- A.2Politiques
- A.3Organisation interne
- A.4Ressources
- A.5Évaluation d'impact
- A.6Cycle de vie
- A.7Données
- A.8Informations pour les parties intéressées
- A.9Utilisation de l'IA
- A.10Tiers et clients
Un questionnaire client ou un appel d’offres vous demande comment vous gouvernez l’IA que vous proposez.
Les organismes qui développent des systèmes d’IA ou proposent à d’autres des produits et services fondés sur l’IA.
Votre conseil d’administration demande quelle IA l’entreprise utilise, et qui la supervise.
Les organismes qui utilisent l’IA dans leurs propres activités, y compris l’IA intégrée aux outils de leurs fournisseurs.
Vous souhaitez étendre à l’IA le système de management que vous avez déjà.
Les organismes certifiés ISO 27001 ou ISO 9001, normes qui partagent la même structure d’articles.
La date d’audit devient l’échéance pour votre périmètre, vos mesures et vos preuves.
Les équipes qui ont choisi un organisme de certification accrédité et fixé la date du premier audit.
Article 4
Analysez le contexte dans lequel vous opérez, puis fixez le périmètre : les systèmes d’IA, équipes et activités couverts par le système de management.
Article 5
La direction s’engage envers le système, définit une politique d’IA et attribue les rôles et responsabilités, afin que chaque volet du travail ait un responsable.
Article 6.1.2
Identifiez les risques que chaque système d’IA peut présenter, puis estimez la probabilité et la gravité de chacun.
Article 6.1.3
Choisissez comment traiter chaque risque et par quelles mesures, comparez vos choix à l’annexe A, puis planifiez le travail.
Article 6.1.4
Au-delà du risque pour votre organisme, évaluez comment chaque système d’IA peut affecter les personnes, y compris celles qui ne l’utilisent jamais mais en subissent les résultats.
Article 7
Fournissez les ressources dont le système a besoin, formez les personnes impliquées à leur rôle, et conservez les documents qui montrent son fonctionnement.
Article 8
Mettez les plans en œuvre. Menez l’appréciation des risques, le traitement des risques et l’évaluation d’impact dans le cadre du travail courant, et pas seulement dans les semaines qui précèdent un audit.
Article 9
Mesurez la performance du système, réalisez des audits internes à intervalles planifiés, et faites examiner les résultats par la direction, qui décide des changements.
Article 10
Lorsque vous constatez une non-conformité, corrigez-la, traitez sa cause pour qu’elle ne se reproduise pas, et améliorez le système en continu.
Annexe A
L’annexe A recense 38 mesures, sur des thèmes allant de la politique d’IA et de l’évaluation d’impact aux données et aux tiers. Consignez celles que vous appliquez, avec la justification de chaque choix, dans une déclaration d’applicabilité.
ISO/IEC 42006:2025
Un organisme de certification accrédité réalise les audits et délivre le certificat
ISO/IEC 17021-1
Le premier audit : l’étape 1 vérifie que vous êtes prêt, l’étape 2 le fonctionnement du système
ISO/IEC 17021-1
Les années intermédiaires, des audits de surveillance vérifient que le système fonctionne toujours
ISO/IEC 17021-1
La durée de validité habituelle d’un certificat, avant un audit complet de renouvellement
Un certificat porte sur votre système de management, pas sur la conformité d’un système d’IA au règlement. Selon l’article 40, la présomption de conformité découle des normes harmonisées publiées au Journal officiel, et non d’un certificat 42001. [5]
Vous appliquez les mesures qu’exigent vos risques. La déclaration d’applicabilité indique celles que vous retenez et celles que vous excluez, avec une justification pour chacune. [1]
L’omnibus de 2026 n’a déplacé que les dates de l’UE relatives au haut risque, au 2 décembre 2027 et au 2 août 2028. L’ISO 42001 n’y a jamais été liée : elle est volontaire, et c’est vous et votre organisme de certification qui fixez les dates d’audit. [6]
Qu’est-ce que l’ISO 42001 ?
L’ISO/IEC 42001 est la norme internationale relative aux systèmes de management de l’IA : les politiques, rôles, processus et mesures qu’un organisme utilise pour gouverner l’IA. Publiée en décembre 2023, elle fixe les exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu ce système. Elle s’adresse aux organismes qui fournissent ou utilisent l’IA, pas seulement à ceux qui la développent.
En quoi l’ISO 42001 diffère-t-elle de l’ISO 27001 ?
L’ISO 27001 encadre la sécurité de l’information. L’ISO 42001 encadre l’IA, y compris des risques et impacts qui dépassent la sécurité, comme l’effet des résultats d’un système sur les personnes. Les deux suivent la même structure d’articles, de 4 à 10 : périmètre, politique, audit interne et revue de direction vous sembleront donc familiers. L’ISO 42001 ne remplace pas la 27001, et les deux peuvent fonctionner comme un seul système de management intégré.
La certification ISO 42001 est-elle obligatoire ?
Non. C’est une norme volontaire, et aucune amende ne sanctionne son non-respect. Les organismes se font certifier parce que des clients, des partenaires ou des appels d’offres leur demandent comment ils gouvernent l’IA, et un certificat délivré par un organisme accrédité y répond clairement. Une fois le certificat obtenu, les risques sont concrets : des non-conformités relevées lors de l’audit, un certificat que vous pourriez perdre et des évaluations d’acheteurs auxquelles vous pourriez échouer.
Combien de temps dure la certification ISO 42001 ?
Un certificat est généralement valable trois ans. Entre-temps, l’organisme de certification revient pour des audits de surveillance, en général une fois par an, afin de vérifier que le système fonctionne toujours. En fin de cycle, un audit de renouvellement ouvre le cycle suivant. Votre organisme de certification fixe le calendrier exact : vérifiez-le tôt avec lui, surtout si votre premier audit est déjà planifié.
Qu’est-ce qu’une déclaration d’applicabilité ?
C’est le document qui liste les mesures de l’annexe A, indique celles que vous appliquez et justifie l’inclusion ou l’exclusion de chacune. L’annexe A compte 38 mesures, et vous n’êtes pas tenu de toutes les appliquer. Les mesures retenues doivent découler de votre traitement des risques, pour que les deux documents soient cohérents. Tenez-la à jour : quand vos systèmes d’IA ou vos risques évoluent, vos choix peuvent évoluer aussi.
Qui peut nous certifier ISO 42001 ?
Un organisme de certification accrédité. Publiée en 2025, la norme ISO/IEC 42006 ajoute des exigences pour les organismes qui certifient selon ISO 42001, en complément d’ISO/IEC 17021-1. Au Royaume-Uni, le BSI a été le premier organisme accrédité par l’UKAS. Logiciels et conseillers peuvent vous aider à vous préparer, mais ils ne peuvent pas vous certifier. Enzai n’est pas un organisme de certification : il centralise les évaluations, les responsables, les preuves et les rapports sur lesquels votre équipe s’appuie.
Sources · Vérifiées en oct. 2026
