L'essentiel en 30 secondes - L'ISO/IEC 42001:2023 couvre le management de l'IA via un système certifiable, le Règlement (UE) 2024/1689 (AI Act) impose des obligations légales contraignantes. - Les PME peuvent encourir jusqu'à 7 % du chiffre d'affaires mondial annuel pour les manquements aux pratiques interdites (Art. 99 AI Act). - L'ISO/IEC 42001 articule 10 clauses normatives et 38 contrôles en Annexe A, tandis que l'AI Act compte 113 articles structurés en 13 chapitres. - La CNIL recommande, dans ses fiches pratiques IA, d'aligner gouvernance interne et obligations réglementaires pour réduire les risques d'inspection. - L'AI Act Service Desk de la Commission européenne (ai-act-service-desk.ec.europa.eu) offre un point de contact gratuit pour les PME françaises. - ISO 42001 ne dispense PAS de l'AI Act : la certification est un atout de preuve, pas une exemption juridique.
L'année 2026 marque un tournant pour les PME françaises qui déploient des systèmes d'intelligence artificielle. Deux référentiels structurent désormais leur conformité : la norme ISO/IEC 42001:2023 publiée en décembre 2023, et le Règlement (UE) 2024/1689, dit AI Act, dont les obligations pour les systèmes à haut risque s'appliquent progressivement jusqu'au 2 août 2027. Ces deux textes ne se concurrencent pas — ils s'articulent. Cet article décrypte cette complémentarité et propose une feuille de route opérationnelle pour les dirigeants, DPO et IA Lead.
1. Contexte juridique 2026 : ISO 42001 et AI Act
Le cadre réglementaire applicable à l'IA en France repose sur deux piliers distincts mais convergents. Comprendre leur nature juridique respective est la première étape pour bâtir une conformité solide.
L'ISO/IEC 42001:2023 est une norme internationale volontaire publiée par l'Organisation internationale de normalisation. Elle définit les exigences d'un système de management de l'intelligence artificielle (SMIA), sur le modèle des normes ISO/IEC 27001:2022 (sécurité de l'information) ou ISO 9001 (qualité). Une PME peut s'y certifier auprès d'un organisme accrédité COFRAC.
Le Règlement (UE) 2024/1689 est, lui, un texte législatif contraignant directement applicable dans tous les États membres. Publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024. Son non-respect expose à des sanctions administratives prononcées par les autorités nationales compétentes — en France, principalement la CNIL et l'ARCEP selon les cas d'usage.
| Critère | ISO/IEC 42001:2023 | Règlement (UE) 2024/1689 (AI Act) |
|---|---|---|
| Nature juridique | Norme volontaire | Règlement contraignant |
| Émetteur | ISO/IEC | Parlement et Conseil UE |
| Publication | Décembre 2023 | Juillet 2024 (JOUE) |
| Périmètre | Management interne du SMIA | Mise sur le marché et utilisation |
| Sanctions | Aucune (perte de certification) | Jusqu'à 7 % CA mondial annuel |
| Certification | Tierce partie accréditée | Aucune certification globale |
| Cible | Toute organisation | Fournisseurs, déployeurs, importateurs |
Ces deux référentiels visent la même finalité : garantir des systèmes d'IA dignes de confiance, traçables et maîtrisés. Leur articulation permet à une PME de transformer une obligation légale subie en avantage concurrentiel structuré.
2. ISO 42001 : Le management de l'IA
La norme ISO/IEC 42001:2023 propose un cadre méthodologique pour gouverner l'IA au sein d'une organisation. Elle s'appuie sur la structure haut niveau commune aux normes ISO de management (HLS), familière aux PME déjà certifiées ISO 9001 ou ISO/IEC 27001.
La norme s'articule autour de 10 clauses normatives : contexte de l'organisation, leadership, planification, support, fonctionnement, évaluation des performances, amélioration, ainsi que les chapitres préliminaires (domaine d'application, références normatives, termes). Elle est complétée par une Annexe A regroupant 38 contrôles spécifiques à l'IA, et plusieurs annexes informatives (B, C, D) qui détaillent l'implémentation.
