ISO 42001 et AI Act : 6 étapes pour DPO et RSSI

L'essentiel en 30 secondes

ISO/IEC 42001:2023 est une norme volontaire de système de management de l'IA (AIMS). Ce n'est pas une norme harmonisée de l'AI Act : elle ne donne aucune présomption de conformité.

Elle aide à structurer la gouvernance, les rôles et les preuves que l'AI Act attend (Art. 9, 10, 11, 14, 17), grâce à un cycle PDCA et à la structure commune aux normes ISO 27001 et ISO 9001.

Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027, selon le règlement (UE) 2026/1744 (« Omnibus IA »). La transparence de l'Art. 50 s'applique depuis le 2 août 2026.

Amendes (Art. 99) : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs, 7,5 M€ ou 1 % pour les informations inexactes.

Le DPO pilote l'articulation avec le RGPD et la FRIA, le RSSI la sécurité et la journalisation : une matrice RACI fixe les rôles (clause 5.3).

Une trajectoire indicative en six étapes (cartographie, écart, conception, déploiement, maîtrise de l'IA, audit interne) mène à un AIMS opérationnel.

ISO/IEC 42001 aide un DPO ou un RSSI à organiser la gouvernance de l'IA et à constituer les preuves attendues par l'AI Act, mais elle ne remplace pas le règlement. Elle n'est pas une norme harmonisée et ne confère aucune présomption de conformité. Cet article relie les exigences de l'AI Act aux clauses de la norme et décrit six étapes de mise en œuvre, avec le rôle de chaque fonction.

1. Contexte réglementaire : AI Act et ISO 42001 en 2026

L'AI Act, ou Règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. Son application est progressive. Les pratiques interdites de l'Article 5 sont applicables depuis le 2 février 2025. Les obligations relatives aux modèles d'usage général (GPAI) s'appliquent depuis le 2 août 2025, et celles de transparence de l'Article 50 depuis le 2 août 2026. Le cœur du dispositif, les systèmes à haut risque de l'Annexe III, devient applicable le 2 décembre 2027, après le report décidé par le règlement (UE) 2026/1744 (« Omnibus IA »).

Pour une PME, le 2 décembre 2027 n'est pas une échéance théorique. À cette date, le fournisseur d'un système de recrutement assisté par IA, d'un outil de scoring crédit ou d'un dispositif biométrique doit disposer d'une documentation technique, d'un système de gestion des risques et d'une traçabilité auditable.

La norme ISO/IEC 42001:2023, publiée en décembre 2023, est la première norme internationale de système de management de l'intelligence artificielle (AIMS). Elle reprend la structure harmonisée (HLS) commune aux normes ISO 27001 et ISO 9001. Cette parenté facilite l'intégration avec les systèmes de management déjà en place dans l'entreprise.

DPO et RSSI partagent une difficulté : transformer un texte juridique de 113 articles en obligations opérationnelles. ISO 42001 fournit une grille de lecture. Le guide AI Act PME France décrit le périmètre général ; le présent article approfondit l'articulation avec la norme.

2. Les obligations de l'AI Act pour les PME

L'AI Act est souvent présenté en quatre niveaux de risque : interdit, haut risque, risque limité, risque minimal. Une entreprise peut être concernée à plusieurs titres : fournisseur (provider), déployeur (deployer), importateur ou distributeur.

Catégorie	Article AI Act	Obligation principale	Échéance
Pratiques interdites	Article 5	Cessation immédiate	2 février 2025
Modèles d'IA à usage général	Articles 51 à 56	Documentation, politique de droit d'auteur	2 août 2025
Transparence	Article 50	Informer qu'on échange avec une IA, signaler les hypertrucages et certains textes générés	2 août 2026 (en vigueur)
Systèmes à haut risque (Annexe III)	Articles 8 à 27	Système de gestion des risques, documentation, journalisation, supervision humaine	2 décembre 2027
Systèmes à haut risque (Annexe I)	Articles 6(1) et 8 à 27	Conformité intégrée aux produits réglementés	2 août 2028

Pour un fournisseur de système à haut risque, l'Article 9 impose un système de gestion des risques continu. L'Article 10 encadre la qualité des données d'entraînement. L'Article 11 exige une documentation technique conforme à l'Annexe IV. L'Article 12 impose la journalisation automatique. L'Article 14 impose une supervision humaine effective. L'Article 17 demande un système de management de la qualité documenté.

