ISO/IEC 42001 a été publiée en décembre 2023. C'est une norme de système de management, ce qui veut dire qu'elle appartient à la même famille qu'ISO 27001 et ISO 9001 : elle ne vous dit pas comment construire un modèle sûr, elle vous dit comment diriger une organisation qui construit, achète ou exploite l'IA de façon responsable, d'une manière qu'un tiers peut vérifier.
Cette distinction est tout l'enjeu. La plupart des guides de gouvernance de l'IA sont des listes de principes. 42001 transforme les principes en exigences avec le mot « doit » dedans, et c'est ce qui la rend auditable et certifiable.
La forme de la norme
Si vous avez vu ISO 27001, la structure vous est familière. Les chapitres 4 à 10 suivent la structure harmonisée que toute norme ISO moderne de système de management utilise :
- Chapitre 4, contexte : ce que l'organisation fait avec l'IA, qui sont les parties intéressées, et le périmètre du système de management de l'IA (SMIA). La déclaration de périmètre décide de ce que couvre le certificat, c'est donc la première chose qu'un auditeur lit.
- Chapitre 5, leadership : une politique IA validée au sommet, et des rôles avec l'autorité de la faire appliquer.
- Chapitre 6, planification : une appréciation des risques IA, une analyse d'impact des systèmes d'IA, des objectifs, et la déclaration d'applicabilité.
- Chapitre 7, support : ressources, compétences, sensibilisation, communication et informations documentées.
- Chapitre 8, fonctionnement : les appréciations de risques et d'impact réellement exécutées, et les mesures réellement appliquées, tout au long du cycle de vie de chaque système.
- Chapitre 9, évaluation des performances : surveillance, audit interne et revue de direction.
- Chapitre 10, amélioration : non-conformités et actions correctives.
L'annexe A liste 38 mesures de référence en neuf groupes, des politiques et de l'organisation interne jusqu'aux ressources, à l'analyse d'impact, au cycle de vie des systèmes, aux données, aux informations pour les parties intéressées, à l'utilisation des systèmes d'IA et aux relations avec les tiers. L'annexe B donne des lignes directrices de mise en œuvre pour chacune. L'annexe C liste des objectifs et des sources de risque où puiser, et l'annexe D décrit comment la norme s'applique selon les domaines et les secteurs.
En quoi elle diffère d'ISO 27001
Le recouvrement avec 27001 est assez large pour que la plupart des organisations fassent tourner les deux comme un seul système intégré, et les organismes de certification les auditent ensemble. Trois choses sont nouvelles.
L'analyse d'impact des systèmes d'IA. 27001 vous demande d'apprécier le risque pour l'organisation. 42001 ajoute une analyse de l'impact de chaque système d'IA sur les individus, les groupes et la société : équité, transparence, responsabilité, sécurité, vie privée et environnement. C'est la mesure que la plupart des entreprises n'ont jamais faite, et celle sur laquelle les auditeurs passent le plus de temps.
Les mesures sur le cycle de vie. La norme parcourt les exigences, la conception, la vérification, le déploiement, l'exploitation et le retrait des systèmes d'IA, avec des attentes de documentation et de contrôle humain à chaque étape.
Les données pour l'IA. Provenance, qualité, préparation et étiquetage des données d'entraînement et d'évaluation ont leur propre groupe de mesures, distinct de la vision classique des données par la sécurité de l'information.
Comment elle s'aligne sur l'AI Act
Ils ont été écrits par des organismes différents pour des buts différents, et aucun ne remplace l'autre. L'AI Act est une loi, avec des obligations précises pour des classes de risque et des dates précises. 42001 est une norme volontaire sur la façon de gérer l'IA en général.
Si on en parle ensemble, c'est parce que l'AI Act exige des fournisseurs de systèmes à haut risque un système de gestion de la qualité (article 17) et un système de gestion des risques (article 9), une gouvernance des données (article 10), une documentation technique (article 11) et une surveillance après mise sur le marché (article 72). Un SMIA à la forme de 42001 produit déjà l'essentiel de ces preuves. Tant que les normes harmonisées de l'AI Act ne sont pas publiées, c'est l'ossature la plus concrète disponible, et c'est sur elle que beaucoup d'auditeurs sont invités à évaluer la préparation.
Il vaut la peine d'être précis sur les limites. Un certificat 42001 n'emporte pas présomption de conformité à l'AI Act, et il ne réalise pas l'évaluation de conformité que le règlement exige. Il montre que votre gestion de l'IA est systématique et auditée. C'est précieux pour un client, un régulateur ou un conseil d'administration, mais ce n'est pas la même affirmation.
Ce que l'audit vérifie
La certification suit le schéma habituel en deux étapes. L'étape 1 est une revue de préparation : périmètre, politique, méthode d'appréciation des risques, méthode d'analyse d'impact, déclaration d'applicabilité, audit interne et revue de direction. L'étape 2 teste si le système fonctionne : l'auditeur choisit des systèmes d'IA du périmètre et les suit à travers les enregistrements.
Attendez-vous à ce qu'on vous demande :
- Un inventaire des systèmes d'IA avec, pour chacun, un responsable, une finalité et une étape du cycle de vie.
- L'appréciation des risques et l'analyse d'impact de chaque système du périmètre, avec la preuve que leurs résultats ont changé quelque chose.
- Les enregistrements de gouvernance des données : d'où viennent les données d'entraînement, comment elles ont été vérifiées, qui les a étiquetées, comment les biais ont été recherchés.
- Des preuves de contrôle humain en fonctionnement, pas seulement une politique qui dit qu'il en existe.
- Les dispositions avec les tiers pour les modèles ou composants que vous n'avez pas construits, y compris les informations que le fournisseur vous a données.
- La gestion des incidents et des réclamations, et ce qui en a été appris.
- Les résultats de l'audit interne et le compte rendu de la revue de direction.
Les organismes de certification eux-mêmes doivent respecter ISO/IEC 42006, publiée en 2025, qui fixe les exigences de compétence des personnes qui auditent un SMIA. Demandez à l'organisme qui fera partie de l'équipe et quel est son bagage en IA ; c'est une question légitime, et la réponse varie.
Qui devrait s'y mettre maintenant
Les fournisseurs de systèmes qui seront à haut risque au titre de l'AI Act, parce que le travail de système de management prend plus de temps que le dossier technique. Les entreprises qui vendent des produits dotés d'IA à des grands comptes dont les questionnaires d'achat ont commencé à poser la question. Les organisations qui détiennent déjà 27001 et utilisent l'IA d'une façon qui touche des personnes, parce que le travail supplémentaire est borné et que l'audit intégré est efficace.
Pour tous les autres, le premier pas utile est plus petit que la certification : écrivez l'inventaire, faites une analyse d'impact correctement, et voyez ce qu'elle révèle. La plupart des organisations constatent que l'exercice change au moins une décision de déploiement, ce qui est la norme qui fait son travail avant qu'aucun auditeur n'arrive.