ISO 42001 : le système de management de l'intelligence artificielle

ISO 42001 est la norme internationale qui fixe les exigences d'un système de management de l'intelligence artificielle. Publiée en décembre 2023 par l'ISO et la CEI, elle s'adresse à tout organisme qui développe, fournit ou utilise des systèmes d'IA, et peut faire l'objet d'une certification.

Pour un RSSI ou un responsable conformité, la bonne nouvelle est qu'elle ressemble beaucoup à ISO 27001 : même charpente, même logique d'amélioration continue. Ce guide explique ce qu'elle contient, ce qu'elle ajoute à un système de management de la sécurité de l'information existant et comment s'y préparer.

La norme ISO/IEC 42001:2023 définit les exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu un système de management de l'intelligence artificielle (on parle de SMIA, ou d'AIMS en anglais). Selon le résumé d'AFNOR, elle vise à aider les organismes à développer, fournir ou utiliser des systèmes d'IA de manière responsable, en respectant les exigences applicables et les attentes des parties intéressées. Elle s'applique à tout organisme, quels que soient sa taille, son type et sa nature.

Comme toute norme de système de management, elle ne porte pas sur un produit ou un algorithme en particulier, mais sur la façon dont l'organisme gouverne ses usages de l'IA : qui décide, sur quels critères, avec quels contrôles et quelles preuves. L'ISO la présente comme la première norme mondiale de ce type et précise qu'elle suit la démarche « planifier, réaliser, vérifier, agir ».

Les systèmes d'IA posent des risques que les référentiels de sécurité classiques couvrent mal : biais, manque de transparence, usage détourné, dépendance aux données d'entraînement, effets sur des personnes qui ne savent pas qu'une IA intervient. La présentation de l'ISO cite notamment les risques de biais, de sûreté, de sécurité et de mésusage.

À cela s'ajoute un problème d'organisation : l'IA arrive souvent par les métiers, via des services en ligne ou des fonctions intégrées aux logiciels, sans passer par la DSI. C'est le phénomène de shadow AI. Une norme de management oblige à recenser ces usages, à attribuer des responsabilités et à décider explicitement de ce qui est acceptable. Elle ne remplace pas la loi, comme le rappelle l'ISO, mais elle donne l'organisation qui permet de suivre les exigences applicables, dont celles du règlement européen sur l'IA (AI Act), que nous présentons dans un dossier dédié.

ISO 42001 suit la structure harmonisée commune aux normes de système de management de l'ISO : les mêmes titres de clauses, une partie du texte identique et des définitions partagées, pour qu'un organisme puisse faire tourner plusieurs normes dans un seul système. Concrètement :

• Clauses 4 à 10, obligatoires : contexte de l'organisme, leadership, planification, support, fonctionnement, évaluation des performances, amélioration.
• Des annexes : une annexe A d'objectifs et de mesures de référence pour encadrer les systèmes d'IA, à laquelle le traitement des risques se compare, complétée par des recommandations de mise en œuvre et des exemples d'objectifs et de sources de risque.

Le cœur de la norme se trouve dans la clause de planification. Elle demande trois exercices documentés :

• une appréciation des risques liés à l'IA : identifier, analyser et évaluer les risques selon des critères définis, comme dans ISO 27005 ;
• un traitement de ces risques, avec un choix de mesures comparé à l'annexe A et une déclaration d'applicabilité ;
• une évaluation de l'impact des systèmes d'IA sur les personnes, les groupes et la société, y compris en cas d'usage détourné.

Ces évaluations ne sont pas ponctuelles : la clause de fonctionnement demande de les refaire à intervalles planifiés et lors de changements importants (nouveau modèle, nouvelles données, nouvel usage). Deux normes d'accompagnement aident à les conduire : ISO/IEC 23894 (2023) donne des lignes directrices pour la gestion des risques liés à l'IA, et ISO/IEC 42005 (mai 2025) décrit la conduite d'une évaluation d'impact des systèmes d'IA. La logique rappelle celle de l'analyse d'impact relative à la protection des données (AIPD) du RGPD, avec un champ plus large que les seules données personnelles.

Parce que les deux normes partagent la même structure, un organisme qui dispose d'un SMSI ISO 27001 n'a pas à tout reconstruire. Le schéma ci-dessous montre, clause par clause, ce qui existe déjà et ce qu'ISO 42001 ajoute. Choisissez une clause pour la détailler.

La répartition des rôles reste claire : la sécurité des systèmes d'IA (protection des modèles, des données d'entraînement, des accès) relève toujours du SMSI et de l'annexe A d'ISO 27001. ISO 42001 couvre ce que la sécurité ne traite pas : la finalité des systèmes, leurs effets sur les personnes, la qualité des données, la transparence et le contrôle humain. Une seule politique de sécurité et une politique d'IA distincte, un seul cycle d'audits internes et une revue de direction commune suffisent en général à piloter l'ensemble.

La certification est volontaire. Comme l'indique l'ISO, ce n'est pas l'ISO qui certifie : ce sont des organismes de certification indépendants, qui peuvent être accrédités par un organisme national d'accréditation. Depuis juillet 2025, la norme ISO/IEC 42006 fixe les exigences supplémentaires que doivent respecter les organismes qui auditent et certifient les systèmes de management de l'IA, en complément des règles générales applicables à la certification des systèmes de management.

Le déroulé est celui des autres normes de système de management : audit initial en deux étapes, puis audits de surveillance et renouvellement. Les auditeurs vérifieront en priorité l'inventaire des systèmes d'IA, la politique d'IA, les appréciations des risques et des impacts, la déclaration d'applicabilité et les preuves de leur mise à jour.

1. Recenser les systèmes d'IA développés, achetés ou utilisés, y compris les fonctions d'IA intégrées aux logiciels du quotidien, et préciser pour chacun le rôle de l'organisme (fournisseur, utilisateur…).
2. Fixer le périmètre du système de management : toute l'organisation, ou d'abord un produit ou une activité.
3. Rédiger et faire valider la politique d'IA par la direction, et nommer les responsables.
4. Apprécier les risques et les impacts sur les systèmes prioritaires, avec des critères écrits.
5. S'appuyer sur le SMSI pour tout ce qui est commun : maîtrise documentaire, audits internes, revue de direction, évaluation des fournisseurs, notamment ceux qui fournissent des modèles ou des services d'IA.

Comme pour tout nouveau référentiel, l'enjeu est d'éviter une deuxième pile de documents à côté de la première. Relier les exigences d'ISO 42001 à celles d'ISO 27001 et des autres référentiels que vous suivez permet d'évaluer une seule fois ce qui est commun, dans une démarche de gouvernance, risques et conformité unique. Et si l'IA entre aussi dans vos propres outils de conformité, notre article IA et GRC en décrit l'apport et les limites.

Pour aller plus loin : l'éditeur de référentiels de Phinasoft accueille n'importe quelle norme et permet de faire des liens entre référentiels ; la page logiciel ISO 27001 présente le pilotage d'un SMSI.