Pour le déployeur, situation la plus fréquente pour une PME qui utilise un outil SaaS, l'Article 26 impose notamment d'utiliser le système conformément à la notice, d'assurer la supervision humaine et de conserver les journaux. L'analyse d'impact sur les droits fondamentaux (FRIA, Article 27) est obligatoire avant le premier déploiement pour les organismes de droit public, les entités privées fournissant des services publics et les déployeurs de systèmes de scoring de crédit ou d'assurance vie et santé (Annexe III, points 5 b et 5 c).

3. L'ISO 42001 : norme de référence pour la gouvernance de l'IA

La norme ISO/IEC 42001:2023 décrit les exigences pour établir, mettre en œuvre, maintenir et améliorer un système de management de l'intelligence artificielle. Elle s'organise autour du cycle PDCA — Plan, Do, Check, Act — déjà familier aux équipes ISO 27001.

Sa structure normative compte dix clauses :

Domaine d'application
Références normatives
Termes et définitions
Contexte de l'organisation
Leadership
Planification
Support
Fonctionnement
Évaluation des performances
Amélioration

L'Annexe A regroupe 38 contrôles de référence, organisés en neuf thèmes : politiques relatives à l'IA, organisation interne, ressources, évaluation des impacts, cycle de vie du système d'IA, données pour les systèmes d'IA, information des parties intéressées, utilisation des systèmes d'IA, relations avec les tiers et les clients.

ISO 42001 n'est pas obligatoire. Ce n'est pas une norme harmonisée de l'AI Act : elle ne donne pas de présomption de conformité. Elle aide à structurer la gouvernance et à constituer la preuve des mesures mises en œuvre.

4. Les liens entre l'AI Act et l'ISO 42001

L'AI Act fixe le « quoi » : les obligations légales. ISO 42001 fournit le « comment » : la structure organisationnelle pour les tenir. Les deux référentiels se recouvrent largement, sans se confondre.

Exigence AI Act	Repère ISO 42001	Document opérationnel
Système de gestion des risques (Art. 9)	Clauses 6.1.2 et 8.2	Registre des risques IA
Gouvernance des données (Art. 10)	Annexe A.7	Politique de qualité des données
Documentation technique (Art. 11)	Clause 7.5	Dossier technique Annexe IV
Journalisation (Art. 12)	Annexe A.6.2.8	Procédure de logs
Transparence (Art. 13)	Annexe A.8	Notice d'utilisation
Supervision humaine (Art. 14)	Clause 5.3 et Annexe A.9	Procédure de contrôle humain
Système qualité (Art. 17)	Clauses 4 à 10	Manuel AIMS
FRIA (Art. 27)	Clauses 6.1.4 et 8.4 (AISIA) et Annexe A.5	Rapport d'analyse d'impact

Attention à ne pas confondre l'évaluation d'impact des systèmes d'IA (AISIA, clauses 6.1.4 et 8.4 de la norme) avec l'analyse d'impact de l'AI Act. L'AISIA est une exigence d'ISO 42001, pas une obligation du règlement. L'analyse d'impact imposée par l'AI Act est la FRIA (Art. 27), avec le périmètre prévu à cet article.

ISO/IEC 42001 n'est pas une norme harmonisée de l'AI Act : elle ne confère pas de présomption de conformité. Les normes harmonisées relèvent des organismes européens de normalisation (CEN et CENELEC). L'ISO 42001 sert de cadre de gouvernance, pas de preuve de conformité. Voir les différences et la complémentarité entre ISO 42001 et l'AI Act.

La page ISO 42001 pour les PME présente la norme et sa certification.

5. Étapes clés pour la mise en conformité ISO 42001

À titre indicatif, une PME peut suivre une trajectoire en six étapes. Les durées ci-dessous sont des ordres de grandeur, à adapter à la taille et à la maturité de l'organisation.

