ISO/IEC 42 001, publiée fin 2023, est la première norme internationale certifiable dédiée au système de management de l’intelligence artificielle (SMIA). Sa structure reprend l’architecture désormais familière des normes ISO de gouvernance ( la même que celle d’ISO/IEC 27001 pour la sécurité de l’information ou ISO 9001 pour la qualité) avec dix clauses couvrant le contexte, le leadership, la planification, les ressources, l’opération, l’évaluation des performances et l’amélioration continue. Elle constitue l’un des piliers du cadre plus large de sécurité de l’IA en entreprise que les RSSI et DSI doivent aujourd’hui structurer.
Ce qui la distingue véritablement de ces normes déjà connues n’est pas sa structure, mais un objet d’évaluation inédit : elle ne demande pas seulement quel risque un système d’IA fait peser sur l’entreprise, mais quel impact il produit sur les personnes qu’il affecte et sur la société dans son ensemble.
Structure du SMIA et contrôles de l’Annexe A : l’architecture de certification ISO 42 001
Les clauses 4 à 10 définissent le système de management proprement dit, selon le cycle d’amélioration continue PDCA (Plan-Do-Check-Act) déjà familier aux entreprises certifiées ISO 27001. La clause 8, consacrée à la réalisation opérationnelle, est la plus spécifique à l’IA : elle couvre l’évaluation d’impact des systèmes, la gestion de leur cycle de vie complet, y compris la journalisation des décisions et des sorties produites par les modèles, la gouvernance des données d’entraînement et la gestion des fournisseurs de modèles ou de plateformes IA.
L’Annexe A complète cette architecture avec un catalogue de référence de 38 contrôles, organisés en neuf domaines numérotés de A.2 à A.10 : biais et équité, transparence, explicabilité, supervision humaine, gestion du cycle de vie, gouvernance des données, gestion des fournisseurs, réponse aux incidents, entre autres. Comme pour ISO 27 001, ces contrôles ne sont pas une liste obligatoire à appliquer intégralement : l’entreprise les sélectionne à l’issue de son analyse de risques et de son évaluation d’impact IA, puis documente ses choix dans une déclaration d’applicabilité justifiant l’inclusion ou l’exclusion de chaque contrôle.
Évaluation d’impact sur la vie privée et l’éthique de l’IA : la rupture méthodologique d’ISO 42 001
C’est l’élément le plus novateur de la norme, et celui que la plupart des entreprises découvrent en cours d’implémentation. L’évaluation d’impact du système d’IA impose un questionnaire inédit dans le cadre d’un système ISO certifiable :
- Les résultats du modèle sont-ils biaisés ?
- Ses décisions sont-elles explicables aux personnes impactées ?
- Un opérateur humain peut-il contredire ou réviser une décision automatisée ?
- Quel effet ce système produit-il concrètement sur les individus qu’il classe, évalue ou oriente ?
Cette obligation d’évaluer formellement les impacts sociétaux et éthiques fait de ce volet le chantier le plus chronophage lors d’une première certification, devançant souvent la mise en place des contrôles techniques. Elle rejoint d’ailleurs, sans s’y substituer, l’obligation de DPIA imposée par le RGPD dès lors qu’un traitement repose sur de l’IA : les deux exercices partagent une logique de proportionnalité, mais leurs périmètres et leurs critères d’évaluation restent distincts.
Schéma d’intégration ISO 42001 et ISO 27001 : synergie et complémentarité des audits de sécurité
Les deux normes partagent la même structure harmonisée en dix chapitres et le même cycle PDCA, ce qui facilite considérablement leur intégration pour une entreprise déjà certifiée ISO 27001. La clause 8.8 d’ISO 42001, consacrée spécifiquement à la sécurité de l’IA, s’appuie directement sur les contrôles de sécurité déjà définis dans l’Annexe A d’ISO 27001 plutôt que de les redéfinir. De nombreux processus peuvent être mutualisés entre les deux démarches : gestion des incidents, gestion des risques, programme d’audit interne, ce qui permet d’envisager des certifications combinées avec une réduction sensible des coûts d’audit.
