L'ISO/IEC 42001 est la norme internationale qui définit comment piloter l'intelligence artificielle dans une organisation : politique IA, gestion des risques, analyses d'impact, contrôles et amélioration continue. Publiée le 18 décembre 2023, elle est volontaire et certifiable. Elle ne remplace pas l'AI Act, mais elle donne une méthode pour organiser et prouver ce que le règlement demande.
L'essentiel
- ISO/IEC 42001:2023 : première norme de système de management de l'IA (AIMS), publiée par l'ISO et la CEI le 18 décembre 2023.
- Structure : les clauses 4 à 10 communes aux normes de management (comme ISO 9001 ou ISO 27001), plus 38 contrôles de référence répartis en 9 domaines (annexe A).
- Pour qui : toute organisation qui développe, fournit ou utilise des systèmes d'IA, quelle que soit sa taille.
- Et l'AI Act ? Ce n'est pas une norme harmonisée du règlement (UE) 2024/1689 : la certification ne vaut pas présomption de conformité, mais elle structure la gouvernance et les preuves.
- Documents clés : politique IA, périmètre, évaluation et traitement des risques, déclaration d'applicabilité, analyse d'impact, audit interne, revue de direction.
1. Qu'est-ce que la norme ISO 42001 ?
L'ISO/IEC 42001:2023 (titre officiel : Information technology — Artificial intelligence — Management system) fixe les exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu un système de management de l'intelligence artificielle, souvent appelé AIMS (AI Management System). Elle a été élaborée par le comité conjoint ISO/IEC JTC 1/SC 42, consacré à l'intelligence artificielle.
Un système de management n'est pas un document unique : c'est l'ensemble des règles, rôles, processus et preuves qui permettent à une organisation de maîtriser un sujet dans la durée. Pour l'IA, cela signifie savoir quels systèmes vous utilisez, pour quoi faire, avec quels risques, et démontrer que ces risques sont évalués, traités et suivis.
La norme s'adresse à toute organisation qui développe, fournit ou utilise des produits ou services fondés sur l'IA : un éditeur de logiciel, une banque, mais aussi une PME qui déploie un outil de tri de CV ou un assistant conversationnel. Elle reprend la structure harmonisée des normes de management : une entreprise déjà certifiée ISO 9001 ou ISO 27001 peut s'appuyer sur ses processus existants (audit interne, revue de direction, gestion documentaire).
2. La structure de la norme : clauses 4 à 10
Les clauses 1 à 3 posent le domaine d'application, les références et les définitions. Les exigences certifiables commencent à la clause 4.
| Clause | Thème | Ce qu'elle demande |
|---|---|---|
| 4 | Contexte de l'organisation | Enjeux internes et externes, parties intéressées, rôle de l'organisation vis-à-vis de l'IA, périmètre du système de management (4.3). |
| 5 | Leadership | Engagement de la direction, politique IA (5.2), rôles, responsabilités et autorités (5.3). |
| 6 | Planification | Évaluation des risques liés à l'IA (6.1.2), traitement des risques et déclaration d'applicabilité (6.1.3), analyse d'impact des systèmes d'IA (6.1.4), objectifs IA (6.2), planification des changements (6.3). |
| 7 | Support | Ressources, compétences, sensibilisation, communication et informations documentées. |
| 8 | Réalisation des activités opérationnelles | Planification et maîtrise opérationnelles (8.1), puis évaluation des risques (8.2), traitement des risques (8.3) et analyse d'impact (8.4) réalisés en continu. |
| 9 | Évaluation des performances | Surveillance et mesure (9.1), audit interne (9.2), revue de direction (9.3). |
| 10 | Amélioration | Amélioration continue, non-conformités et actions correctives. |
Quatre annexes complètent la norme : l'annexe A liste les objectifs et mesures de référence (les « contrôles »), l'annexe B guide leur mise en œuvre, l'annexe C décrit des objectifs et sources de risque possibles, et l'annexe D traite de l'usage du système de management selon les domaines et secteurs.
