ISO 42001.
Organiser les responsabilités liées à l’IA, les risques et les décisions opérationnelles dans un système de management et comprendre les limites des preuves associées.
- ISO/IEC 42001:2023
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 8 min
Réponse courte.
ISO 42001 est la norme internationale d’exigences d’un système de management de l’IA, ou AIMS. ISO/IEC 42001:2023 s’adresse aux organisations qui développent, fournissent ou utilisent l’IA. Elle organise responsabilités, risques et amélioration continue. Une certification indépendante volontaire évalue le système dans son périmètre défini ; elle ne constitue pas une autorisation générale de toutes les applications d’IA.
ISO 42001 et le système de management de l’IA.
Un système de management de l’IA relie les objectifs de l’organisation à des décisions fiables sur l’utilisation de l’intelligence artificielle. L’AIMS décrit qui est responsable, quelles informations sont nécessaires à une décision et comment l’expérience conduit à des améliorations. ISO/IEC 42001:2023 est la première édition internationale, datant de décembre 2023 ; la notice publique de l’ISO la présente toujours comme publiée.
La norme examine l’organisation et sa gestion de l’IA. Cela distingue un AIMS d’un simple test de modèle, d’une autorisation de produit ou d’un examen du seul code source. Un bon résultat de test peut soutenir une décision ; il faut aussi pouvoir retracer qui assume l’utilisation, dans quelles conditions et comment les changements sont évalués.
L’explication publique de l’ISO sur ISO 42001, section 3, distingue le soutien aux obligations légales de leur respect effectif. Un système de management crée des processus à cette fin, mais ne remplace pas l’examen du cadre juridique concret. Les adoptions européennes ou nationales portant une autre année doivent aussi être distinguées de l’édition internationale de base.
À qui s’adresse ISO 42001.
ISO 42001 s’adresse aussi aux organisations qui achètent de l’IA auprès d’autres fournisseurs. Les présentations publiques de l’ISO et de l’IEC citent le développement, la fourniture et l’utilisation, quelle que soit la taille ou le secteur. Un prestataire utilisant des outils d’IA achetés peut donc établir un AIMS sans entraîner lui-même un modèle de fondation.
Le périmètre adapté découle des activités réelles. Clarifiez par exemple les services, équipes, sites et décisions à examiner et leurs dépendances aux modèles externes. Un démarrage ciblé facilite l’organisation du travail ; les interfaces et les conséquences au-delà de cette limite doivent néanmoins rester visibles.
Les clients peuvent attendre un périmètre précis de certification. Demandez tôt si la preuve doit couvrir le développement d’un service, son exploitation ou l’utilisation interne. Le seul nom de l’organisation sur un certificat n’explique pas l’activité d’IA effectivement évaluée.
Panorama des exigences d’ISO 42001.
Les exigences associent direction et objectifs au travail sur les risques liés à l’IA, aux processus opérationnels et à l’amélioration. Les six domaines suivants sont des repères éditoriaux fondés sur l’explication publique de l’ISO, et non une reproduction exhaustive de la norme ou de ses annexes.
Clarifier le mandat et les responsabilités.
La direction définit l’orientation et les responsabilités du travail sur l’IA. Pour la mise en œuvre pratique, les métiers, le développement, les achats et les fonctions de contrôle doivent comprendre quelles décisions ils peuvent prendre et quand associer d’autres acteurs. Un coordinateur central ne remplace pas la responsabilité spécialisée de chaque participant.
Réunir les objectifs et les attentes.
Le système de management doit être relié de manière traçable aux objectifs de l’organisation et aux attentes des parties concernées. Décrivez le résultat visé par l’usage choisi et les limites applicables. Les responsables pourront ensuite juger si un changement correspond encore à la finalité approuvée.
Apprécier les risques et les impacts.
Le travail sur les risques liés à l’IA considère aussi les conséquences possibles pour les personnes et les groupes. La présentation publique d’ISO/IEC 42005:2025, norme complémentaire, explicite cette perspective sur le cycle de vie. En pratique, distinguer les dommages opérationnels des effets sur les personnes concernées permet d’éviter que de bonnes performances masquent des conséquences défavorables pertinentes.
Piloter les données, les fournisseurs et le cycle de vie.
La responsabilité se poursuit après la première mise en service. Documentez les sources de données, services externes et circuits de changement pertinents pour votre usage afin que les décisions ultérieures reposent sur le bon état. Une mise à jour d’un modèle acheté peut nécessiter de nouvelles évaluations ou d’autres limites d’utilisation.
Fournir les compétences et les informations.
Les participants ont besoin d’informations adaptées à leurs tâches. Une équipe achats n’a pas besoin des mêmes éléments de décision que les personnes évaluant les sorties d’IA en exploitation. Consignez clairement les responsabilités, limites connues et circuits d’escalade, puis vérifiez que ces informations atteignent les utilisateurs réels.
Évaluer et améliorer.
