ISO 42001 : ce que la norme de management de l'IA exige vraiment

La norme ISO/IEC 42001 est le premier référentiel certifiable de système de management de l'intelligence artificielle. Publiée fin 2023, elle fait pour l'IA ce qu'ISO 27001 a fait pour la sécurité de l'information : elle définit comment une organisation gouverne la chose, pas comment la chose est construite.

Cette distinction déroute au premier contact, et c'est pourtant tout l'enjeu. ISO 42001 ne certifie pas que votre modèle est juste ou impartial. Elle certifie que vous disposez d'un système pour identifier les risques liés à l'IA, décider quoi en faire, et prouver que vous l'avez fait.

Nous avons obtenu cette certification, donc ce guide détaille ce que la norme exige réellement, les mesures de l'annexe A, le déroulé de l'audit, l'effort que cela représente, et son articulation avec le règlement européen sur l'IA.

Qu'est-ce que la norme ISO 42001 ?

ISO/IEC 42001 spécifie les exigences relatives à l'établissement, la mise en œuvre, le maintien et l'amélioration continue d'un système de management de l'IA — un AIMS en anglais. C'est le pendant d'ISO 27001 pour la sécurité et d'ISO 9001 pour la qualité, avec la même logique structurelle, ce qui la rend familière si vous détenez déjà l'une des deux.

Elle s'applique à toute organisation qui développe, fournit ou utilise des systèmes d'IA. Ce dernier point compte : il n'est pas nécessaire de construire des modèles pour être concerné. Une organisation qui déploie l'IA d'un tiers dans ses opérations a des risques à gouverner.

Ce qu'elle ne certifie pas

Autant être direct, car les fournisseurs entretiennent le flou. ISO 42001 n'est pas un tampon attestant que votre IA est exacte, équitable ou sûre. Aucune norme ne peut le certifier : l'exactitude est une propriété d'un modèle donné sur une tâche donnée, et elle change à chaque mise à jour.

Ce que la certification dit à un acheteur, c'est que vous avez identifié où votre IA peut causer un préjudice, mis en place des mesures proportionnées à ce risque, et soumis l'ensemble à un auditeur externe. C'est une preuve de maturité de gouvernance, pas de qualité de modèle.

La structure : les chapitres 4 à 10

Les exigences se trouvent aux chapitres 4 à 10, dans la logique de toutes les normes de management ISO.

4  Contexte         →  périmètre, parties intéressées, rôle dans la chaîne de valeur IA
5  Leadership       →  politique IA, responsabilités, engagement de la direction
6  Planification    →  appréciation des risques, analyse d'impact, objectifs
7  Support          →  compétences, sensibilisation, informations documentées
8  Réalisation      →  exploitation des mesures retenues
9  Évaluation       →  surveillance, audit interne, revue de direction
10 Amélioration     →  non-conformités, actions correctives

Si vous détenez ISO 27001, cette architecture vous est déjà familière et une bonne partie des chapitres 7 et 9 peut être mutualisée. C'est l'économie la plus importante à réaliser : conduire un système de management intégré plutôt que deux systèmes parallèles.

L'analyse d'impact du système d'IA

C'est l'exigence sans équivalent dans ISO 27001, et celle qui demande le plus de réflexion. Là où l'appréciation du risque de sécurité demande ce qui pourrait arriver à l'organisation, l'analyse d'impact demande ce que l'IA pourrait faire aux personnes — individus, groupes et société.

Concrètement : qui est affecté par les sorties du système, que se passe-t-il quand il se trompe, qui peut contester une décision, et quelle est la conséquence d'une indisponibilité. Elle doit être réalisée avant le déploiement et révisée à chaque évolution significative.

L'annexe A : les mesures

L'annexe A fournit un catalogue d'une quarantaine de mesures regroupées en une dizaine de domaines. On ne les met pas toutes en œuvre : on sélectionne celles qui correspondent à ses risques et on consigne la décision — exclusions et justifications comprises — dans une déclaration d'applicabilité.