3. L'annexe A : 38 contrôles en 9 domaines
Les contrôles de l'annexe A sont des mesures types. Vous n'êtes pas obligé de les appliquer tous : la déclaration d'applicabilité (clause 6.1.3) indique, pour chacun, s'il est retenu, comment il est mis en œuvre et pourquoi il est exclu le cas échéant.
| Domaine | Contrôles | Objet |
|---|---|---|
| A.2 Politiques relatives à l'IA | 3 | Politique IA, articulation avec les autres politiques, revue. |
| A.3 Organisation interne | 2 | Rôles et responsabilités, signalement des préoccupations. |
| A.4 Ressources des systèmes d'IA | 5 | Documentation des ressources : données, outils, infrastructure, compétences humaines. |
| A.5 Évaluation des impacts | 4 | Processus d'analyse d'impact, documentation, effets sur les personnes, les groupes et la société. |
| A.6 Cycle de vie des systèmes d'IA | 9 | Objectifs de conception, développement, vérification et validation, déploiement, exploitation et surveillance, journaux, documentation technique. |
| A.7 Données des systèmes d'IA | 5 | Acquisition, qualité, provenance et préparation des données. |
| A.8 Information des parties intéressées | 4 | Information des utilisateurs, communication des incidents, informations aux personnes concernées. |
| A.9 Utilisation des systèmes d'IA | 3 | Utilisation responsable, objectifs d'utilisation, usage conforme à la destination prévue. |
| A.10 Relations avec les tiers | 3 | Répartition des responsabilités, fournisseurs, clients. |
| Total | 38 |
Pour aller plus loin, contrôle par contrôle : les 38 contrôles de l'annexe A et rédiger sa déclaration d'applicabilité.
4. Les documents à produire
La norme parle d'« informations documentées ». Voici celles qu'un auditeur demandera presque toujours, et ce que le pack regulia fournit comme base de travail.
| Document | Clause | Dans le pack regulia |
|---|---|---|
| Politique IA | 5.2 | Oui : politique IA personnalisée (Doc 03) |
| Inventaire des systèmes d'IA et périmètre | 4.3 | Oui : registre des systèmes d'IA (Doc 04) ; le périmètre est à valider par la direction |
| Rôles et responsabilités | 5.3 | Oui : procédure de gouvernance et matrice RACI (Doc 10) |
| Évaluation et traitement des risques | 6.1.2, 6.1.3, 8.2, 8.3 | Oui : évaluation des risques par système (Doc 05) |
| Déclaration d'applicabilité | 6.1.3 | Oui : les 38 contrôles avec applicabilité et justification (Doc 08) |
| Analyse d'impact des systèmes d'IA | 6.1.4, 8.4 | Oui : AISIA par système (Doc 06) |
| Sensibilisation et règles d'usage | 7.2, 7.3 | Oui : charte d'utilisation de l'IA (Doc 09) |
| Gestion des incidents et non-conformités | 10.2 | Oui : procédure incidents (Doc 11) |
| Relations fournisseurs | A.10 | Oui : évaluation des fournisseurs et clauses (Doc 12) |
| Objectifs IA, surveillance, audit interne, revue de direction | 6.2, 9.1, 9.2, 9.3 | Cadre et calendrier dans la synthèse (Doc 01) ; les résultats sont à produire par vous dans la durée |
5. ISO 42001 et AI Act : complémentaires, pas équivalents
L'AI Act (règlement (UE) 2024/1689) fixe des obligations légales selon le niveau de risque ; l'ISO 42001 propose une méthode de pilotage. Pour bénéficier d'une présomption de conformité, l'AI Act renvoie aux normes harmonisées publiées au Journal officiel (Art. 40), en cours d'élaboration par le CEN et le CENELEC. L'ISO/IEC 42001 n'en fait pas partie : une certification ne prouve donc pas, à elle seule, la conformité au règlement.
| Critère | ISO/IEC 42001 | AI Act |
|---|---|---|
| Nature | Norme volontaire, certifiable | Règlement européen obligatoire |
| Approche | Système de management (processus, amélioration continue) | Obligations selon le niveau de risque et le rôle (fournisseur, déployeur) |
| Calendrier | Applicable depuis décembre 2023 | Par étapes : 2025, 2026, puis haut risque au 2 décembre 2027 et au 2 août 2028 (calendrier) |
| Contrôle | Audit par un organisme certificateur | Autorités de surveillance, amendes jusqu'à 7 % du CA (sanctions) |
Les recoupements sont pourtant nombreux : gestion des risques (Art. 9 de l'AI Act), gouvernance des données (Art. 10), documentation, transparence, supervision humaine, obligations des déployeurs (Art. 26), maîtrise de l'IA (Art. 4) et compétences (clauses 7.2 et 7.3). Une démarche ISO 42001 bien menée produit une grande partie des preuves que l'AI Act attend. Comparaison détaillée : ISO 42001 vs AI Act.
