Norme ISO 42001 : le système de management de l’IA expliqué

La norme ISO/IEC 42001:2023 définit les exigences d’un système de management de l’intelligence artificielle (SMIA). Publiée en décembre 2023, elle s’applique à toute organisation qui développe, fournit ou utilise de l’IA : politique, rôles, analyse des risques et des impacts, maîtrise du cycle de vie, amélioration continue. Elle est volontaire et certifiable par un organisme tiers.

Les points clés

• ISO 42001 est une norme de système de management, construite comme ISO/IEC 27001, mais centrée sur l’IA responsable.
• Les chapitres 4 à 10 suivent la structure commune des normes ISO de management : intégration facile avec 27001, 27701 ou 9001.
• L’annexe A liste des mesures de référence, généralement comptées comme 38 mesures réparties en neuf objectifs.
• La certification suit un audit en deux étapes, puis des audits de surveillance annuels sur un cycle de trois ans.
• Être certifié ne vaut pas conformité à l’AI Act, mais construit une grande partie de la gouvernance que le règlement attend.

Qu’est-ce que la norme ISO 42001 ?

ISO/IEC 42001 a été élaborée par le sous-comité conjoint ISO/IEC JTC 1/SC 42 consacré à l’intelligence artificielle. Son titre complet est « Technologies de l’information — Intelligence artificielle — Système de management ». C’est, selon la fiche officielle de l’ISO, la première norme internationale de ce type, et elle peut être certifiée. En France, elle est vendue par l’ISO et par la boutique de l’AFNOR.

Un système de management, c’est l’ensemble des politiques, processus, rôles et enregistrements qu’une organisation utilise pour atteindre ses objectifs de façon maîtrisée. ISO 42001 applique cette logique à l’IA. Elle ne dit pas quel modèle choisir ni quel taux d’erreur viser. Elle vous demande de définir ce qu’est une IA responsable chez vous, d’évaluer les risques et les impacts de vos systèmes, d’appliquer des mesures adaptées, de vérifier qu’elles fonctionnent et de les améliorer.

Elle s’adresse à toute organisation, quels que soient sa taille et son secteur : éditeur de logiciel qui intègre de l’IA, banque qui utilise un modèle de scoring, groupe industriel qui déploie Copilot, établissement public qui teste un outil d’aide à la décision. Si vous partez de zéro, le diagnostic gratuit de gouvernance IA situe votre organisation sur dix domaines et rédige un cadre de gouvernance de l’IA qui peut servir de première pierre.

La structure de la norme

Les chapitres 1 à 3 posent le domaine d’application, les références et les termes. Les exigences commencent au chapitre 4 :

Le cœur spécifique à l’IA se trouve au chapitre 6. Contrairement à ISO 27001, la norme exige une évaluation d’impact des systèmes d’IA : les conséquences possibles pour des personnes, des groupes et la société. Elle regarde donc au-delà du risque pour l’entreprise. Un modèle d’évaluation des risques IA qui couvre à la fois les risques pour l’organisation et pour les personnes est un bon point de départ.

Les annexes

• Annexe A, objectifs et mesures de référence. Neuf domaines, de A.2 à A.10 : politiques relatives à l’IA, organisation interne, ressources, évaluation des impacts, cycle de vie, données, information des parties intéressées, utilisation des systèmes d’IA, relations avec les tiers et les clients. Comme pour 27001, vous justifiez les mesures retenues ou exclues dans une déclaration d’applicabilité.
• Annexe B, recommandations de mise en œuvre pour chaque mesure de l’annexe A.
• Annexe C, objectifs organisationnels et sources de risque possibles : équité, sécurité, sûreté, vie privée, transparence, robustesse, niveau d’automatisation.
• Annexe D, utilisation du SMIA dans différents secteurs et intégration avec d’autres normes de management.

Pour la formulation exacte et le statut normatif de chaque annexe, référez-vous à la norme achetée : en audit, seul le texte compte.

Les normes voisines

• ISO/IEC 22989 : concepts et terminologie de l’IA.
• ISO/IEC 23894 : lignes directrices pour le management des risques liés à l’IA, fondées sur ISO 31000.
• ISO/IEC 42005 : lignes directrices pour l’évaluation d’impact des systèmes d’IA, publiée en 2025.
• ISO/IEC 42006 : exigences pour les organismes qui auditent et certifient les SMIA, publiée en juillet 2025.

