Publiée en décembre 2023, l'ISO/IEC 42001 est le premier référentiel certifiable dédié au management de l'intelligence artificielle. Elle offre aux organisations un cadre structuré, et surtout auditable, pour concevoir, déployer et exploiter des systèmes d'IA de façon responsable, au moment précis où l'AI Act européen entre en application. Pour une direction qui se demande comment prouver qu'elle maîtrise son IA, c'est aujourd'hui la réponse la plus reconnue.
L'essentiel en bref
- ISO/IEC 42001:2023, titre officiel Information technology, Artificial intelligence, Management system, publiée en décembre 2023 par le comité mixte ISO/IEC JTC 1/SC 42 (source : ISO).
- Première norme mondiale de système de management de l'IA, sur le modèle éprouvé de l'ISO 9001 et de l'ISO/IEC 27001.
- Annexe A : 38 mesures réparties en 9 objectifs de maîtrise (A.2 à A.10), sélectionnées via une déclaration d'applicabilité.
- Certifiable par tierce partie, au terme d'un audit en deux étapes mené par un organisme accrédité.
- AI Act : règlement (UE) 2024/1689, entré en vigueur le 1er août 2024 (source : EUR-Lex).
Une norme de management, pas une norme technique
L'ISO/IEC 42001 ne dit pas comment entraîner un modèle, quelle architecture retenir ni quel seuil de performance viser. Elle définit un AI management system, un système de management de l'intelligence artificielle, c'est-à-dire l'organisation, les responsabilités, les processus et les preuves qui permettent à une entreprise de démontrer qu'elle gouverne son IA. La distinction est essentielle : une équipe technique excellente peut produire un modèle performant sans qu'aucune trace ne permette, six mois plus tard, de dire qui a validé quoi, sur quelles données, et avec quelles précautions. C'est précisément ce vide que la norme comble.
Elle a été élaborée par l'ISO/IEC JTC 1/SC 42, le sous-comité mixte ISO et IEC consacré à l'intelligence artificielle, et s'appuie sur des briques normatives déjà disponibles : l'ISO/IEC 22989 pour les concepts et la terminologie, l'ISO/IEC 23894 pour le management du risque lié à l'IA.
Une architecture familière : la structure harmonisée
Comme toutes les normes de système de management récentes, la 42001 suit la structure harmonisée et le cycle PDCA (planifier, déployer, contrôler, agir). Ses exigences auditables se déploient sur les clauses 4 à 10 : contexte de l'organisme, leadership, planification, support, fonctionnement, évaluation des performances, amélioration.
Cette parenté n'est pas un détail administratif, c'est un raccourci opérationnel. Une organisation qui exploite déjà un SMSI ISO/IEC 27001 ou un SMQ ISO 9001 possède déjà la revue de direction, l'audit interne, la maîtrise documentaire, le traitement des non-conformités. Elle n'a pas à reconstruire un système parallèle : elle étend celui qu'elle a. Dans la pratique, la charge s'en trouve nettement réduite : l'essentiel du dispositif de management existe déjà, il reste à l'étendre aux systèmes d'IA.
Le cœur opérationnel : l'Annexe A et ses 38 mesures
La norme s'accompagne d'un jeu de référence de 38 mesures réparties en 9 objectifs de maîtrise, numérotés A.2 à A.10 : politique d'IA, organisation interne, ressources des systèmes d'IA, évaluation d'impact, cycle de vie du système d'IA, gouvernance des données, information des parties intéressées, usage responsable, relations avec les tiers et les clients.
Comme pour l'ISO/IEC 27001, ces mesures ne s'appliquent pas mécaniquement : l'organisation produit une déclaration d'applicabilité qui justifie l'inclusion ou l'exclusion de chacune, au regard de son appréciation des risques. Trois annexes informatives complètent le dispositif : l'annexe B guide la mise en œuvre des mesures, l'annexe C recense les objectifs et les sources de risques propres à l'IA (biais, sécurité, explicabilité, qualité des données), l'annexe D traite de l'application par domaine et par secteur.