6. Comment se passe la certification ?
- Mise en place : périmètre, politique, risques, déclaration d'applicabilité, analyses d'impact, procédures, puis quelques mois de fonctionnement pour disposer de preuves.
- Audit interne et revue de direction : obligatoires avant l'audit de certification (clauses 9.2 et 9.3). Voir l'audit interne d'un AIMS.
- Audit initial en deux étapes par un organisme certificateur : revue documentaire, puis évaluation de la mise en œuvre.
- Certificat valable trois ans, avec des audits de surveillance annuels puis un renouvellement.
Le coût et la durée dépendent du périmètre, du nombre de systèmes et de votre maturité : demandez plusieurs devis. Repères pratiques : budget d'une certification, choisir son organisme certificateur, délais et étapes.
7. Par où commencer dans une PME
- Recenser vos outils et systèmes d'IA dans un registre (usage, données, fournisseur, niveau de risque).
- Faire valider une politique IA par la direction et nommer un responsable.
- Évaluer les risques et l'impact des systèmes les plus sensibles (recrutement, clients, données personnelles).
- Établir la déclaration d'applicabilité à partir des 38 contrôles.
- Diffuser des règles d'usage (charte) et sensibiliser les équipes, puis programmer audit interne et revue de direction.
Si la certification n'est pas votre objectif, utilisez la norme comme grille de bonnes pratiques : les mêmes documents servent à répondre aux questionnaires de vos clients et à préparer l'AI Act.
Votre base documentaire ISO 42001, prête aujourd'hui
Politique IA, registre, évaluations des risques, analyses d'impact, déclaration d'applicabilité des 38 contrôles, gouvernance, incidents, fournisseurs : personnalisés selon vos réponses, en Word et Excel. 29 € jusqu'au 30 novembre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €8. Questions fréquentes
Qu'est-ce que la norme ISO 42001 ?
C'est la norme internationale ISO/IEC 42001:2023, publiée le 18 décembre 2023, qui définit les exigences d'un système de management de l'intelligence artificielle : politique IA, rôles, gestion des risques, analyses d'impact, contrôles et amélioration continue.
La norme ISO 42001 est-elle obligatoire ?
Non. Elle est volontaire. Certains clients ou appels d'offres peuvent toutefois la demander, et elle aide à organiser les obligations de l'AI Act, qui, elles, sont obligatoires.
La certification ISO 42001 vaut-elle conformité à l'AI Act ?
Non. L'ISO/IEC 42001 n'est pas une norme harmonisée au sens de l'Article 40 de l'AI Act : elle ne donne pas de présomption de conformité. Elle structure en revanche la gouvernance et une grande partie des preuves que le règlement attend.
Combien de contrôles compte l'annexe A ?
38 contrôles, répartis en 9 domaines (A.2 à A.10) : politiques, organisation interne, ressources, analyses d'impact, cycle de vie, données, information des parties intéressées, utilisation et relations avec les tiers.
Quelle différence entre ISO 42001 et ISO 27001 ?
L'ISO 27001 traite de la sécurité de l'information ; l'ISO 42001 traite des risques propres à l'IA (biais, transparence, impact sur les personnes, usage prévu). Elles partagent la même structure et peuvent être intégrées dans un seul système de management.
Une PME peut-elle se faire certifier ISO 42001 ?
Oui. La norme s'applique à toute organisation, quelle que soit sa taille. Le périmètre peut être limité aux activités et systèmes d'IA concernés, ce qui réduit l'effort et le coût.
9. Guides détaillés
Comprendre la norme
- Le système de management de l'IA (AIMS)
- ISO 42001 et AI Act : ce qui les distingue
- Les 38 contrôles de l'Annexe A
- La feuille de route du DPO et du RSSI
Produire les documents
- La déclaration d'applicabilité (SoA)
- L'évaluation d'impact des systèmes d'IA (AISIA)
- Le programme d'audit interne
Se faire certifier
- Le processus de certification pour une PME
- Combien de temps prévoir
- Le budget d'une certification
- Choisir un organisme certificateur
- Mutualiser avec ISO 27001
10. Sources
- ISO/IEC 42001:2023 — fiche officielle de la norme (ISO)
- Règlement (UE) 2024/1689 (AI Act) — EUR-Lex
- Article 40 de l'AI Act — normes harmonisées
- CEN-CENELEC — normalisation européenne de l'IA