ISO/IEC 27090, EN 18286 et IEEE 2863 : les 3 nouvelles normes de gouvernance de l’IA de 2026 en un coup d’œil

Trois normes en trois jours : pourquoi octobre 2026 compte pour la gouvernance de l’IA

Entre le 14 et le 16 octobre 2026, trois normes de gouvernance de l’IA sont entrées en jeu simultanément : l’ISO/IEC 27090:2026 a été publiée le 14 octobre, l’EN 18286:2026 a été citée le même jour au Journal officiel de l’UE comme première norme harmonisée au titre du règlement européen sur l’IA (AI Act), et l’IEEE 2863-2026 a suivi le 16 octobre. Trois organismes, trois perspectives, un même sujet : comment les organisations peuvent-elles développer et exploiter l’IA de manière sûre, conforme et responsable ?

Pour les organisations qui développent ou utilisent l’IA, les trois méritent qu’on s’y intéresse. Elles couvrent des niveaux différents – technique, réglementaire et organisationnel – et se complètent plutôt qu’elles ne se concurrencent. Cet article explique ce que contiennent ces normes, à qui elles s’adressent et ce qu’il faut faire dès maintenant.

Les trois normes en un coup d’œil

ISO/IEC 27090:2026 – La cybersécurité des systèmes d’IA

L’ISO/IEC 27090:2026 est la première norme internationale entièrement consacrée aux menaces de sécurité visant les systèmes d’IA. Son titre complet est Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. Elle a été élaborée par l’ISO/IEC JTC 1/SC 27, le comité à l’origine de l’ISO/IEC 27001. Fiche de la norme sur le site de l’ISO

L’accent porte sur la protection des systèmes d’IA, et non sur l’utilisation de l’IA pour se défendre contre d’autres attaques. La norme décrit les attaques propres aux modèles, aux données d’entraînement et aux flux de travail de l’IA, la manière de les détecter et de les contrer tout au long du cycle de vie. Parmi elles :

• Empoisonnement des données (data poisoning) : des données d’entraînement manipulées qui modifient le comportement du modèle
• Exfiltration de modèle : l’extraction d’un modèle au moyen de requêtes en apparence légitimes
• Attaques par évasion, inférence d’appartenance, inversion de modèle ainsi que l’empoisonnement direct du modèle
• Injection de prompt ainsi que des sorties du modèle sensibles ou préjudiciables

L’ISO/IEC 27090 traite aussi de sujets transversaux comme la modélisation des menaces, le red teaming, le zero trust, la sécurité de la chaîne d’approvisionnement, la journalisation et la surveillance, ainsi que le vieillissement des modèles et des mesures de protection dans le temps. Son principe directeur est la défense en profondeur : plusieurs couches de protection, car certaines attaques contre l’IA sont difficiles à détecter. Présentation de l’ISO 27090 par l’ISO

Une distinction importante : l’ISO/IEC 27090 est un guide, et non une norme d’exigences certifiable. Elle ajoute des aspects de sécurité propres à l’IA à un SMSI existant selon l’ISO/IEC 27001 et à un système de management de l’IA selon l’ISO/IEC 42001. Pour les équipes sécurité, c’est le point d’entrée naturel pour intégrer les risques liés à l’IA dans les processus existants. Pour aller plus loin : ISO 27090 expliquée aux équipes de sécurité de l’IA et ISO 27090 et ISO 42001 : les différences expliquées.

EN 18286:2026 – Le système de management de la qualité pour le règlement européen sur l’IA

L’EN 18286:2026 est la première norme harmonisée au titre du règlement européen sur l’IA – et donc celle des trois qui pèse le plus sur le plan juridique. Le CEN et le CENELEC ont publié Artificial intelligence – Quality management system for EU AI Act regulatory purposes en juillet 2026. Le 14 octobre 2026, la Commission européenne l’a citée au Journal officiel de l’UE par la décision d’exécution (UE) 2026/2274.

Cette citation est l’étape décisive. En vertu de l’article 40 du règlement sur l’IA, les fournisseurs qui appliquent une norme harmonisée publiée au Journal officiel bénéficient d’une présomption de conformité pour les exigences qu’elle couvre. Concrètement, il s’agit de l’article 17 : les fournisseurs de systèmes d’IA à haut risque doivent disposer d’un système de management de la qualité documenté. Selon le calendrier mis à jour, cette obligation s’applique à partir du 2 décembre 2027 aux systèmes à haut risque énumérés à l’annexe III et à partir du 2 août 2028 aux systèmes à haut risque intégrés dans des produits réglementés relevant de l’annexe I. Calendrier du règlement sur l’IA de la Commission européenne L’EN 18286 traduit cette obligation en exigences auditables, notamment :

• Maîtrise de la conception et du développement
• Gestion des risques et gestion des données
• Documentation et enregistrements
• Surveillance après commercialisation et traitement des incidents

Les organisations doivent garder trois points à l’esprit. Premièrement : l’application de la norme reste volontaire ; la conformité peut être démontrée par d’autres moyens – simplement sans la présomption. Deuxièmement : la présomption ne couvre que les exigences effectivement traitées par la norme, et non l’ensemble du règlement sur l’IA. Troisièmement : l’ISO/IEC 42001 ne s’y substitue pas. La norme internationale relative aux systèmes de management de l’IA est certifiable, mais ce n’est pas une norme harmonisée et elle ne crée pas de présomption de conformité. Les organisations qui exploitent déjà un système conforme à la 42001 disposent d’une bonne base, mais doivent mettre leurs processus en correspondance avec l’EN 18286. Nemko Digital sur l’EN 18286

D’autres normes harmonisées sur la gestion des risques, la qualité des données, la transparence, le contrôle humain et la cybersécurité sont en préparation, mais pas encore citées. L’EN 18286 est à ce jour la seule référence liée au règlement sur l’IA publiée au Journal officiel. Pour savoir comment classer vos cas d’usage de l’IA au regard du règlement, lisez Règlement européen sur l’IA : classez vos cas d’usage et planifiez les preuves.