Les contrôles de l'Annexe A couvrent notamment : - La politique de gouvernance de l'IA et les rôles associés - L'évaluation d'impact des systèmes d'IA sur les personnes - La gestion du cycle de vie des données d'entraînement - La documentation technique et la traçabilité - La gestion des fournisseurs et des partenaires IA - La surveillance post-déploiement et la gestion des incidents
La certification ISO/IEC 42001 reste volontaire, mais elle apporte trois bénéfices opérationnels concrets pour une PME : une preuve documentaire face aux clients grands comptes, une réduction du temps d'audit lors d'un contrôle CNIL, et un alignement structurel avec les exigences de l'AI Act sur la gouvernance interne.
Pour mémoire, ISO/IEC 23894:2023 — Gestion des risques liés à l'IA — complète utilement ISO 42001 sur le volet analyse de risques, en cohérence avec les méthodologies déjà connues des risk managers français.
3. AI Act : La régulation européenne
Le Règlement (UE) 2024/1689 comporte 113 articles répartis en 13 chapitres, complétés par 13 annexes techniques. Sa structure suit une logique d'approche par les risques, héritée des travaux du Groupe d'experts de haut niveau de la Commission européenne (HLEG).
L'AI Act distingue quatre catégories de systèmes d'IA selon leur niveau de risque :
| Catégorie | Régime | Articles clés | Exemples |
|---|---|---|---|
| Risque inacceptable | Interdiction | Art. 5 | Notation sociale, manipulation cognitive |
| Risque élevé | Obligations renforcées | Art. 6 à 49, Annexe III | Recrutement, scoring crédit, dispositifs médicaux |
| Risque limité | Transparence | Art. 50 | Chatbots, deepfakes |
| Risque minimal | Code volontaire | Art. 95 | Filtres anti-spam, IA de jeu |
Pour les PME, l'enjeu opérationnel se concentre principalement sur : - L'Article 5 (pratiques interdites), applicable depuis le 2 février 2025 - L'Article 50 (obligations de transparence pour les systèmes interagissant avec des personnes), applicable au 2 août 2026 - Le Chapitre III (systèmes à haut risque), applicable progressivement jusqu'au 2 août 2027
L'Article 99 fixe les sanctions administratives. Le plafond le plus élevé — 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel — concerne le non-respect de l'Article 5 sur les pratiques interdites. Les manquements aux obligations des fournisseurs et déployeurs de systèmes à haut risque relèvent d'un plafond de 15 millions d'euros ou 3 % du CA. Pour une analyse détaillée du régime de sanctions, consultez notre dossier sanctions et amendes AI Act pour PME.
Les autorités nationales compétentes désignées doivent fournir des canaux de communication accessibles aux PME (Art. 62), et la Commission européenne a mis en place l'AI Act Service Desk pour répondre gratuitement aux questions d'interprétation.
4. Complémentarité juridique
Le point clé à comprendre est le suivant : la certification ISO/IEC 42001 ne dispense jamais d'appliquer l'AI Act. Le règlement européen est de droit positif ; la norme ISO est une méthodologie. Mais leur combinaison crée une boucle vertueuse de conformité.
L'Article 40 de l'AI Act prévoit que les fournisseurs de systèmes à haut risque qui se conforment aux normes harmonisées publiées au Journal officiel bénéficient d'une présomption de conformité aux exigences correspondantes. À ce jour, le CEN-CENELEC JTC 21 travaille sur l'harmonisation des normes IA, et ISO/IEC 42001 sert de référentiel de travail majeur. Une fois l'harmonisation officialisée, la certification deviendra un raccourci probatoire stratégique.
| Exigence AI Act | Clause ISO 42001 correspondante | Bénéfice combiné |
|---|---|---|
| Art. 9 — Système de gestion des risques | Clause 6.1 + Annexe A.6 | Méthodologie unifiée de risk assessment |
| Art. 10 — Gouvernance des données | Annexe A.7 | Traçabilité des jeux d'entraînement |
| Art. 11 — Documentation technique | Clause 7.5 + Annexe A.4 | Dossier technique pré-constitué |
| Art. 12 — Tenue des registres | Annexe A.5 | Logs et journaux structurés |
| Art. 14 — Surveillance humaine | Annexe A.6.2.6 | Définition des rôles humain-dans-la-boucle |
| Art. 17 — Système de gestion de la qualité | Clauses 4 à 10 | SMQ déjà certifiable |
| Art. 72 — Surveillance post-marché | Annexe A.6.2.8 | Boucle d'amélioration continue |
La CNIL, dans ses 13 fiches pratiques publiées sur l'usage de l'IA (cnil.fr/fr/les-fiches-pratiques-ia), invite explicitement les organisations à structurer leur démarche autour d'un système de gouvernance documenté. ISO 42001 offre ce squelette ; l'AI Act fournit les obligations légales à y intégrer.