Certification ISO 42001 : comment ça se passe

1. Définir le périmètre. Toute l’organisation ou une entité, un produit, une activité. Un périmètre clair évite les mauvaises surprises en audit.
2. Construire le SMIA. Politique IA, inventaire des systèmes, méthode d’analyse des risques et d’impact, déclaration d’applicabilité, procédures, formation.
3. Faire tourner le système. Quelques mois de fonctionnement réel, avec un audit interne et une revue de direction, avant l’audit de certification.
4. Audit de certification en deux étapes. Étape 1 : revue documentaire et préparation. Étape 2 : vérification de la mise en œuvre effective.
5. Cycle de trois ans. Audits de surveillance annuels, puis renouvellement.

Choisissez un organisme de certification accrédité pour ce référentiel par un organisme d’accréditation signataire des accords internationaux de reconnaissance (en France, le COFRAC). Méfiez-vous des « certificats » délivrés sans accréditation : ils n’ont pas la même valeur auprès de vos clients ou dans un appel d’offres.

ISO 42001 et AI Act : complémentaires, pas équivalents

Une organisation certifiée ISO 42001 dispose déjà d’un inventaire, d’une méthode d’analyse des risques et d’impact, de rôles définis, d’un contrôle des fournisseurs et d’une formation : tout cela sert directement l’AI Act, notamment pour la maîtrise de l’IA de l’article 4 et pour les obligations des déployeurs. En revanche, la norme ne remplace ni l’évaluation de la conformité d’un système à haut risque, ni le marquage CE, ni les obligations de transparence. Le texte du règlement est consultable dans la version française sur EUR-Lex. Pour un tour d’horizon, voyez notre guide de l’AI Act.

Par où commencer ?

Si vous avez déjà ISO 27001, réutilisez la mécanique : revue de direction, audit interne, gestion documentaire, analyse de risques. Ajoutez ensuite ce qui est propre à l’IA : l’inventaire des systèmes (cartographie IA et shadow AI), l’évaluation d’impact, les règles d’usage et la maîtrise du cycle de vie. Une analyse d’écarts AI Act menée en parallèle évite de construire deux dispositifs. Opsio, dont les activités en Inde sont certifiées ISO/IEC 27001 et 27701, accompagne aussi ces démarches via son offre de sécurité et conformité de l’IA.

Questions fréquentes sur ISO 42001

La certification ISO 42001 est-elle obligatoire ?

Non. Aucun texte ne l’impose, pas même l’AI Act. Elle devient pourtant un argument commercial : de plus en plus de clients et d’acheteurs publics demandent des preuves de gouvernance de l’IA. Pour une entreprise qui fournit des solutions d’IA, c’est souvent la manière la plus lisible de rassurer.

Combien de temps faut-il pour être certifié ISO 42001 ?

Cela dépend du point de départ et du périmètre. Une organisation déjà certifiée ISO 27001 réutilise une bonne partie de sa mécanique et peut aller plus vite. Il faut dans tous les cas quelques mois de fonctionnement réel du système, un audit interne et une revue de direction avant l’audit de certification en deux étapes.

ISO 42001 suffit-elle pour se conformer à l’AI Act ?

Non. Elle couvre une grande partie de la gouvernance attendue, mais l’AI Act impose des obligations par système : interdictions, transparence, exigences du haut risque, évaluation de la conformité et marquage CE. ISO 42001 n’est pas une norme harmonisée au sens du règlement et ne donne pas de présomption de conformité.

Quelle différence entre ISO 42001 et ISO 27001 ?

Les deux partagent la même structure de système de management. ISO 27001 traite de la sécurité de l’information ; ISO 42001 traite de l’IA responsable, avec en plus une évaluation d’impact sur les personnes et la société, et des mesures propres au cycle de vie de l’IA, aux données et aux fournisseurs. Elles s’intègrent bien dans un système unique.

Posez les fondations de votre SMIA

Avant de viser un certificat, il faut une politique, des règles d’usage et une méthode d’analyse des risques. Le diagnostic gratuit qui rédige votre cadre de gouvernance et votre charte IA vous les donne en quatorze étapes, environ 40 minutes, questions en français. Dès l’envoi : un cadre de gouvernance de l’IA, une charte d’utilisation de l’IA, une checklist d’évaluation des fournisseurs d’IA et un modèle d’analyse des risques IA, plus un état des lieux sur dix domaines et cinq niveaux de maturité. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent.

Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les références normatives sont données à titre indicatif ; seul le texte de la norme achetée fait foi. Situation en octobre 2026.