Dernière revue : 30 septembre 2026

Qu'est-ce que la norme ISO/IEC 42001 ? Définition, certification et lien avec l'AI Act

ISO/IEC 42001 est la norme internationale, publiée en décembre 2023 par l'ISO et la CEI, qui fixe les exigences d'un système de management de l'intelligence artificielle (SMIA) : politique, rôles, analyse des risques et des impacts, mesures de contrôle et amélioration continue. Elle est volontaire et certifiable, mais ce n'est pas une norme harmonisée de l'AI Act : un certificat ISO 42001 ne vaut pas présomption de conformité au règlement européen.

ISO/IEC 42001:2023 (première édition, décembre 2023) applique à l'IA la structure commune des normes de management, celle d'ISO 9001 pour la qualité ou d'ISO/IEC 27001 pour la sécurité de l'information : contexte de l'organisme, leadership, planification, support, fonctionnement, évaluation des performances, amélioration. Elle s'adresse à tout organisme qui fournit ou utilise des produits ou services fondés sur l'IA, quelle que soit sa taille. Son annexe A liste des mesures de contrôle : politique IA, organisation interne, ressources, évaluation des impacts, cycle de vie des systèmes, données, information des parties intéressées, usage responsable, relations avec les tiers. Elle est certifiable par un organisme tiers accrédité ; AFNOR Certification fait partie de ceux qui la délivrent en France, pour trois ans avec audits de suivi annuels. La norme ISO/IEC 42006, publiée en 2025, fixe les exigences applicables à ces organismes de certification. La relation avec l'AI Act est souvent mal comprise. Seules les normes harmonisées européennes dont la référence est publiée au Journal officiel de l'UE donnent une présomption de conformité (article 40). Elles sont rédigées par le comité CEN-CENELEC JTC 21, pas par l'ISO. Pour le système de management de la qualité exigé des fournisseurs de systèmes à haut risque (article 17), la norme de référence est l'EN 18286, publiée par le CEN-CENELEC en juillet 2026 ; sa citation au Journal officiel relève d'une décision de la Commission. Un SMIA conforme à 42001 reste une base de travail utile pour l'AI Act, sans en garantir le respect. La norme est vendue en anglais et en français par l'ISO et par l'AFNOR : il n'existe pas de PDF officiel gratuit.

Exemple concret

Cas illustratif. Un éditeur SaaS parisien de 120 personnes vend à des banques un module d'évaluation de la solvabilité de particuliers. Dans un appel d'offres, on lui demande s'il est certifié ISO 42001. Déjà certifié ISO/IEC 27001, il réutilise sa structure (revue de direction, audits internes, gestion documentaire) et ajoute ce qui est propre à l'IA : inventaire des modèles, études d'impact, règles sur les données d'entraînement. Mais son module relève du haut risque (crédit, annexe III de l'AI Act) : le certificat ne le dispense ni du système qualité de l'article 17, que décrit l'EN 18286, ni de la documentation technique exigible au 2 décembre 2027.

Comparaison

ISO/IEC 42001, EN 18286 et AI Act : qui fait quoi
Référentiel	Nature	Obligatoire ?	Ce qu'il apporte
AI Act (règlement UE 2024/1689)	Loi européenne	Oui, selon le rôle et le niveau de risque	Les obligations elles-mêmes
ISO/IEC 42001:2023	Norme internationale de management, certifiable	Non	Cadre de gouvernance de l'IA reconnu à l'international
EN 18286:2026	Norme européenne de système qualité pour l'AI Act	Non, mais conçue pour l'article 17	Présomption de conformité une fois citée au Journal officiel
ISO/IEC 42006:2025	Norme pour les organismes de certification	Pour les certificateurs	Encadre la façon dont les audits 42001 sont menés

Questions fréquentes

ISO 42001 : c'est quoi ?

C'est la première norme internationale de système de management de l'intelligence artificielle, publiée en décembre 2023. Elle décrit comment une organisation encadre ses usages et ses développements d'IA : politique, responsabilités, analyse des risques et des impacts, contrôles, audits internes et amélioration continue.

La certification ISO 42001 est-elle obligatoire ?

Non. Aucun texte européen ou français ne l'impose. Elle est volontaire, et souvent demandée par des clients grands comptes ou dans des appels d'offres comme preuve de maturité en gouvernance de l'IA.

ISO 42001 est-elle une norme harmonisée de l'AI Act ?

Non. Les normes harmonisées de l'AI Act sont des normes européennes (EN) rédigées par le CEN-CENELEC, dont la référence doit être publiée au Journal officiel de l'UE. ISO/IEC 42001 n'en fait pas partie : la certifier ne donne pas de présomption de conformité. Pour le système qualité des fournisseurs de systèmes à haut risque, la norme européenne est l'EN 18286, publiée en juillet 2026.

Existe-t-il un PDF de l'ISO 42001 en français ?

Oui, la norme existe en version française, vendue au format PDF ou papier par l'ISO (225 francs suisses au 30 septembre 2026) et par l'AFNOR. Il n'existe pas de version officielle gratuite ; les copies gratuites qui circulent ne sont pas autorisées.

Qu'est-ce qu'un Lead Implementer ISO 42001 ?

C'est une certification de personne, délivrée par des organismes de formation après un cursus et un examen, qui atteste qu'un professionnel sait déployer un système de management de l'IA. Elle se distingue de la certification de l'organisation, délivrée après audit par un organisme accrédité. Le Lead Auditor est l'équivalent pour la conduite d'audits.

Quelle différence entre ISO 42001 et ISO 27001 ?

ISO/IEC 27001 encadre la sécurité de l'information ; ISO/IEC 42001 encadre les risques propres à l'IA (biais, transparence, impact sur les personnes, cycle de vie des modèles). Elles partagent la même structure, ce qui permet de les intégrer dans un système de management unique.

À voir aussi

Pour aller plus loin

ISO/IEC 42006:2025, exigences pour les organismes de certification des systèmes de management de l'IA (ressource externe)

Sources

ISO/IEC 42001:2023, Technologies de l'information, Intelligence artificielle, Système de management, ISO. https://www.iso.org/fr/standard/42001 (consulté le 2026-09-30)
EN 18286 in the Spotlight: Supporting Compliance with the AI Act, CEN-CENELEC, juillet 2026. https://www.cencenelec.eu/news-events/news/2026/en-in-the-spotlight/2026-07-30-ai-quality-management/ (consulté le 2026-09-30)
Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act), articles 17 et 40. https://eur-lex.europa.eu/eli/reg/2024/1689/oj (consulté le 2026-09-30)
Certification ISO/IEC 42001, AFNOR Certification. https://international.afnor.com/en/shop/type-of-service/management-system-certifications/iso-iec-42001-artificial-intelligence-management-system-certification/ (consulté le 2026-09-30)

← Retour au glossaire