Les domaines qui génèrent le plus de travail en pratique :

• Gestion des données d'IA — provenance, qualité, étiquetage, biais. D'où viennent les données d'entraînement ou de récupération, et avez-vous le droit de les utiliser ?
• Analyse d'impact — l'analyse décrite plus haut, documentée et datée.
• Cycle de vie — comment les systèmes sont spécifiés, testés, mis en production, surveillés et retirés.
• Tiers — ce que vous exigez des fournisseurs de modèles et des sous-traitants, et comment vous le vérifiez.
• Information des utilisateurs — dire aux personnes qu'elles interagissent avec une IA, et quelles en sont les limites.

Une précision sur le nombre : les sources publiées annoncent 38 ou 39 mesures selon la façon de compter les sous-mesures. Référez-vous à la norme elle-même, pas à un article de blog — celui-ci compris.

Comment se déroule l'audit

La certification suit le modèle classique de l'audit externe en deux étapes, conduit par un organisme accrédité.

# 1. Analyse d'écart
   Pratiques actuelles confrontées aux exigences. Révèle la charge réelle.

# 2. Construction du système
   Politique, appréciation des risques et d'impact, déclaration d'applicabilité, procédures.

# 3. Audit étape 1
   L'auditeur examine la documentation et la conception. Êtes-vous auditable ?

# 4. Audit étape 2
   Efficacité opérationnelle : preuves, entretiens, observation. Est-ce que ça tourne ?

# 5. Certificat + surveillance
   Valable trois ans, avec des audits de surveillance annuels.

C'est à l'étape 2 que les organisations trébuchent. Une belle politique que personne n'applique échoue. L'auditeur demande l'analyse d'impact d'un système précis, la trace de qui l'a approuvée, et le journal de ce qui a changé depuis. Si ces éléments n'existent pas, la documentation ne vous sauve pas.

L'effort réel que cela demande

La réponse honnête : cela dépend beaucoup plus de votre point de départ que de votre taille. Une organisation déjà certifiée ISO 27001, avec gestion du changement et procédures documentées, ajoute un domaine de risque à un système existant. Une organisation sans système de management en construit un de zéro, et c'est le chemin coûteux — la norme n'est pas la difficulté, la discipline l'est.

ISO 42001 et le règlement européen sur l'IA

Ce sont deux instruments distincts et il vaut mieux ne pas les confondre. ISO 42001 est une norme internationale volontaire que vous choisissez de faire certifier. L'AI Act est un règlement européen contraignant qui s'applique de toute façon.

Ils s'articulent bien, cela dit. Une grande partie de ce que l'AI Act exige — gestion des risques, documentation technique, supervision humaine, surveillance après mise sur le marché — recoupe des chapitres et des mesures que l'on met en place pour ISO 42001. La certification n'est pas une conformité automatique, et personne ne devrait la vendre comme telle. Mais une organisation dotée d'un système de management de l'IA opérationnel a déjà bâti l'essentiel de la machinerie de preuve que le règlement réclame.

Sur le calendrier : les obligations relatives aux modèles d'usage général s'appliquent depuis le 2 août 2025, les obligations de transparence de l'article 50 depuis le 2 août 2026, et les exigences pour les systèmes à haut risque ont été reportées au 2 décembre 2027 pour les systèmes autonomes de l'annexe III et au 2 août 2028 pour l'IA intégrée à des produits déjà réglementés. Nous traitons le cadre plus large dans notre guide de la souveraineté numérique.

Pourquoi cela compte commercialement

Deux raisons, et la seconde est sous-estimée.

La première est l'achat public et privé. Les administrations et les secteurs régulés demandent de plus en plus des preuves de gouvernance de l'IA dans leurs appels d'offres. Un certificat répond en une ligne à ce qui serait sinon un questionnaire de cinquante items.

