Norme ISO 42001 : c'est quoi, à qui elle s'adresse, ce qu'elle demande
La norme ISO 42001, de son nom complet ISO/IEC 42001:2023, décrit un système de management de l'intelligence artificielle. Publiée en décembre 2023, elle dit comment une organisation décide, encadre et suit ses usages de l'IA, avec des rôles, des risques évalués, des preuves et une amélioration continue. Elle est volontaire : aucune loi n'oblige à l'appliquer.
Un système de management, pas une liste d'outils
Un système de management est un ensemble de règles et d'habitudes écrites : qui décide, sur quels critères, avec quelles traces, et comment on corrige. La norme ne dit pas quel outil d'IA choisir. Elle demande que le choix, l'usage et le suivi de chaque système soient pilotés.
Elle vise toute organisation qui développe, fournit ou utilise de l'IA, quelle que soit sa taille. La clause 4.1 demande de fixer son rôle pour chaque système. Les catégories reprises d'ISO/IEC 22989 vont du fournisseur au simple utilisateur.
Ce que demandent les clauses 4 à 10
Les clauses 4 à 10 sont exigées dans leur totalité. Elles suivent le plan commun aux normes de système de management :
| Clause | Sujet | En pratique |
|---|---|---|
| 4 | contexte | pourquoi vous utilisez l'IA, qui attend quoi, périmètre écrit |
| 5 | direction | politique IA signée, responsabilités nommées |
| 6 | planification | méthode de risque, analyse d'impact sur les personnes, objectifs |
| 7 | support | moyens, compétences, sensibilisation, documents tenus à jour |
| 8 | fonctionnement | appliquer le plan de traitement des risques, refaire les analyses |
| 9 | évaluation | indicateurs, audit interne, revue de direction |
| 10 | amélioration | traiter les écarts et leurs causes |
Les 38 mesures de l'annexe A
L'annexe A de la norme liste 38 mesures, réparties en 9 thèmes numérotés de A.2 à A.10 : politiques, organisation interne, ressources, impacts, cycle de vie des systèmes, données, information des parties intéressées, utilisation, relations avec les tiers.
Ces mesures se choisissent selon les risques. Une mesure peut être écartée si la raison est écrite, dans un document appelé déclaration d'applicabilité. Une entreprise qui utilise des outils du marché pèsera surtout l'utilisation et les fournisseurs ; une entreprise qui développe ses modèles pèsera aussi le cycle de vie et les données.
La norme ISO 42001 face à l'AI Act
L'AI Act est un règlement européen obligatoire ; la norme ISO 42001 reste volontaire. Appliquer la norme aide à tenir les obligations dans la durée, mais ne vaut pas présomption de conformité au règlement. Cette présomption passe par les normes harmonisées publiées au Journal officiel (articles 40 à 42), comme EN 18286 sur le management de la qualité des fournisseurs de systèmes à haut risque. Les obligations légales se vérifient donc une par une. Voir l'AI Act en PME.
Questions fréquentes
ISO 42001, c'est quoi en une phrase ?
Une norme volontaire qui décrit comment organiser, suivre et améliorer ses usages de l'IA, avec des rôles, des risques évalués et des preuves.
La norme ISO 42001 est-elle obligatoire ?
Non. Elle est volontaire. Un client ou un appel d'offres peut la demander, mais aucune loi ne l'impose.
Où lire le texte de la norme ?
Le texte est payant et vendu par les organismes de normalisation. Un extrait officiel, avec le sommaire et les premières clauses, est disponible gratuitement.
Sources
- ISO/IEC 42001:2023, système de management de l'intelligence artificielle, page de la norme, page de la norme (organisme), consulté le 30/10/2026.
- ISO/IEC 42001:2023, extrait officiel (sommaire, clauses 1 à 4), sommaire, clause 4.1 et rôles repris d'ISO/IEC 22989 (organisme), consulté le 30/10/2026.
- Scrut, guide ISO/IEC 42001:2023 : publication en décembre 2023, 38 mesures en 9 thèmes (éditeur de logiciel de conformité), date de publication, 38 mesures en 9 thèmes (vendeur), consulté le 30/10/2026.
- Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act), EUR-Lex, articles 40 à 42 (officielle), consulté le 30/10/2026.
- Commission européenne, normalisation de l'AI Act (norme harmonisée EN 18286), page mise à jour le 19/10/2026, présomption de conformité, EN 18286 (officielle), consulté le 30/10/2026.