La différence de volume entre les deux catalogues de contrôles illustre bien leur complémentarité plutôt que leur redondance : ISO 27 001 compte 93 contrôles répartis en quatre thèmes centrés sur la sécurité de l’information au sens large, tandis qu’ISO 42 001 en compte 38, focalisés sur la gouvernance et l’impact spécifiques à l’IA.
Pour une analyse détaillée de ce qui distingue concrètement les deux démarches en termes de périmètre, de contrôles et de coûts de certification, nous avons consacré un comparatif complet ISO 42001 vs ISO 27001.
Une entreprise déjà certifiée ISO 27001 dispose donc d’une base de gouvernance IA largement réutilisable, mais doit combler un chantier réellement nouveau sur l’évaluation d’impact et les contrôles propres à l’IA que ISO 27001 ne couvre pas.
Mise en conformité EU AI Act : comment ISO 42 001 prépare aux exigences réglementaires européennes
ISO 42001 couvre une grande partie de l’infrastructure de gouvernance que présuppose l’EU AI Act : cartographie des systèmes, analyse de risques, documentation technique, supervision humaine, amélioration continue. Un système de management certifié constitue donc le meilleur point de départ possible vers la conformité réglementaire, mais reste un point de départ, pas un point d’arrivée : la certification, purement volontaire et sans sanction associée à son absence, ne dispense pas des obligations légales spécifiques que l’EU AI Act impose aux systèmes à haut risque, notamment sur le marquage CE et l’enregistrement dans la base européenne dédiée.
Foire aux questions (FAQ) : Tout savoir sur la démarche de certification ISO 42 001
Qu’est-ce que la norme 42 001?
Première norme internationale dédiée aux systèmes de management de l’IA (AIMS), ISO/IEC 42001 fournit un cadre structuré (politiques, processus, contrôles) pour gouverner de manière responsable la conception, le déploiement et l’usage des systèmes d’IA. Elle s’appuie sur 38 contrôles (Annexe A) que l’organisation sélectionne via une « Déclaration d’applicabilité ».
La certification ISO 42001 est-elle obligatoire?
Non, c’est une démarche volontaire, sans sanction associée à son absence, contrairement à l’EU AI Act. Sa valeur tient à sa reconnaissance internationale comme preuve d’une gouvernance IA structurée, souvent déterminante dans un appel d’offres ou un partenariat.
Faut-il être déjà certifié ISO 27001 pour viser ISO 42001?
Non, ce n’est pas un prérequis formel, mais une entreprise déjà certifiée ISO 27001 réutilise une part significative de sa gouvernance existante et aborde la certification ISO 42001 avec une charge de travail réduite.
Combien de temps prend une première certification ISO 42001?
Une feuille de route type s’étale généralement sur une douzaine de mois, la cartographie des systèmes d’IA en production et l’analyse d’écart par rapport aux 38 contrôles de l’Annexe A constituant les toutes premières étapes du chantier.
Quel est le prix de la certification ISO 42001?
Fourchettes 2026 (coût total année 1) :
- Petite organisation (< 50 salariés) : 15 000 à 55 000 USD (~15 000–80 000 EUR).
- Moyenne (50–500 salariés) : 40 000 à 150 000 USD.
- Grande (500+ salariés) : 90 000 à 650 000 USD.
Coûts récurrents (années 2–3) : audits de surveillance annuels de 3 000 à 20 000+ USD/EUR selon la taille.
Accompagnement, conseil et audit ISO 42001 : structurer votre gouvernance IA d’entreprise
Nos experts accompagnent la cartographie de vos systèmes d’IA et l’analyse d’écart préalable à une certification ISO 42001, en cohérence avec votre gouvernance IA globale.
Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.