ISO 42001 et ISO 27001, 27701, 23894 : différences et usage commun
ISO 42001 et ISO 27001 sont deux normes de système de management construites sur le même plan. La première encadre les usages de l'intelligence artificielle, la seconde la sécurité de l'information. Les autres normes de la famille ne se certifient pas toutes : certaines donnent des méthodes, d'autres s'adressent aux auditeurs.
ISO 42001 et ISO 27001 : même structure, objets différents
Les deux normes partagent les clauses 4 à 10 : contexte, direction, planification, support, fonctionnement, évaluation, amélioration. Une entreprise déjà organisée selon ISO/IEC 27001 réutilise sa revue de direction, son audit interne, sa gestion documentaire et son traitement des écarts.
| ISO/IEC 27001 | ISO/IEC 42001 | |
|---|---|---|
| objet | sécurité de l'information | système de management de l'IA |
| risques étudiés | confidentialité, intégrité, disponibilité | effets des systèmes d'IA sur les personnes, les groupes et la société, en plus de la sécurité |
| analyse propre | appréciation des risques de sécurité | analyse d'impact des systèmes d'IA |
| mesures de l'annexe A | mesures de sécurité | mesures sur l'usage, le cycle de vie, les données et les tiers |
Une certification ISO 27001 ne couvre pas l'IA. Les deux certifications restent distinctes, même quand l'organisme les audite ensemble.
Les normes voisines
- ISO/IEC 27701 : extension d'ISO/IEC 27001 à la protection de la vie privée. Utile quand vos systèmes d'IA traitent des données personnelles, en complément du RGPD et de son analyse d'impact ;
- ISO/IEC 23894 : lignes directrices pour gérer les risques liés à l'IA. Elle aide à bâtir la méthode de risque demandée par ISO 42001, sans se certifier elle-même ;
- ISO/IEC 42005 : méthode d'analyse d'impact des systèmes d'IA sur les personnes et la société. Elle sert à remplir l'exigence d'analyse d'impact d'ISO 42001 ;
- ISO/IEC 42006 : exigences pour les organismes qui auditent et certifient selon ISO 42001. Elle fixe notamment la durée des audits (voir le prix de la certification).
Et l'AI Act ?
L'AI Act est un règlement européen obligatoire ; les normes ISO restent volontaires. Aucune d'elles ne vaut présomption de conformité au règlement. Cette présomption passe par les normes harmonisées citées au Journal officiel (articles 40 à 42), comme EN 18286 sur le management de la qualité des fournisseurs de systèmes à haut risque.
ISO 42001 reste un bon cadre pour tenir les obligations de l'AI Act dans la durée : inventaire, rôles, risques, traces. Les obligations elles-mêmes se vérifient une par une, sur le texte. Voir l'AI Act en PME.
Par quelle norme commencer
- vous avez déjà ISO 27001 : ajoutez ISO 42001 au même système de management ;
- vous n'avez aucune norme et l'IA est au cœur de votre offre : ISO 42001 directement ;
- vous utilisez quelques outils d'IA et aucun client ne demande de certificat : commencez par les obligations de l'AI Act et une charte IA.
Questions fréquentes
Quelle différence entre ISO 42001 et ISO 27001 ?
ISO 27001 protège l'information ; ISO 42001 encadre les usages de l'IA et leurs effets sur les personnes. Elles partagent la même structure de clauses, ce qui permet de les mener ensemble.
ISO 42001 ou AI Act : lequel appliquer ?
L'AI Act s'applique d'office selon votre rôle et vos usages. ISO 42001 est un choix volontaire qui aide à organiser le respect de ces obligations.
Sources
- ISO/IEC 42001:2023, système de management de l'intelligence artificielle, page de la norme, page de la norme (organisme), consulté le 30/10/2026.
- ISO/IEC 27001:2022, système de management de la sécurité de l'information, page de la norme, page de la norme (organisme), consulté le 30/10/2026.
- Scrut, guide ISO/IEC 42001:2023 : publication en décembre 2023, 38 mesures en 9 thèmes (éditeur de logiciel de conformité), clauses 4 à 10 communes aux normes de système de management (vendeur), consulté le 30/10/2026.
- ISO/IEC 42006:2025, exigences pour les organismes de certification des systèmes de management de l'IA, extrait officiel (clause 9.1.4, annexe A « Audit time »), exigences pour les organismes de certification (organisme), consulté le 30/10/2026.
- Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act), EUR-Lex, articles 40 à 42 (officielle), consulté le 30/10/2026.
- Commission européenne, normalisation de l'AI Act (norme harmonisée EN 18286), page mise à jour le 19/10/2026, présomption de conformité, EN 18286 (officielle), consulté le 30/10/2026.
- CNIL, l'analyse d'impact relative à la protection des données (AIPD), analyse d'impact relative à la protection des données (officielle), consulté le 30/10/2026.