ISO 42001 : la certification IA qui structure la conformité
ISO 42001 est la première norme internationale de management de l'IA. Ce que la certification change concrètement pour votre entreprise : démarche, délais et échéances.
TL;DR : L'ISO/IEC 42001, publiée en décembre 2023, est la première norme internationale certifiable consacrée au management de l'IA. Elle impose une gouvernance documentée, une évaluation des risques par système et le passage en revue de 38 contrôles spécifiques à l'IA. La certification se joue en deux temps (audit de documentation, puis audit opérationnel), se maintient par des audits de surveillance annuels et se renouvelle tous les 3 ans. Elle ne remplace pas l'AI Act, mais elle sert de base de travail aux normes harmonisées européennes : les entreprises qui s'en dotent aujourd'hui ne repartiront pas de zéro.
Vos systèmes d'IA sont déployés, vos équipes les utilisent — et personne ne peut répondre à trois questions simples : qui est responsable de quoi, quels risques chaque système porte, et comment vous le prouvez à un client, un auditeur ou un assureur ? C'est exactement le vide que la norme ISO 42001 vient structurer.
Publiée le 18 décembre 2023, l'ISO/IEC 42001 est la première norme internationale de management dédiée à l'intelligence artificielle [iso.org]. Elle ne se contente pas de recommander des bonnes pratiques : elle est certifiable, comme l'ISO 27001 ou l'ISO 9001. Cet article vous donne ce que la certification change concrètement dans une entreprise, la démarche pour l'obtenir, et les échéances à inscrire au calendrier — y compris celles de l'AI Act.
ISO 42001 : le premier standard de management de l'IA
L'ISO/IEC 42001:2023 (« Information technology — Artificial intelligence — Management system ») spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de l'IA — l'AIMS (Artificial Intelligence Management System) [iso.org]. Elle s'applique à toute organisation qui fournit ou utilise des produits et services basés sur l'IA, quel que soit son secteur ou sa taille : éditeur, intégrateur, industriel qui déploie de la maintenance prédictive, ou entreprise de services qui automatise ses processus.
Sa méthode est celle des normes de management : la roue Plan-Do-Check-Act. On définit une politique IA, on met en œuvre des processus, on mesure les résultats, on améliore. Le tout, documenté.
La même architecture que l'ISO 27001
L'ISO 42001 partage l'architecture commune des normes de management (structure « Annex SL ») avec l'ISO 27001 ou l'ISO 9001 : clauses 4 à 10, du contexte de l'organisation à l'amélioration continue [certification.afnor.org]. Conséquence pratique : une entreprise déjà certifiée ISO 27001 a déjà en place une partie de l'ossature (gestion documentaire, audits internes, revue de direction). L'ISO 42001 se greffe dessus au lieu de tout reprendre à zéro — l'AFNOR la présente explicitement comme intégrable aux systèmes de management existants.
L'annexe A : 38 contrôles orientés IA
Là où l'ISO 27001 protège les informations, l'ISO 42001 encadre l'usage de l'IA lui-même. Son annexe A réunit 38 contrôles spécifiques à l'IA, répartis en 9 objectifs de contrôle (politique IA, organisation interne, ressources, évaluation des impacts, cycle de vie des systèmes, données, information des parties intéressées, usage responsable, relations avec les tiers) [vanta.com] [arphie.ai]. Chaque organisation sélectionne ceux qui s'appliquent à son périmètre et le justifie dans une déclaration d'applicabilité (SoA) — le même mécanisme que l'ISO 27001.
La norme est complétée par une famille de textes : l'ISO/IEC 23894 (management du risque IA), l'ISO/IEC 42005:2025 (évaluation des impacts de l'IA) et l'ISO/IEC 42006:2025, qui fixe les exigences pour les organismes habilités à auditer et certifier les AIMS [iso.org — OBP].
Ce que la certification change concrètement pour l'entreprise
La certification n'est pas un papier à accrocher au mur. Elle transforme quatre choses en profondeur.
| Avant | Après |
|---|---|
| Personne n'est désigné responsable de l'IA | Des rôles formalisés : pilote du système de management, propriétaire de chaque système, réviseur des décisions IA |
| Personne ne sait combien de systèmes IA existent | Un inventaire obligatoire de tous les systèmes IA et de leur usage |
| Les risques IA sont traités au cas par cas | Une évaluation d'impact et une cartographie des risques par système, alignées sur l'ISO 23894 et l'ISO 42005 |
| La conformité repose sur la mémoire des équipes | Une documentation et une piste d'audit vérifiables : politiques, registres, revues, incidents |
| La surveillance dépend des bonnes volontés | Un cycle de contrôle : audits internes, revue de direction, mesure d'indicateurs, amélioration continue |
- Des responsabilités désignées. Le standard impose de nommer qui est responsable de quoi : la gouvernance, les systèmes individuels, les décisions. Fini l'IA « orpheline », adoptée par un service sans patron désigné.