Étape 1 : cartographie des systèmes d'IA (semaines 1 à 3). Recensement de tous les systèmes utilisés ou développés : SaaS RH, scoring marketing, assistants génératifs, outils de support client. Classification par niveau de risque AI Act et identification du rôle de l'entreprise (fournisseur, déployeur, distributeur). Un modèle de registre des systèmes d'IA sert de base.

Étape 2 : analyse d'écart (semaines 3 à 6). Comparaison entre les pratiques existantes et les exigences combinées AI Act et ISO 42001. Identification des contrôles manquants. La grille de l'Annexe A de la norme structure naturellement cette analyse.

Étape 3 : conception du système de management (semaines 6 à 10). Rédaction de la politique IA, du registre des risques, de la procédure d'évaluation d'impact, de la procédure de supervision humaine et du plan de surveillance après déploiement.

Étape 4 : déploiement opérationnel (semaines 10 à 16). Mise en production des procédures, configuration des outils de journalisation, intégration de la traçabilité dans les pipelines existants.

Étape 5 : maîtrise de l'IA (semaines 12 à 18). L'Article 4 de l'AI Act demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel : sensibilisation, règles d'usage, formation adaptée aux rôles (direction, DPO, RSSI, équipes métier, développeurs). La charte d'utilisation de l'IA en est un support.

Étape 6 : audit interne et revue de direction (semaines 18 à 24). Vérification de l'efficacité du système, identification des non-conformités, plan d'amélioration. Un programme d'audit interne AIMS selon la clause 9.2 en décrit la méthode. La certification externe par un organisme accrédité est facultative.

Vos documents IA, personnalisés et prêts aujourd'hui

Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 30 novembre, puis 99 €.

Créer mon pack — 29 €

6. Rôles du DPO et du RSSI dans la mise en conformité

L'AI Act ne crée pas de fonction dédiée comparable au DPO. Mais il génère des responsabilités opérationnelles qui se répartissent naturellement entre les acteurs existants.

Acteur	Mission principale	Livrables ISO 42001
Direction générale	Décision d'usage, allocation des ressources, revue de direction (Clause 9.3)	Politique IA, déclaration d'applicabilité
DPO	Conformité RGPD, supervision FRIA, articulation avec les AIPD existantes	Registre des traitements IA, FRIA
RSSI	Sécurité, robustesse (Art. 15), cybersécurité, journalisation	Procédure de logs, plan de continuité IA
IA Lead / Responsable produit	Pilotage du cycle de vie, qualité des données	Documentation technique Annexe IV
Métier	Supervision humaine effective, remontée d'incidents	Journaux d'usage, fiches d'incidents

Le DPO veille particulièrement à l'articulation avec le RGPD. L'analyse d'impact relative à la protection des données (AIPD) couvre les traitements de données personnelles. La FRIA de l'Article 27 couvre les impacts sur les droits fondamentaux. Lorsque certaines obligations de la FRIA sont déjà couvertes par l'AIPD, la FRIA la complète (Art. 27(4)) : elle ne la remplace pas.

Le RSSI assure la sécurité technique des systèmes d'IA. L'Article 15 exige un niveau approprié d'exactitude, de robustesse et de cybersécurité. La maîtrise ISO 27001 facilite la mise en œuvre. Les contrôles d'accès, la protection contre les attaques par empoisonnement de données et l'inférence adversariale relèvent du périmètre RSSI.

La collaboration est documentée dans la matrice RACI du système de management. ISO 42001 exige une définition claire des rôles (Clause 5.3).

7. Outils et ressources disponibles

Les PME disposent de ressources gratuites publiées par les autorités et les organismes de normalisation.

Ressource	Émetteur	Usage
AI Act Service Desk	Commission européenne	Questions sur l'application du règlement
Fiches pratiques IA	CNIL	Articulation RGPD et IA
Texte annoté de l'AI Act	artificialintelligenceact.eu	Lecture annotée
Texte officiel	EUR-Lex	Référence juridique
Norme ISO/IEC 42001:2023	ISO/AFNOR	Texte normatif officiel (payant)
Norme ISO/IEC 23894:2023	ISO/AFNOR	Gestion des risques IA

Les outils internes à déployer incluent un registre des systèmes d'IA (un tableur structuré ou un module de gouvernance, risque et conformité), un système de journalisation conforme à l'Article 12, et un processus de gestion des incidents graves au sens de l'Article 73.

