Qu'est-ce que l'ISO/IEC 42001 ? Le système de management de l'intelligence artificielle
L'ISO/IEC 42001:2023 est la norme internationale qui fixe les exigences d'un système de management de l'intelligence artificielle (SMIA) : politiques, rôles, appréciation des risques et des impacts, mesures et amélioration continue pour développer, fournir ou utiliser des systèmes d'IA de façon responsable. Publiée en décembre 2023, elle suit la même structure que l'ISO 27001 (articles 4 à 10) et comporte une annexe A de 38 mesures de référence.
À qui s'adresse l'ISO 42001 ?
Elle s'applique à tout organisme qui développe, fournit ou utilise des systèmes d'IA, quels que soient sa taille et son secteur : de l'entreprise qui utilise un chatbot de service client ou un outil de tri de CV au fournisseur qui entraîne ses propres modèles.
- Les entreprises qui intègrent une IA tierce dans leurs processus et doivent maîtriser les risques et les responsabilités.
- Les éditeurs de logiciels qui intègrent de l'IA et reçoivent des questions de leurs clients sur leur gouvernance de l'IA.
- Les organismes déjà dotés d'un SMSI ISO 27001 qui veulent étendre leur système de management à l'IA.
- Les équipes qui doivent démontrer une gestion responsable de l'IA à des clients, des auditeurs ou des autorités.
Structure de la norme : articles 4 à 10
| Article | Thème | Ce que cela signifie en pratique |
|---|---|---|
| 4 | Contexte de l'organisme | Définir le domaine d'application, les parties intéressées et le rôle de l'organisme vis-à-vis de l'IA (fournisseur, utilisateur, etc.) |
| 5 | Leadership | Engagement de la direction, politique d'IA, rôles et responsabilités |
| 6 | Planification | Apprécier et traiter les risques liés à l'IA, évaluer les impacts sur les personnes, fixer des objectifs et préparer la déclaration d'applicabilité |
| 7 | Support | Ressources, compétences, sensibilisation, communication et informations documentées |
| 8 | Fonctionnement | Mettre en œuvre le plan : appréciations des risques et des impacts et traitement sur tout le cycle de vie du système |
| 9 | Évaluation des performances | Indicateurs, audit interne et revue de direction |
| 10 | Amélioration | Non-conformités, actions correctives et amélioration continue |
Annexe A : 38 mesures réparties en 9 objectifs
L'annexe A regroupe les mesures de référence en neuf domaines. Comme pour l'ISO 27001, l'organisme décide lesquelles il lui faut en fonction de ses risques et le justifie dans une déclaration d'applicabilité.
| Domaine | Objet |
|---|---|
| A.2 | Politiques relatives à l'IA |
| A.3 | Organisation interne : rôles, responsabilités et signalement des préoccupations |
| A.4 | Ressources des systèmes d'IA : données, outils, capacité de calcul et personnes |
| A.5 | Évaluation des impacts des systèmes d'IA sur les personnes et la société |
| A.6 | Cycle de vie du système d'IA : conception, vérification, déploiement et exploitation |
| A.7 | Données des systèmes d'IA : qualité, provenance et préparation |
| A.8 | Informations pour les parties intéressées : transparence et documentation |
| A.9 | Utilisation responsable des systèmes d'IA |
| A.10 | Relations avec les tiers et les clients : fournisseurs et responsabilités partagées |
La norme comprend aussi l'annexe B (recommandations de mise en œuvre des mesures), l'annexe C (objectifs et sources de risque liés à l'IA) et l'annexe D (utilisation du système de management dans différents secteurs).
ISO 42001 et ISO 27001 : les différences
| Aspect | ISO/IEC 27001:2022 | ISO/IEC 42001:2023 |
|---|---|---|
| Objet | Sécurité de l'information | Développement, fourniture et utilisation responsables de l'IA |
| Structure | Articles 4 à 10 | Articles 4 à 10 (même structure) |
| Mesures de l'annexe A | 93 mesures en 4 thèmes | 38 mesures en 9 objectifs |
| Évaluation spécifique | Risques de sécurité de l'information | Risques liés à l'IA et évaluation d'impact de chaque système |
| Déclaration d'applicabilité | Obligatoire | Obligatoire |
Comme la structure est commune, un organisme certifié ISO 27001 peut réutiliser ses processus de maîtrise documentaire, d'audit interne, de revue de direction et d'action corrective, et n'ajouter que ce qui est propre à l'IA.
Lien avec le règlement européen sur l'IA
Le règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act) est entré en vigueur le 1er août 2024 ; depuis le 2 février 2025 s'appliquent les pratiques interdites et l'obligation de maîtrise de l'IA par le personnel (article 4). L'ISO 42001 ne remplace pas le règlement et ne vaut pas à elle seule conformité, mais elle donne une méthode ordonnée pour inventorier les systèmes, apprécier les risques et les impacts, attribuer les responsabilités et conserver des preuves. En France, les recommandations de la CNIL sur l'IA et les données personnelles complètent utilement cette démarche.
Étapes pour mettre en place un SMIA
- Inventorier les systèmes d'IA développés, fournis ou utilisés, et définir le domaine d'application.
- Approuver une politique d'IA et attribuer les rôles (y compris qui décide pour chaque système).
- Fixer des critères et apprécier les risques liés à l'IA et l'impact de chaque système sur les personnes.
- Choisir les mesures et documenter la déclaration d'applicabilité face aux 38 mesures de l'annexe A.
- Former le personnel, appliquer les mesures et les suivre avec des indicateurs.
- Réaliser des audits internes et des revues de direction, et corriger les écarts.
Questions fréquentes
L'ISO 42001 est-elle certifiable ?
Oui. C'est une norme d'exigences : un organisme peut être audité par un organisme de certification. Le résultat dépend de la façon dont le système est mis en œuvre et exploité dans chaque organisme.
Combien de mesures compte l'ISO 42001 ?
L'annexe A compte 38 mesures regroupées en 9 objectifs (A.2 à A.10). L'organisme décide lesquelles s'appliquent selon ses risques et le justifie dans la déclaration d'applicabilité.
Faut-il l'ISO 27001 pour mettre en place l'ISO 42001 ?
Non. Les deux normes sont indépendantes, mais elles partagent la même structure ; un organisme doté d'un SMSI peut réutiliser une grande partie de son système de management.
L'ISO 42001 est-elle utile si nous utilisons seulement une IA tierce ?
Oui. La norme couvre différents rôles vis-à-vis de l'IA, y compris l'utilisation de systèmes d'autres fournisseurs, et les relations avec les tiers ont leur propre domaine de mesures (A.10).
Guides associés
- Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
- Documents obligatoires ISO 42001 (système de management de l'IA)
- Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Mis à jour: 2026-10-20