Ce qui distingue vraiment la 42001 : l'évaluation d'impact
Un système de management classique apprécie les risques pour l'organisation. La 42001 exige davantage : une évaluation des impacts des systèmes d'IA sur les personnes, les groupes et la société. Équité, transparence, sécurité des personnes concernées, effets sur des populations qui ne sont ni clientes ni salariées de l'organisation.
C'est l'exigence qui déstabilise le plus les organisations habituées aux normes de management, parce qu'elle demande de regarder au-delà du périmètre de l'entreprise. Elle s'accompagne de deux autres piliers spécifiques : la gouvernance des données qui alimentent les modèles (qualité, provenance, préparation) et la maîtrise du cycle de vie, de la conception au retrait du système.
Certifiable, et c'est le point qui change tout
Des cadres volontaires existaient déjà, à commencer par le NIST AI RMF, qui propose une méthodologie de gestion des risques. Mais un cadre volontaire ne se certifie pas : il n'y a ni auditeur tiers, ni déclaration d'applicabilité, ni certificat opposable à un client ou à un donneur d'ordre.
L'ISO/IEC 42001 est certifiable par tierce partie, au terme d'un audit en deux étapes conduit par un organisme accrédité. Pour une organisation qui vend des services intégrant de l'IA, ou qui en achète, c'est aujourd'hui le principal moyen de démontrer publiquement une gouvernance maîtrisée, sans avoir à ouvrir son code ou ses modèles.
Une pièce dans un écosystème réglementaire
Ces référentiels sont complémentaires plutôt que concurrents. Le NIST AI RMF fournit la méthode de gestion des risques. L'ISO/IEC 42001 fournit le système de management auditable. L'AI Act européen, règlement (UE) 2024/1689 entré en vigueur le 1er août 2024, fournit l'obligation légale, avec une application progressive de ses dispositions.
La 42001 est pressentie pour être reprise au niveau européen par le CEN-CENELEC et pourrait contribuer à la présomption de conformité à l'AI Act. C'est un point à suivre plutôt qu'un acquis : la liste des normes harmonisées est encore en construction, et nous ne présenterons pas comme acquise une équivalence qui ne l'est pas.
Par où commencer
- Cartographier vos systèmes d'IA et le rôle que vous tenez pour chacun : fournisseur, développeur, utilisateur. Le rôle détermine les obligations.
- Délimiter le périmètre du système de management : quels systèmes, quels processus, quelles entités.
- Apprécier les risques et évaluer les impacts, les deux exercices étant distincts et tous deux exigés.
- Construire la déclaration d'applicabilité des 38 mesures de l'annexe A, en justifiant chaque exclusion.
- Greffer sur l'existant plutôt que dupliquer, si vous disposez déjà d'un SMSI ou d'un SMQ.
- Auditer en interne, corriger les écarts, puis engager l'audit de certification.
Ressource gratuite
Grille d'auto-évaluation ISO/IEC 42001:2023
Situez votre organisation face aux 33 exigences clés de la norme, clauses 4 à 10 et objectifs de l'annexe A, avec un score de conformité et un tableau de bord calculés automatiquement. Fichier Excel HEMC, disponible en français, anglais, espagnol et arabe.
Télécharger la grille gratuiteComment HEMC accompagne les organisations
Nous aidons les organisations à cartographier leurs systèmes d'IA et les rôles qu'elles y tiennent, à conduire l'appréciation des risques et l'évaluation des impacts, à bâtir la déclaration d'applicabilité et à préparer l'audit de certification. Quand un SMSI existe déjà, nous privilégions systématiquement l'extension à la construction d'un second système : c'est plus rapide, moins coûteux, et cela évite deux revues de direction là où une seule suffit. Pour aller plus loin, lisez notre guide sur la cybersécurité des entreprises au Maroc et l'ISO/IEC 27001, suivez notre veille normative ISO, découvrez notre expertise en sécurité de l'information ou échangez avec nos consultants.
Cet article est fourni à titre d'information et ne constitue pas un avis juridique. Les textes de référence font foi : consultez la publication officielle de l'ISO/IEC 42001 et le texte du règlement (UE) 2024/1689.