La seconde est interne. Le processus force l'organisation à écrire ce que ses systèmes d'IA font réellement, qui en est responsable et ce qui se passe quand ils défaillent. La plupart des équipes découvrent pendant l'analyse d'écart qu'elles ont plus d'IA en production qu'elles ne le pensaient, et moins de documentation qu'elles ne le supposaient.

Comment cela s'applique chez QAnswer

QAnswer détient à la fois ISO 27001 et ISO 42001, ce qui reste peu courant — la plupart des plateformes n'ont que la certification de sécurité. Nous avions écrit sur l'obtention de la certification ISO 27001.

Détenir les deux compte pour une raison précise. Si vous déployez un assistant IA sur vos propres documents, vos auditeurs interrogeront la sécurité des données et la gouvernance de l'IA — deux questions distinctes. Un fournisseur certifié sur les deux répond aux deux.

Cela se combine aussi avec l'architecture. Comme QAnswer s'exécute sur site ou en cloud privé et que chaque réponse cite la source dont elle provient, les preuves qu'un auditeur réclame — où sont les données, qui peut y accéder, pourquoi le système a répondu cela — sont une propriété du système et non quelque chose à reconstituer après coup.

Notre posture complète est documentée dans le Trust Center.

Questions fréquentes

Qu'est-ce qu'ISO 42001, simplement ?

Une norme certifiable portant sur la façon dont une organisation gouverne l'intelligence artificielle. Elle exige d'identifier les risques et impacts de l'IA, d'appliquer des mesures proportionnées, et de prouver à un auditeur externe que le dispositif fonctionne.

ISO 42001 est-elle obligatoire ?

Non, c'est une norme volontaire. L'AI Act est l'instrument contraignant, et la certification aide à démontrer sa préparation sans s'y substituer.

Combien de temps prend la certification ISO 42001 ?

Cela dépend presque entièrement de votre point de départ. Avec un système de management ISO 27001 existant, vous étendez quelque chose qui fonctionne ; sans, vous construisez la discipline elle-même, ce qui est le chemin le plus long.

Quelle est la durée de validité du certificat ?

Trois ans, avec des audits de surveillance annuels pour confirmer que le système fonctionne toujours.

Quelle différence entre ISO 42001 et ISO 27001 ?

ISO 27001 porte sur la sécurité de l'information — protéger les données. ISO 42001 porte sur l'IA, y compris les préjudices que l'IA pourrait causer aux personnes, ce que les normes de sécurité n'adressent pas. Elles partagent leur structure, donc les mener ensemble coûte bien moins cher que séparément.

ISO 42001 certifie-t-elle qu'une IA est sans biais ?

Non, et tout fournisseur qui le laisse entendre survend. Elle certifie que vous disposez d'un dispositif pour identifier et gérer le risque de biais, pas qu'un modèle donné en est exempt.

S'applique-t-elle si nous utilisons uniquement de l'IA tierce ?

Oui. La norme couvre les organisations qui utilisent des systèmes d'IA, pas seulement celles qui les construisent. Déployer le modèle d'un tiers dans ses opérations crée ses propres obligations de gouvernance.

L'essentiel

ISO 42001 est une norme de gouvernance, pas un label de qualité. Sa valeur est de rendre la gestion du risque IA lisible — pour les auditeurs, pour les acheteurs, et surtout pour vous-même.

Si vous évaluez des fournisseurs d'IA, la demander est un filtre rapide. Si vous envisagez la certification, l'analyse d'écart vaut à elle seule l'exercice : elle vous dira combien d'IA vous exploitez déjà sans la gouverner.

‍

Déployez l'IA sur vos propres données, sur une infrastructure que vous contrôlez, avec QAnswer — certifié ISO 27001 et ISO 42001. Découvrez nos fonctions de gouvernance et nos assistants IA.

Plus d'informations sur www.qanswer.ai

Des questions sur nos certifications ? Contactez-nous ou écrivez à info@the-qa-company.com