Vous démarrez votre conformité AI Act ?
regulia propose un pack documentaire aligné ISO 42001 et AI Act, prêt à intégrer dans votre SMIA. Modèles de politiques, registres, déclarations de conformité et procédures de surveillance post-marché.
Demander le pack documentaire5. Exigences communes
Les deux référentiels partagent un socle d'exigences fondamentales. Pour une PME, identifier ce socle commun permet d'éviter les doublons et d'optimiser les coûts de mise en conformité.
Évaluation des risques. L'AI Act impose à l'Article 9 un système de gestion des risques tout au long du cycle de vie. ISO/IEC 42001 demande à la clause 6.1.2 une planification fondée sur les risques et opportunités, complétée par l'évaluation d'impact (AI System Impact Assessment) de l'Annexe A. Un seul processus documenté peut couvrir les deux exigences.
Documentation des processus. Le règlement européen exige une documentation technique conforme à l'Annexe IV (Art. 11). La norme ISO impose des informations documentées maîtrisées (clause 7.5). Une structure documentaire unifiée, organisée par système d'IA, satisfait les deux régimes.
Formation et sensibilisation. L'Article 4 de l'AI Act, applicable depuis le 2 février 2025, impose à tout fournisseur et déployeur de garantir un niveau suffisant de maîtrise de l'IA (« AI literacy ») au personnel concerné. La clause 7.2 d'ISO 42001 exige la compétence et la sensibilisation. Un plan de formation annuel couvre les deux.
Gestion du cycle de vie. L'Article 16 (obligations des fournisseurs) et l'Annexe A de la norme exigent une traçabilité du système depuis la conception jusqu'au retrait. La logique PDCA (Plan-Do-Check-Act) d'ISO 42001 cadre naturellement les jalons réglementaires.
Surveillance et amélioration continue. L'Article 72 de l'AI Act prévoit un plan de surveillance après commercialisation. La clause 10 d'ISO 42001 impose l'amélioration continue. Un même tableau de bord d'indicateurs peut alimenter les deux dispositifs.
Ces convergences ne sont pas fortuites : les rédacteurs du Comité technique ISO/IEC JTC 1/SC 42 et les négociateurs européens ont travaillé en parallèle, dans une logique d'interopérabilité.
6. Exigences spécifiques
Toutes les obligations ne se recoupent pas. Certaines exigences sont propres à chaque référentiel et nécessitent une attention dédiée.
Spécifique à ISO/IEC 42001 : - Plan de gouvernance de l'IA documenté (Annexe A.2) - Audits internes du SMIA (clause 9.2) - Revue de direction périodique (clause 9.3) - Définition d'objectifs IA mesurables (clause 6.2) - Gestion des fournisseurs et tiers IA (Annexe A.10)
Spécifique à l'AI Act : - Déclaration UE de conformité (Art. 47) - Marquage CE pour les systèmes à haut risque (Art. 48) - Enregistrement dans la base de données UE (Art. 49 et 71) - Évaluation de la conformité par tierce partie pour certains systèmes (Art. 43, Annexe VII) - Désignation d'un mandataire pour les fournisseurs hors UE (Art. 22) - Notification d'incidents graves à l'autorité de surveillance (Art. 73) - Analyse d'impact sur les droits fondamentaux (FRIA) pour certains déployeurs (Art. 27)
| Obligation | Référentiel | Échéance / Périodicité |
|---|---|---|
| Pratiques interdites | AI Act Art. 5 | Depuis 2 février 2025 |
| Maîtrise de l'IA (AI literacy) | AI Act Art. 4 | Depuis 2 février 2025 |
| Obligations IA usage général (GPAI) | AI Act Chap. V | Depuis 2 août 2025 |
| Transparence (Art. 50) | AI Act | À partir du 2 août 2026 |
| Systèmes à haut risque Annexe III | AI Act Chap. III | À partir du 2 août 2026 |
| Systèmes à haut risque Annexe I | AI Act Chap. III | À partir du 2 août 2027 |
| Certification ISO 42001 | Volontaire | Cycle de 3 ans + audits de suivi annuels |
La FRIA — Fundamental Rights Impact Assessment de l'Article 27 — mérite une mention particulière. Elle s'impose aux déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi qu'aux déployeurs utilisant certains systèmes à haut risque (scoring crédit, assurance-vie et santé). Pour de nombreuses PME, cette obligation est souvent sous-estimée.