La page Sources recense les textes utilisés dans les guides.

8. Sanctions en cas de non-conformité

Le régime de sanctions est défini à l'Article 99 du Règlement (UE) 2024/1689. Il distingue trois niveaux selon la nature de l'infraction.

Type d'infraction	Plafond maximum	Plafond alternatif (CA mondial annuel)
Pratiques interdites (Art. 5)	35 000 000 €	7 %
Obligations des opérateurs (Art. 16, 22, 23, 24, 25, 26) et transparence (Art. 50)	15 000 000 €	3 %
Information incorrecte aux autorités	7 500 000 €	1 %

L'Article 99, paragraphe 6, introduit un mécanisme spécifique pour les PME, start-up comprises : le montant de l'amende correspond au plus bas des deux plafonds (montant fixe ou pourcentage), et non au plus haut comme pour les grandes entreprises. Les petites entreprises de taille intermédiaire (moins de 750 salariés, hors PME) en bénéficient pour les plafonds des paragraphes 4 et 5 (Art. 99(6a)).

L'Article 101 ajoute un régime distinct pour les fournisseurs de modèles d'IA à usage général, avec des amendes jusqu'à 15 000 000 € ou 3 % du CA mondial annuel. Les pouvoirs d'amende de la Commission s'appliquent à partir du 2 août 2026.

Au-delà de l'amende, les autorités de surveillance du marché peuvent exiger des mesures correctives, le retrait ou le rappel du système. Le guide des sanctions AI Act pour les PME détaille les plafonds et leur calcul.

L'enjeu pour le DPO et le RSSI est de produire une trace écrite continue de la démarche. ISO 42001 produit cette trace par construction. L'Article 99(7), point g, prend en compte, pour fixer l'amende, le degré de responsabilité de l'opérateur au regard des mesures techniques et organisationnelles qu'il a mises en œuvre.

FAQ

Quelle est la différence entre l'AI Act et l'ISO 42001 ?

L'AI Act est un règlement européen contraignant qui impose des obligations juridiques aux systèmes d'IA selon leur niveau de risque. ISO/IEC 42001:2023 est une norme volontaire internationale qui structure la gouvernance interne via un système de management. L'un fixe les règles, l'autre organise leur application.

Comment l'ISO 42001 aide-t-elle à se conformer à l'AI Act ?

ISO 42001 ne remplace pas l'AI Act et ne donne pas de présomption de conformité. Elle structure la gouvernance (gestion des risques, documentation, rôles, audit interne, amélioration continue) et produit des preuves réutilisables pour les exigences des Articles 9, 10, 11, 14 et 17. Le cycle PDCA fournit une mécanique d'amélioration continue adaptée à des systèmes d'IA qui évoluent.

Quels sont les avantages de l'ISO 42001 pour une PME ?

La norme structure la démarche, facilite les audits internes et externes et s'intègre aux systèmes ISO 27001 ou ISO 9001 déjà déployés grâce à la structure harmonisée commune. Elle ne réduit pas à elle seule le risque juridique : elle ne remplace pas le respect des obligations de l'AI Act.

Quels outils sont recommandés pour la mise en conformité ISO 42001 ?

Les outils essentiels sont un registre des systèmes d'IA, une matrice de classification des risques alignée sur l'Annexe III de l'AI Act, un système de journalisation conforme à l'Article 12, et un processus FRIA documenté. Les fiches pratiques de la CNIL éclairent l'articulation avec le RGPD.

Quelles sont les étapes pour obtenir la certification ISO 42001 ?

La démarche suit six étapes : cartographie des systèmes, analyse d'écart, conception du système de management, déploiement, maîtrise de l'IA, audit interne. La certification externe est délivrée par un organisme de certification accrédité, après un audit initial en deux étapes. Elle est facultative.

Passez des obligations aux documents

Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 30 novembre, puis 99 €, satisfait ou remboursé 30 jours.