Votre PME a-t-elle besoin de l'ISO/IEC 42001 ?
- La norme a été publiée en décembre 2023. Elle est volontaire et certifiable.
- Elle suit la même structure que l'ISO 9001 ou l'ISO/IEC 27001. Si vous en possédez déjà une, vous partez sur des bases existantes.
- La plupart des PME n'en ont pas besoin pour l'instant. La situation est différente pour les fournisseurs de solutions d'IA, les secteurs réglementés et les sous-traitants de grands clients.
Que régit la norme ?
L'ISO/IEC 42001 définit les exigences d'un système de management de l'intelligence artificielle (AIMS en anglais). Elle ne prescrit pas de technologie spécifique. Elle décrit comment une entreprise doit s'organiser pour utiliser l'IA de manière contrôlée : qui est responsable ? Comment évaluer les risques et les impacts sur les personnes ? Comment vérifier qu'un système fonctionne toujours comme prévu ?
La norme s'applique à tous ceux qui développent, proposent ou utilisent l'IA, quelle que soit leur taille ou leur secteur d'activité.
Comment est-elle structurée ?
La norme suit la structure harmonisée des normes ISO de systèmes de management (chapitres 4 à 10) :
| Chapitre | Contenu | En pratique, cela signifie |
|---|---|---|
| 4 Contexte | Environnement, parties prenantes, champ d'application | Quels systèmes d'IA sont concernés, quel est notre rôle (fournisseur, utilisateur) ? |
| 5 Direction | Responsabilité de la direction, politique d'IA | La direction définit les principes et désigne les responsables. |
| 6 Planification | Évaluation des risques, analyse d'impact, objectifs | Évaluer et traiter les risques et les impacts sur les personnes et la société. |
| 7 Soutien | Ressources, compétences, communication, documentation | Formation, documents clairs, connaissances sur les données et les modèles. |
| 8 Exploitation | Mise en œuvre des mesures | Piloter le cycle de vie des systèmes d'IA : développement, acquisition, exploitation, mise hors service. |
| 9 Évaluation | Surveillance, audits internes, revue de direction | Mesurer si les systèmes et le système de management fonctionnent. |
| 10 Amélioration | Actions correctives, amélioration continue | Tirer des enseignements des incidents et des audits. |
S'y ajoutent l'annexe A avec 38 mesures (contrôles) réparties en neuf domaines thématiques et l'annexe B avec des indications de mise en œuvre. Les mesures concernent notamment les politiques d'IA, les rôles, les données pour les systèmes d'IA, l'information des personnes concernées, l'utilisation des systèmes et les fournisseurs. Vous justifiez celles qui s'appliquent à vous dans une déclaration d'applicabilité.
Normes apparentées
- ISO/IEC 23894 : Guide pour la gestion des risques liés à l'IA.
- ISO/IEC 42005:2025 : Analyse d'impact des systèmes d'IA.
- ISO/IEC 42006:2025 : Exigences pour les organismes qui auditent et certifient selon l'ISO/IEC 42001.
- ISO/IEC 27001 : Sécurité de l'information. Peut être combinée avec la 42001 pour former un système de management commun.
Relation avec l'AI Act de l'UE
Un certificat selon l'ISO/IEC 42001 ne prouve pas que vous respectez l'AI Act de l'UE. La norme couvre cependant de nombreuses exigences organisationnelles (gestion des risques, documentation, supervision humaine, gestion de la qualité) et constitue donc une bonne base. Pour la présomption de conformité au titre de l'AI Act, les organismes européens de normalisation CEN et CENELEC élaborent leurs propres normes harmonisées.
En octobre 2026, aucune norme harmonisée relative à l'AI Act n'a encore été publiée au Journal officiel de l'UE. La norme la plus avancée est celle sur la gestion de la qualité (EN 18286). Des normes sur la gestion des risques, la cybersécurité et les jeux de données sont en cours d'élaboration. En mettant en œuvre l'ISO/IEC 42001 dès aujourd'hui, vous créez les structures auxquelles ces normes pourront s'articuler ultérieurement.
Quand une certification est-elle utile ?
| Situation | Recommandation |
|---|---|
| Vous utilisez des outils d'IA pour des tâches internes, par exemple comme fiduciaire pour des résumés et des projets | Aucune certification nécessaire. Un plan d'action IA avec une directive et une liste d'outils suffit. |
| Vous intégrez l'IA dans des produits ou services pour des clients | Utilisez la norme comme guide. Envisagez une certification si les clients demandent des preuves. |
| Vous développez des solutions d'IA pour d'autres (éditeur de logiciels, agence) | Un certificat facilite la vente, notamment auprès des banques, des assurances et des autorités. |
| Secteur réglementé (finance, santé) ou applications à haut risque | Un système de management est fortement recommandé. Il facilite les preuves à fournir aux autorités de surveillance et aux clients. |
Le chemin vers la certification
- Définir le champ d'application : quels systèmes d'IA, quels sites et quels processus ?
- Analyse des écarts par rapport à la norme, souvent avec un soutien externe de 2 à 5 jours.
- Mise en place : politique d'IA, rôles, évaluation des risques et des impacts, déclaration d'applicabilité, formation, documentation. Une PME a généralement besoin de 3 à 9 mois pour cela.
- Audit interne et revue de direction.
- Audit de certification en deux étapes par un organisme accrédité. Ensuite, des audits de surveillance annuels et une recertification après trois ans.
Conseil : Si vous êtes déjà certifié selon l'ISO/IEC 27001, vous pouvez reprendre de nombreux processus (gestion des documents, audits, revue de direction) et faire auditer les deux normes lors du même audit.
Qui certifie en Suisse ?
En Suisse, la SQS et l'organisme de certification de KPMG Suisse proposent des certifications selon l'ISO/IEC 42001, entre autres. Vérifiez qu'ils sont accrédités par le Service d'accréditation suisse (SAS) ou un organisme équivalent. Vous pouvez consulter le répertoire du SAS à cet effet. Évitez de faire conseiller et certifier par le même organisme, sinon l'indépendance n'est pas garantie.
Questions fréquentes
L'ISO/IEC 42001 est-elle obligatoire ?
Non, la norme est volontaire. Elle est surtout utile pour les fournisseurs de solutions d'IA, les secteurs réglementés et les sous-traitants dont les clients exigent une preuve.
L'ISO/IEC 42001 remplace-t-elle la conformité avec l'AI Act de l'UE ?
Non. La norme couvre de nombreuses exigences organisationnelles, mais ce n'est pas une norme harmonisée pour l'AI Act. En octobre 2026, aucune norme de ce type n'a encore été publiée au Journal officiel de l'UE.
Sources
Cette page donne une vue d’ensemble et ne remplace pas un conseil personnalisé. Les lois et les délais évoluent; seuls les textes officiels liés font foi.