IEEE 2863-2026 – La gouvernance organisationnelle de l’IA

L’IEEE 2863-2026 se place un niveau au-dessus : elle s’intéresse à la manière dont une organisation dans son ensemble gouverne l’IA de façon responsable. La IEEE Recommended Practice for Organizational Governance of Artificial Intelligence a été publiée par l’IEEE Standards Association le 16 octobre 2026 – après plus de six ans de travaux (lancement du projet en février 2020, approbation par le conseil en juin 2026). Page de la norme sur le site de l’IEEE SA

La norme s’adresse à l’organe de gouvernance de l’organisation – la direction générale, le conseil d’administration ou le conseil de surveillance – et s’articule autour de trois volets :

1. Des principes de gouvernance que l’organe doit prioriser
2. Des processus qui mettent ces principes en pratique
3. Des études de cas portant sur des applications concrètes de l’IA, qui montrent comment les processus mettent en œuvre les principes – y compris comment résoudre les conflits entre principes

Les thèmes clés cités par l’IEEE vont de la redevabilité, de la transparence, de l’explicabilité et du contrôle humain à la protection de la vie privée, à la sécurité et à la non-discrimination, jusqu’à la durabilité et au bien-être. Côté processus, ils comprennent l’audit, le red teaming, la réponse aux incidents, la supervision du cycle de vie, la gestion de la chaîne de valeur, le développement des compétences et l’implication des parties prenantes.

En tant que Recommended Practice, l’IEEE 2863 formule des recommandations, et non des exigences certifiables. Sa valeur tient au pont qu’elle jette entre des principes éthiques abstraits et des processus de décision concrets au niveau de la direction. Elle décrit également la manière dont les organisations composent avec les instruments de gouvernance externes : la réglementation, les normes professionnelles, les codes de conduite et les attentes du public envers une IA responsable.

Comment les trois normes s’articulent

Les trois normes traitent trois niveaux qui, en pratique, se recoupent :

L’ISO/IEC 42001 constitue un socle commun naturel. Le système de management de l’IA fournit la structure dans laquelle peuvent s’insérer les principes de gouvernance (IEEE 2863), les exigences réglementaires du système de management de la qualité (EN 18286) et les mesures de sécurité (ISO/IEC 27090). L’EN 18286 est structurellement alignée sur l’ISO/IEC 42001 sans la remplacer ; l’ISO/IEC 27090 renvoie à la 42001 comme cadre de management ; l’IEEE 2863 décrit le niveau de gouvernance situé au-dessus. Traiter les trois normes séparément, c’est construire trois fois les mêmes processus – les traiter comme les couches d’un même système, c’est économiser des efforts et éviter les contradictions.

Ce que les organisations doivent faire dès maintenant

Les priorités dépendent de votre rôle dans la chaîne de valeur de l’IA :

• Fournisseurs d’IA à haut risque dans l’UE : procurez-vous l’EN 18286 et réalisez une analyse d’écarts par rapport à votre système de management de la qualité existant. Si vous travaillez déjà selon l’ISO 9001, l’ISO 13485 ou l’ISO/IEC 42001, vous pouvez intégrer les éléments du règlement sur l’IA, mais vous devez documenter la correspondance.
• Équipes sécurité : inventoriez les systèmes d’IA – y compris ceux fournis par des tiers. Clarifiez l’origine des données et des modèles, étendez la modélisation des menaces aux attaques propres à l’IA et vérifiez comment un comportement suspect d’un modèle serait détecté et traité. L’ISO/IEC 27090 fournit la liste de contrôle.
• Direction générale et conseils de surveillance : utilisez l’IEEE 2863 comme cadre d’un mandat de gouvernance de l’IA – fixez des principes, attribuez les responsabilités, définissez les circuits de reporting et tranchez explicitement les arbitrages.
• Tous : surveillez la publication de nouvelles normes harmonisées. L’EN 18286 n’est qu’un début ; des normes sur la gestion des risques, la cybersécurité et la journalisation suivront.

L’ISO/IEC 27090 et l’EN 18286 sont payantes – l’ISO/IEC 27090 via l’ISO Store, l’EN 18286 via les organismes nationaux de normalisation (en Allemagne, DIN Media). L’IEEE 2863 est accessible gratuitement via l’IEEE GET Program, ou peut être achetée ou consultée par abonnement via l’IEEE SA.

Conclusion

Octobre 2026 marque le passage de la gouvernance de l’IA des principes aux normes auditables. L’ISO/IEC 27090 rend la sécurité de l’IA concrète, l’EN 18286 donne au règlement européen sur l’IA sa première norme harmonisée assortie d’une présomption de conformité, et l’IEEE 2863 ancre la gouvernance de l’IA au niveau de la direction. Qui connaît les trois peut traiter la sécurité, la conformité et la redevabilité comme un seul système – plutôt que comme trois projets distincts.

Sources

• ISO/IEC 27090:2026 – fiche catalogue et ISO/IEC 27090 explained (ISO)
• Décision d’exécution (UE) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16 octobre 2026)
• IEEE 2863-2026 – page de la norme (IEEE SA)