Les établissements qui déploient de l’IA se posent tous la même question : faut-il repartir de zéro, ou peut-on adosser la gouvernance de l’IA au système de management de la sécurité de l’information déjà en place ? La réponse est plus favorable qu’on ne le croit, à condition de comprendre où les deux normes se recouvrent et où elles divergent réellement.
Deux normes, deux objets
La famille ISO/IEC 27000 encadre la sécurité de l’information. Elle compte une quarantaine de documents, mais un seul est certifiable : ISO/IEC 27001, qui fixe les exigences d’un système de management de la sécurité de l’information. Les autres — 27002 pour les mesures de sécurité, 27005 pour l’appréciation des risques, 27701 pour la protection de la vie privée — sont des guides qui gravitent autour.
ISO/IEC 42001, publiée en décembre 2023, est le premier standard mondial de système de management de l’intelligence artificielle. Elle s’adresse à toute organisation qui développe, fournit ou utilise des systèmes fondés sur l’IA, quel que soit son secteur.
Le point important : ce ne sont pas deux normes concurrentes. L’une protège l’information, l’autre encadre la façon dont l’IA est conçue, déployée et surveillée.
Le socle commun : la structure harmonisée
C’est là que se joue l’essentiel de l’économie de moyens. Les deux normes suivent la même ossature, dite structure harmonisée — anciennement Annexe SL —, celle qu’utilisent également ISO 9001 et ISO 14001. Leurs exigences vivent dans les chapitres 4 à 10, et fonctionnent sur le même cycle Plan-Do-Check-Act.
| Chapitre | Objet | Réutilisable d’une norme à l’autre |
|---|---|---|
| 4 — Contexte de l’organisation | Périmètre, parties intéressées | Largement |
| 5 — Leadership | Politique, rôles, responsabilités | Largement |
| 6 — Planification | Risques, opportunités, objectifs | Partiellement : la nature des risques diffère |
| 7 — Support | Compétences, sensibilisation, documentation | Largement |
| 8 — Fonctionnement | Mise en œuvre opérationnelle | Peu : le cœur spécifique de chaque norme |
| 9 — Évaluation | Audit interne, revue de direction | Largement |
| 10 — Amélioration | Non-conformités, actions correctives | Largement |
Concrètement, une organisation déjà certifiée 27001 dispose de la gouvernance documentaire, du dispositif d’audit interne et de la revue de direction. Ce qui reste à construire, c’est le chapitre 8 et les mesures propres à l’IA.
Ce que 42001 ajoute et que 27001 ne couvre pas
C’est la question qui décide de la charge de travail réelle. ISO/IEC 42001 introduit des exigences que la sécurité de l’information ne traite pas :
- L’évaluation d’impact des systèmes d’IA sur les personnes et les groupes, objet d’une norme dédiée, ISO/IEC 42005:2025.
- La gestion des biais, sur les données d’entraînement comme sur les sorties du modèle.
- La traçabilité des données : provenance, licéité d’usage, qualité, cycle de vie.
- La transparence vis-à-vis des personnes concernées et la documentation des décisions automatisées.
- La supervision humaine aux étapes sensibles du cycle de vie.
Aucun de ces points n’a d’équivalent dans l’annexe A de 27001. À l’inverse, 42001 ne remplace pas la sécurité de l’information : un modèle bien gouverné mais hébergé sur une infrastructure mal protégée reste un risque.
2026 : la certification devient réellement accréditée
C’est le changement de l’année, et il est passé relativement inaperçu. Jusqu’ici, les certificats 42001 étaient délivrés sans cadre d’accréditation stabilisé pour les organismes certificateurs. La publication d’ISO/IEC 42006:2025 corrige cela : la norme fixe les exigences applicables aux organismes qui auditent et certifient un système de management de l’IA, en complément d’ISO/IEC 17021-1, avec des règles précises sur la compétence des auditeurs et le calcul du temps d’audit.
Les organismes d’accréditation ont suivi. L’ANAB, aux États-Unis, en fait un document de référence obligatoire pour toute accréditation 42001. Au Royaume-Uni, l’UKAS a accordé au BSI, en janvier 2026, la première accréditation délivrée sous ISO/IEC 42006.
La conséquence est pratique : un certificat 42001 délivré aujourd’hui sous accréditation n’a pas la même valeur probante qu’un certificat émis en 2024. Si vous exigez cette certification d’un fournisseur, la question à poser n’est plus « êtes-vous certifié » mais « par quel organisme, et sous quelle accréditation ».
Ce qu’une certification 42001 ne prouve pas
Un malentendu circule, et il coûtera cher à ceux qui s’y installent. ISO/IEC 42001 n’est pas une norme harmonisée au sens de l’AI Act. Une certification ne crée donc aucune présomption de conformité au règlement européen.
Les normes harmonisées sont en cours d’élaboration au CEN-CENELEC, dont le projet prEN 18286 sur les systèmes de management de l’IA. Tant qu’elles ne sont pas publiées au Journal officiel de l’Union européenne, aucune certification volontaire ne dispense de démontrer la conformité par ses propres moyens.
Cela ne rend pas la démarche inutile, au contraire : une certification 42001 constitue une preuve solide d’approche systématique du risque IA, et l’essentiel du travail sera réutilisable le jour où les normes harmonisées paraîtront. Mais elle ne se substitue pas à l’analyse réglementaire.
Ce que ça change pour vous
- Partez de l’existant plutôt que d’un projet neuf. Si vous êtes certifié 27001, adossez le système de management de l’IA au dispositif en place : périmètre, leadership, audit interne, revue de direction se réutilisent. Concentrez l’effort sur le chapitre 8 et sur les mesures propres à l’IA.
- Reformulez vos exigences fournisseurs. Demandez le nom de l’organisme certificateur et son accréditation, pas seulement l’existence d’un certificat. Depuis ISO/IEC 42006:2025, la distinction est vérifiable.
- Ne présentez jamais la certification comme une conformité à l’AI Act. En interne comme en réponse à appel d’offres, la formulation exacte est « approche systématique documentée », pas « conforme au règlement européen sur l’IA ».
Faire converger sécurité de l’information et gouvernance de l’IA relève moins de la norme que de l’organisation — c’est précisément le terrain de nos missions de conseil en organisation et amélioration continue.
Sources
- ISO/IEC 42001:2023 — Systèmes de management de l’intelligence artificielle — Organisation internationale de normalisation
- ISO/IEC 42006:2025 — Exigences pour les organismes d’audit et de certification des SMIA — Organisation internationale de normalisation
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information — Organisation internationale de normalisation
- Understanding the standardisation of the AI Act — Commission européenne
- ISO/IEC 42001 Artificial Intelligence Management Systems — accréditation des organismes certificateurs — ANAB
Laisser un commentaire