les processus de revue humaine qu’ils produisent se rattachent directement aux obligations de la loi amendée, mais les organisations ne devraient pas s’y appuyer comme à un bouclier statutaire.

Combien d’effort une approche unifiée des trois cadres économise-t-elle par rapport à une mise en œuvre séparée de chacun ?

D’après notre analyse et l’expérience client, une approche unifiée économise typiquement 40 à 60 % de l’effort total de mise en œuvre par rapport au traitement de chaque cadre comme un projet de conformité indépendant. Les économies viennent principalement des structures de gouvernance partagées (un seul jeu de politiques, de rôles et de lignes de responsabilisation), des appréciations des risques partagées (un seul processus de gestion des risques sur tout le cycle de vie, qui alimente plusieurs cadres), de la documentation partagée (un seul jeu de documentation technique structuré pour satisfaire les trois), et de l’infrastructure de surveillance partagée (un seul système de surveillance après mise sur le marché qui satisfait les exigences des trois cadres). L’investissement initial pour concevoir l’architecture unifiée est plus que compensé par l’évitement des doublons sur les trois voies.

Prochaines étapes

La relation entre le règlement sur l’IA, le NIST AI RMF et l’ISO 42001 est complémentaire, pas concurrentielle. Chaque cadre traite une dimension que les autres gèrent moins bien : le règlement sur l’IA fournit la certitude juridique et l’opposabilité, le NIST AI RMF fournit la méthode opérationnelle de gestion des risques, et l’ISO 42001 fournit une structure de système de management certifiable.

Les organisations qui comprennent cette complémentarité, et construisent un seul programme de gouvernance intégré qui s’appuie sur les trois, seront mieux placées pour satisfaire les obligations réglementaires, démontrer leur fiabilité aux parties prenantes, et opérer efficacement entre juridictions.

L’échéance du 2 décembre 2027 pour la conformité des systèmes d’IA à haut risque approche. Le moment de construire votre cadre unifié, c’est maintenant.

Prêt à apprécier vos systèmes d’IA au regard du règlement sur l’IA ? Lancez votre évaluation gratuite de classification des risques et identifiez lesquels de vos systèmes exigent une conformité à haut risque, la première étape pour construire un programme de gouvernance unifié qui couvre le règlement sur l’IA, le NIST AI RMF et l’ISO 42001.