ISO 27090 et ISO 42001 : les différences expliquées
Jonathan BezdekCTO
5 Min. de lecture
L’ISO 27090 guide le travail de sécurité de l’IA. L’ISO 42001 fixe les exigences d’un système de management de l’intelligence artificielle (AIMS). Les organisations peuvent les utiliser ensemble pour relier les pratiques de sécurité à une gouvernance de l’IA plus large. Sources : fiche de publication de l’ISO 27090, fiche de publication de l’ISO 42001.
ISO 27090 et ISO 42001 en un coup d’œil
| Comparaison | ISO 27090 | ISO 42001 |
|---|---|---|
| Finalité principale | Protéger les systèmes d’IA contre les menaces de sécurité | Organiser le développement et l’utilisation responsables de l’IA |
| Type de norme | Lignes directrices de sécurité | Exigences relatives à un système de management de l’IA |
| Question pratique | Comment ce système d’IA pourrait-il être compromis ? | Comment gouverner l’IA de manière cohérente dans toute l’organisation ? |
| Objet principal | Menaces visant les données, les modèles et les flux de travail de l’IA | Politiques, responsabilités, risques, objectifs et amélioration en matière d’IA |
| Exemples de préoccupations | Empoisonnement des données, vol de modèles et attaques associées | Sécurité, sûreté, transparence, biais et autres risques liés à l’IA |
| Certification | Lignes directrices ; ne prévoit pas de voie de certification d’un AIMS | Certification volontaire de l’AIMS de l’organisation |
| Qui peut l’utiliser | Organisations qui développent ou utilisent l’IA | Organisations qui développent, fournissent ou utilisent l’IA |
| Édition en vigueur | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Première publication | 14 octobre 2026 | 18 décembre 2023 |
Sources : fiche de publication de l’ISO 27090, fiche de publication de l’ISO 42001 et explication de l’ISO 42001 par l’ISO.
Leurs périmètres se recoupent. L’ISO 42001 inclut la sécurité de l’IA parmi des préoccupations organisationnelles plus larges. L’ISO 27090 traite aussi de la gouvernance dans le contexte de la sécurité de l’IA. Leurs finalités différentes expliquent comment elles peuvent se compléter. Sources : explication de l’ISO 42001 par l’ISO, explication de l’ISO 27090 par l’ISO.
Certification ISO 27090 et ISO 42001
La certification ISO 42001 évalue si le système de management de l’IA d’une organisation répond aux exigences de la norme. Ce sont des organismes de certification indépendants qui certifient ; l’ISO elle-même ne certifie pas les organisations. Les applications d’IA prises individuellement nécessitent toujours une évaluation de sécurité. Source : explication de l’ISO 42001 par l’ISO.
Lorsque vous commandez un travail fondé sur l’ISO 27090, définissez la revue de sécurité dont vous avez besoin : quels systèmes, quels scénarios d’attaque et quelles preuves étaieront les constats. L’évaluation dispose ainsi d’un périmètre concret et d’un résultat exploitable.
Quelle norme utiliser
Choisissez en fonction du problème que vous devez résoudre. Ce tableau sert de guide de décision pratique.
| Votre situation | Où porter l’effort | Prochaine étape recommandée |
|---|---|---|
| L’utilisation de l’IA n’a ni responsables ni règles clairs | ISO 42001 | Établir les responsabilités, une politique et un processus de revue |
| Un modèle ou une application est exposé à des risques d’attaque précis | ISO 27090 | Analyser les scénarios d’attaque et choisir les mesures de protection à tester |
| Un client demande une certification du système de management de l’IA | ISO 42001 | Définir le périmètre de certification et évaluer le niveau de préparation |
| La gouvernance de l’IA existe, mais les preuves de sécurité sont insuffisantes | Ajouter les lignes directrices de l’ISO 27090 | Relier les risques de sécurité aux mesures et aux résultats de tests |
| Vous lancez un service d’IA et construisez votre gouvernance | Utiliser les deux ensemble | Coordonner les responsabilités de management et le travail de sécurité dans un seul programme |
Un problème urgent de sécurité applicative mérite une attention immédiate. Un programme de gouvernance plus large peut se développer en parallèle du travail nécessaire pour traiter cette exposition.