7. Avantages pour les PME
Adopter une démarche conjointe ISO 42001 + AI Act produit cinq bénéfices opérationnels mesurables pour une PME française de 10 à 250 salariés.
Réduction du risque de sanctions. Un SMIA structuré documente la diligence raisonnable. En cas de contrôle, l'autorité compétente apprécie la coopération et la maturité organisationnelle pour fixer le quantum de l'amende (Art. 99.7 AI Act). Une certification accroît significativement la crédibilité de la défense.
Crédibilité commerciale. Les donneurs d'ordre publics et grands comptes intègrent progressivement la conformité IA dans leurs CCAP et critères RFP. Présenter un certificat ISO 42001 lève des barrières à l'entrée et raccourcit les cycles de vente B2B.
Optimisation des ressources internes. Un cadre unifié évite les doublons documentaires entre le service juridique, la DPO, la DSI et la direction qualité. Selon le Cigref (guide AI Act janvier 2025), la mutualisation des dispositifs ISO/IEC 27001, 27701, 42001 et conformité AI Act réduit le coût total de conformité par rapport à des dispositifs cloisonnés [à vérifier sur le chiffrage précis].
Préparation aux audits. Les audits internes ISO 42001 (clause 9.2) entraînent les équipes à formaliser preuves et traçabilité, ce qui prépare directement aux contrôles de l'autorité nationale compétente (Art. 74 AI Act).
Anticipation concurrentielle. Les PME qui investissent dès 2026 prennent une longueur d'avance sur leurs concurrents qui attendront les premières sanctions. C'est l'enjeu stratégique majeur identifié dans le guide AI Act dédié aux PME françaises.
| Bénéfice | Impact court terme | Impact long terme |
|---|---|---|
| Réduction sanctions | Diligence prouvée | Modulation amende Art. 99 |
| Crédibilité B2B | Réponse RFP facilitée | Maintien de référencement |
| Optimisation interne | Mutualisation documentaire | ROI conformité positif |
| Audit-ready | Contrôles internes structurés | Inspections externes apaisées |
| Avantage concurrentiel | Signal de maturité | Positionnement marché |
8. Étapes de mise en œuvre
Voici une feuille de route en cinq jalons, calibrée pour une PME française qui démarre sa démarche en 2026.
- Cartographie initiale (mois 1-2). Inventorier tous les systèmes d'IA utilisés ou développés. Pour chaque système, déterminer le rôle (fournisseur, déployeur, importateur, distributeur, mandataire) au sens de l'Article 3 de l'AI Act, et classer le niveau de risque (Art. 6 et Annexe III).
- Diagnostic d'écart (mois 2-3). Évaluer la maturité actuelle par rapport à ISO 42001 (gap analysis sur les 10 clauses et 38 contrôles) et par rapport aux obligations AI Act applicables. Identifier les rôles à pourvoir : référent IA, comité de gouvernance, validateur indépendant.
- Formation et AI literacy (mois 3-4). Déployer un plan de formation conforme à l'Article 4 AI Act. Tous les collaborateurs concernés — direction, juridique, IT, métiers utilisateurs — doivent disposer d'un niveau de maîtrise adapté à leur rôle. Documenter les sessions et les évaluations.
- Documentation et SMIA (mois 4-8). Bâtir le système de management : politique IA, procédures, registres, dossiers techniques par système à haut risque, plan de surveillance post-marché. Intégrer les modèles type FRIA, AIA (AI Impact Assessment), déclaration de conformité, registre des incidents.
- Audit interne et certification (mois 9-12). Conduire un audit blanc complet. Corriger les écarts. Solliciter un organisme certificateur accrédité pour le cycle ISO 42001. Préparer la documentation à présenter à l'autorité de surveillance en cas de contrôle.
À chaque jalon, capitaliser sur les ressources externes disponibles : 13 fiches pratiques CNIL, AI Act Service Desk (ai-act-service-desk.ec.europa.eu), guides Cigref et Numeum, code de bonnes pratiques GPAI publié par l'AI Office EU. Notre glossaire AI Act précise les définitions clés du règlement.