- Un inventaire et une classification. Avant tout contrôle, il faut lister les systèmes IA, leur finalité, leurs données, leurs utilisateurs, leur cycle de vie. La plupart des entreprises découvrent à cette étape des outils « shadow AI » jamais déclarés.
- Une évaluation d'impact et des risques tracés. Chaque système fait l'objet d'une analyse : biais potentiels, impacts sur les personnes, incidents possibles. Les traitements choisis sont documentés — c'est ce dossier qui sert de preuve devant un auditeur.
- Des contrôles sélectionnés et justifiés. Sur les 38 contrôles de l'annexe A, l'organisation retient ceux qui s'appliquent, via la déclaration d'applicabilité. Un choix justifié vaut mieux qu'une conformité « par défaut ».
- Une piste d'audit permanente. Registres, comptes rendus de revue, mesures, incidents : tout est documenté et conservé. C'est la différence entre « on fait de l'IA responsable » et « on peut le prouver ».
Le bénéfice est aussi commercial. La certification devient un argument différenciant face aux grands comptes et aux secteurs régulés, qui intègrent de plus en plus la gouvernance IA dans leurs critères d'achat et leurs appels d'offres. Elle a déjà été obtenue par des acteurs majeurs : Anthropic compte parmi les premiers laboratoires d'IA certifiés, une annonce officielle faite en janvier 2025 [anthropic.com]. En France, l'AFNOR Certification délivre la certification et témoigne des premières entreprises certifiées [certification.afnor.org].
La démarche de certification en 6 étapes
Le parcours suit un schéma éprouvé par les autres normes de management. Voici la chronologie, avec les ordres de grandeur vérifiés.
| Étape | Contenu | Durée indicative |
|---|---|---|
| 1. Cadrage | Définir le rôle de l'organisation (fournisseur, producteur, utilisateur), le périmètre de l'AIMS, la politique IA | 2-4 semaines |
| 2. Mise en œuvre | Objectifs, procédures, évaluation des risques et des impacts, sélection des contrôles, documentation | 2-6 mois selon la maturité |
| 3. Audit interne | Vérifier l'application réelle du système, corriger les écarts | 1-2 semaines |
| 4. Audit Étape 1 | L'organisme certificateur revoit la documentation et la conception de l'AIMS | 1-2 jours |
| 5. Audit Étape 2 | L'organisme vérifie l'efficacité opérationnelle : processus, contrôles, gestion des risques | 3-9+ jours |
| 6. Maintien | Audits de surveillance annuels, puis recertification tous les 3 ans | En continu |
Détail du calendrier certifié par les praticiens [cloudsecurityalliance.org] :
- L'audit de certification se déroule en deux temps. L'étape 1 (1 à 2 jours) vérifie que la documentation existe et tient debout : périmètre, politiques, méthodologies de gestion des risques, déclaration d'applicabilité. L'étape 2 (3 à 9+ jours, selon l'effectif couvert) vérifie que ce qui est écrit est réellement appliqué : entretiens, tests des contrôles, supervision des systèmes.
- Entre les deux, comptez 4 à 12 semaines (6 mois maximum) pour corriger les écarts relevés à l'étape 1.
- Le certificat est valable 3 ans, entretenu par des audits de surveillance annuels (environ un tiers du temps de l'audit initial), puis une recertification au terme du cycle [nqa.com].
- Le point de passage le plus variable est l'étape 2 (mise en œuvre) : une entreprise déjà équipée d'un système de management (ISO 27001, ISO 9001) réutilise son ossature et va nettement plus vite qu'une organisation qui part de zéro.
La documentation est le goulot d'étranglement classique de cette démarche. C'est aussi le point où l'automatisation change la donne : collecte des registres, suivi des contrôles, production des preuves d'audit — des tâches que des outils d'IA documentaire font bien plus vite que des tableurs, comme nous le détaillons sur notre page Conformité réglementaire automatisée.
ISO 42001 et AI Act : ce que la certification couvre, et ne couvre pas
La question revient systématiquement : l'ISO 42001 rend-elle conforme à l'AI Act ? Réponse courte : non, mais elle prépare le terrain mieux que toute autre démarche.
L'AI Act est un règlement européen directement applicable, en vigueur depuis le 1er août 2024, avec une application progressive [digital-strategy.ec.europa.eu]. À ce jour : les obligations de transparence (art. 50) sont en application depuis le 2 août 2026 ; les obligations des systèmes à haut risque autonomes arrivent le 2 décembre 2027 ; celles des systèmes intégrés aux produits réglementés, le 2 août 2028 — un calendrier reporté par le Digital Omnibus sur l'IA, en vigueur depuis le 27 juillet 2026 [eur-lex.europa.eu]. Pour le détail de la classification par risque, voir notre article AI Act 2026 : conformité IA pour l'industrie.
Où se situe l'ISO 42001 dans ce dispositif ?