Comment utiliser l’ISO 27090 et l’ISO 42001 ensemble
Par exemple, une entreprise qui met en place un assistant d’assistance client fondé sur l’IA pourrait coordonner son travail comme suit. Il s’agit de choix de mise en œuvre donnés à titre d’illustration.
| Activité | Comment l’ISO 42001 peut structurer le travail | Comment l’ISO 27090 peut éclairer le travail de sécurité |
|---|---|---|
| Planifier le service | Désigner un responsable et convenir de sa finalité | Identifier les actifs sensibles et les chemins d’attaque |
| Examiner les fournisseurs | Consigner les responsabilités et les critères de revue | Examiner l’exposition liée aux modèles, aux données et aux dépendances |
| Approuver la mise en production | Consigner les décisions sur les risques et la personne qui approuve | Tester les attaques pertinentes et les protections de l’application |
| Gérer les changements | Examiner les résultats et décider des améliorations | Réévaluer la sécurité lorsque les modèles, les données ou les intégrations changent |
Tenez un seul enregistrement par système d’IA, avec des liens vers ses responsables, ses risques, ses mesures, ses tests et ses décisions. Réutilisez les preuves lorsqu’elles sont pertinentes et indiquez quels critères d’évaluation elles étayent.
Par exemple, un test de sécurité peut montrer si une action restreinte a été bloquée. L’enregistrement de revue associé peut montrer qui a évalué ce résultat et décidé si le système était prêt pour la mise en production. Les deux enregistrements sont utiles et répondent à des questions différentes.
Pour savoir comment l’ISO 42001 s’articule avec le NIST AI RMF et l’AI Act de l’UE, consultez ISO 42001, NIST AI RMF et AI Act : articuler les rôles.
Questions fréquentes
L’ISO 27090 remplace-t-elle l’ISO 42001 ?
Non. Elles ont des finalités différentes : des lignes directrices de sécurité de l’IA d’un côté, des exigences relatives à un système de management de l’IA de l’autre.
Les organisations qui utilisent une IA de tiers peuvent-elles les appliquer ?
Oui. Les deux normes s’adressent aux organisations qui utilisent l’IA.
La certification ISO 42001 prouve-t-elle que chaque application d’IA est sécurisée ?
Non. Elle évalue l’AIMS. La sécurité des applications doit toujours être évaluée.
Sources : explication de l’ISO 27090 par l’ISO et explication de l’ISO 42001 par l’ISO.
Relier la gouvernance de l’IA aux preuves de sécurité
Partez du résultat dont vous avez besoin : des responsabilités plus claires en matière d’IA, une meilleure sécurité des applications, ou les deux. Confiez le travail à un responsable et décidez quelles preuves démontreront les progrès.
Secani relie exigences, risques, mesures, preuves, responsables et décisions de revue dans un seul espace de travail. Parlez à Secani pour organiser votre travail de gouvernance et de sécurité de l’IA.
Créez des workflows de conformité auditables
Secani réunit Scopes, preuves, tâches et agents d’IA dans un espace de travail partagé.
Articles similaires
Tous les articlesGouvernance de l’IA
ISO 27090 expliquée aux équipes de sécurité de l’IA
Un guide pratique de la nouvelle norme de cybersécurité pour l’IA, des attaques qu’elle traite et des preuves que les équipes de sécurité peuvent exploiter.
Gouvernance de l’IA
ISO 42001, NIST AI RMF et AI Act : articuler les rôles
Utilisez les systèmes de management de l’IA et les cadres de gestion des risques pour structurer la gouvernance, tout en évaluant séparément les exigences juridiques de l’AI Act.
Gouvernance de l’IA
Règlement européen sur l’IA : classez vos cas d’usage et planifiez les preuves
Une approche actuelle, fondée sur les rôles, de la préparation au règlement sur l’IA, intégrant le calendrier mis à jour par la Commission, l’évaluation du haut risque et une gouvernance responsable.