Besoin d'un accompagnement structuré ?
regulia met à disposition des PME un pack documentaire complet : politique IA, registre des systèmes, FRIA, déclaration de conformité, plan de surveillance, supports de formation AI literacy. Conçu par des juristes spécialisés et révisé trimestriellement.
Recevoir le pack reguliaFAQ
Quelles sont les sanctions pour non-conformité à l'AI Act ?
L'Article 99 du Règlement (UE) 2024/1689 prévoit trois plafonds : 35 millions d'euros ou 7 % du CA mondial annuel pour le non-respect de l'Article 5 (pratiques interdites) ; 15 millions d'euros ou 3 % du CA pour les manquements aux obligations des fournisseurs et déployeurs de systèmes à haut risque ; 7,5 millions d'euros ou 1 % du CA pour la fourniture d'informations erronées. L'Article 99.6 prévoit que pour les PME et start-ups, le montant retenu est le plus faible des deux (et non le plus élevé), afin de proportionner la sanction. Une démarche ISO 42001 documente la diligence raisonnable et peut atténuer le quantum effectif. Détails dans notre analyse des sanctions AI Act.
L'ISO 42001 remplace-t-elle l'AI Act ?
Non. L'AI Act est un règlement européen directement applicable ; sa violation engage la responsabilité administrative. ISO/IEC 42001 est une norme volontaire de management. Les deux référentiels sont complémentaires : la norme structure la gouvernance interne, le règlement impose les obligations légales externes. L'Article 40 de l'AI Act ouvre la voie à une présomption de conformité via les normes harmonisées, ce qui valorisera encore davantage les certifications une fois la norme officiellement harmonisée par le CEN-CENELEC.
Comment démarrer la mise en œuvre ?
Suivez une approche en cinq étapes : (1) cartographier vos systèmes d'IA et qualifier votre rôle au sens de l'Art. 3 AI Act ; (2) classer le niveau de risque selon l'Art. 6 ; (3) former l'équipe (AI literacy, Art. 4) ; (4) documenter politique, registres et dossiers techniques ; (5) auditer en interne avant certification. Le service desk européen (ai-act-service-desk.ec.europa.eu) fournit un support gratuit, et les 13 fiches pratiques CNIL (cnil.fr) sont une excellente première lecture.
Quel est le coût d'adoption pour une PME ?
Le coût varie selon la taille, le secteur et le nombre de systèmes d'IA à qualifier. Il dépend essentiellement de quatre postes : audit initial, accompagnement documentaire, formation interne, et certification par organisme accrédité. À ces postes s'ajoutent le temps interne et les éventuels outils de gouvernance IA [à vérifier pour un chiffrage indicatif récent par cabinet]. La mutualisation avec un système ISO/IEC 27001 ou 27701 déjà en place réduit sensiblement la facture.
Où trouver des ressources supplémentaires ?
Consultez notre pillar AI Act pour les PME françaises, notre analyse des sanctions, notre glossaire des termes clés et notre page sources officielles. Les références externes incontournables sont le texte consolidé sur artificialintelligenceact.eu, la version officielle JOUE sur eur-lex.europa.eu, les fiches CNIL sur cnil.fr et le service desk de la Commission européenne sur ai-act-service-desk.ec.europa.eu.
Sources officielles
- Règlement (UE) 2024/1689 — texte officiel JOUE — version consolidée du règlement européen sur l'intelligence artificielle.
- artificialintelligenceact.eu — version annotée et consolidée du texte avec explorateur d'articles.
- AI Act Service Desk — Commission européenne — point de contact officiel gratuit pour les questions d'interprétation.
- CNIL — Fiches pratiques IA — 13 fiches méthodologiques sur l'usage de l'IA, base RGPD.
- ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system (disponible sur iso.org).
- ISO/IEC 23894:2023 — Information technology — Artificial intelligence — Guidance on risk management (disponible sur iso.org).
- ISO/IEC 27001:2022 — Information security management systems — Requirements.
- Cigref — Guide AI Act janvier 2025.
- Numeum — Guide AI Act mars 2025.
Pour des liens consolidés vers les autorités sectorielles (ACPR, ANSM, HAS, ARCEP, ARCOM, DGCCRF), consultez notre page sources.
Avertissement. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.