- Ce qu'elle couvre. Gouvernance, gestion des risques, qualité des données, supervision humaine, transparence documentaire : les exigences que la certification impose recoupent largement celles que l'AI Act adresse aux systèmes à haut risque — y compris l'exigence de système de management de la qualité (article 17) pour les fournisseurs.
- Ce qu'elle ne couvre pas. Une norme volontaire ne vaut pas conformité légale : enregistrement des systèmes dans la base de données de l'UE, évaluation de conformité des produits, règles spécifiques aux modèles GPAI — la certification ne dispense d'aucune obligation réglementaire.
- Le pont à venir. La Commission européenne a mandaté le CEN/CENELEC pour élaborer les normes harmonisées de l'AI Act ; l'une d'elles portera sur le système de management des entreprises concernées, et l'ISO 42001 sert de base de travail à son élaboration [certification.afnor.org]. Lorsque ces normes seront publiées au Journal officiel de l'UE, les organisations déjà structurées en ISO 42001 disposeront d'un socle largement convertible — au lieu de tout construire dans l'urgence.
Se certifier maintenant, c'est acheter de l'avance. Le cycle de certification (3 ans) dépasse les échéances haut risque de l'AI Act (décembre 2027, août 2028) : une entreprise certifiée dès 2026 aborde ces échéances avec un système de management documenté, audité, éprouvé.
Les échéances à retenir
| Date | Échéance |
|---|---|
| 18 décembre 2023 | Publication de l'ISO/IEC 42001:2023 |
| 2 août 2026 | AI Act — obligations de transparence (art. 50) : déjà en application |
| 2026-2027 | Normes harmonisées CEN/CENELEC en cours d'élaboration — l'ISO 42001 sert de base |
| 2 décembre 2027 | AI Act — systèmes à haut risque autonomes |
| 2 août 2028 | AI Act — systèmes à haut risque intégrés aux produits réglementés |
| Tous les ans | Audit de surveillance ISO 42001 (maintien du certificat) |
| Tous les 3 ans | Recertification ISO 42001 |
FAQ — ISO 42001 et certification IA
Qu'est-ce que la norme ISO 42001 ? L'ISO/IEC 42001:2023 est la première norme internationale certifiable dédiée au management de l'intelligence artificielle. Elle spécifie les exigences d'un système de management de l'IA (AIMS) : gouvernance, évaluation des risques, contrôles spécifiques et amélioration continue.
À qui s'adresse la certification ISO 42001 ? À toute organisation qui fournit ou utilise des produits ou services à base d'IA : éditeurs, intégrateurs, industriels, entreprises de services. Il n'y a pas de seuil de taille.
Quelle différence entre ISO 42001 et ISO 27001 ? L'ISO 27001 protège les informations (confidentialité, intégrité, disponibilité). L'ISO 42001 encadre l'usage de l'IA : responsabilités, impacts, cycle de vie, relation avec les tiers. Les deux partagent la même architecture et se cumulent — la certification ISO 42001 s'intègre aux systèmes de management existants.
ISO 42001 remplace-t-elle l'AI Act ? Non. L'AI Act est un règlement européen contraignant ; la certification ISO 42001 est volontaire. Elle couvre une partie des exigences (gouvernance, risques, données, supervision) et sert de base aux normes harmonisées européennes en préparation, mais elle ne dispense d'aucune obligation légale.
Combien de temps dure la certification ISO 42001 ? Le certificat est valable 3 ans, maintenu par des audits de surveillance annuels, puis renouvelé par un audit de recertification. Entre le lancement et le certificat, le délai dépend de la maturité : quelques mois pour une organisation déjà structurée (ISO 27001), davantage sinon.
La certification ISO 42001 est-elle obligatoire ? Non. Elle est volontaire, en France comme dans l'UE. Elle devient en revanche un différenciateur commercial de plus en plus demandé, et une préparation directe aux obligations de l'AI Act.
Conclusion : la conformité IA se construit avant la contrainte
La certification ISO 42001 change une entreprise en profondeur : des responsabilités désignées, des systèmes inventoriés, des risques documentés, des preuves conservées. Elle ne remplace pas l'AI Act — mais elle offre une méthode pour y arriver, un langage commun avec les auditeurs, et une longueur d'avance sur les normes harmonisées européennes.
La première étape ne demande aucun outillage : cartographier vos systèmes d'IA. Combien sont déployés ? Qui les utilise ? Quel risque portent-ils ? À partir de cet inventaire, vous pouvez sélectionner les contrôles de l'annexe A qui s'appliquent à vous et chiffrer votre démarche de certification.
👉 Demandez un diagnostic conformité IA — Cartographiez vos systèmes, identifiez les contrôles ISO 42001 applicables et obtenez un plan d'action en 48 heures.
Article publié le 18 août 2026 par Damien Godard — ISO/IEC 42001:2023 publiée par l'ISO ; démarche et calendrier de certification d'après l'AFNOR Certification et la Cloud Security Alliance ; échéances AI Act vérifiées sur EUR-Lex (règlement UE 2024/1689, Digital Omnibus (UE) 2026/1744).