Un AIMS reste solide lorsque l’expérience et les écarts identifiés conduisent à des décisions vérifiables. Examinez donc le fonctionnement et l’efficacité de vos processus. Pour chaque amélioration, le responsable, le résultat attendu et la base de l’évaluation ultérieure doivent être identifiables.
Établir un système de management de l’IA.
Délimiter les cas d’usage.
Pour commencer concrètement, recensez un service d’IA précis avec sa finalité, ses intervenants et ses dépendances importantes, au-delà d’une simple liste de modèles achetés.
Définir les pouvoirs de décision.
Désignez les responsables de l’utilisation, des changements techniques et de l’évaluation, puis convenez des décisions prises conjointement par la direction, les métiers et les fonctions de contrôle.
Examiner les risques et les conséquences.
Évaluez les effets indésirables possibles et les groupes concernés à partir du contexte réel d’utilisation, puis identifiez les informations supplémentaires manquantes pour une décision solide.
Faire fonctionner les processus et les preuves.
Appliquez les mesures adaptées et reliez approbations, tests, informations fournisseurs et observations opérationnelles au service et à la version évalués.
Évaluer en interne.
Examinez la mise en œuvre avec suffisamment de recul sur votre propre travail et consignez les écarts, décisions ouvertes et améliorations à traiter avant l’approbation suivante.
Poursuivre le fonctionnement et les preuves.
Planifiez des réévaluations régulières et, le cas échéant, une certification indépendante, tout en réagissant entre les échéances prévues aux changements de modèles, de tâches ou d’impacts.
Ce que démontre la certification ISO 42001.
Une certification ISO 42001 confirme la conformité évaluée de l’AIMS dans son périmètre indiqué. Selon l’explication publique de l’ISO, section 7, elle est volontaire et réalisée par des organismes indépendants. L’ISO élabore la norme, mais ne délivre pas elle-même de certificats.
La compétence de l’organisme évaluateur est une question distincte. Selon sa présentation publique par l’ISO, ISO/IEC 42006:2025 complète les exigences applicables aux organismes qui auditent et certifient les systèmes de management de l’IA. Lors du choix, vérifiez le domaine d’activité adapté et le statut d’accréditation, comme le recommande la page ISO sur la certification.
Une preuve présentée doit correspondre à la décision actuelle. Contrôlez le périmètre, l’organisme émetteur, le statut et les dates de validité indiquées. Les enregistrements opérationnels et évaluations techniques restent nécessaires pour juger les applications concrètes d’IA ; un certificat AIMS ne leur confère pas d’autorisation générale en matière de sécurité ou de droit.
ISO 42001 et les autres référentiels.
ISO 27001 organise la sécurité de l’information et peut fournir des processus existants pour le travail sur l’IA. Le NIST AI RMF aide à examiner les risques de l’IA dans leur contexte, tandis que l’AI Act européen fixe ses propres rôles et obligations légales. ISO 9001 offre un autre contexte de système de management pour partager des pratiques de pilotage des processus et d’amélioration ; chaque domaine conserve son objet d’évaluation propre.
- ISO 27001Situer les exigences de management de la sécurité de l’information.
- NIST AI RMFComprendre le travail volontaire sur les risques de l’IA dans son contexte d’utilisation.
- EU AI ActExaminer séparément les rôles juridiques, la classification et les obligations applicables.
- ISO 9001Situer le management de la qualité et les pratiques de management communes.
Dans Secani.
Secani contient un catalogue de travail éditorial relatif à ISO/IEC 42001:2023. Les informations de profil recensent notamment le rôle de fournisseur ou d’utilisateur, les modèles externes, les données personnelles liées à l’IA et les impacts possibles. Des décisions d’applicabilité justifiées relient le travail au contexte décrit. Le catalogue est un outil qui ne remplace ni l’accès légal à la norme, ni l’évaluation spécialisée, ni la certification indépendante.
Prochaine étape.
Choisissez un cas d’usage de l’IA et réunissez sa finalité, son responsable, ses principales dépendances et l’approbation obtenue. Vérifiez ensuite si une autre personne peut comprendre sur quelle base l’utilisation a été autorisée et quand la décision doit être réévaluée. Cela constitue un point de départ concret pour le système de management.
Questions fréquentes.
Oui. Le champ d’application général inclut aussi les organisations utilisant des produits ou services d’IA d’autres fournisseurs. Leur activité propre et le périmètre défini du système de management sont déterminants.
Non. La certification évalue le système de management de l’IA dans son périmètre. La sécurité et l’adéquation des applications concrètes nécessitent toujours des évaluations techniques et spécialisées adaptées.
Non. L’AIMS peut aider à organiser les preuves, mais ne remplace pas l’examen juridique des rôles et de l’applicabilité. Les procédures d’évaluation imposées par la loi restent à respecter séparément.
Non. La certification est une décision volontaire et distincte. Une organisation peut établir et améliorer ses responsabilités et processus opérationnels liés à l’IA avant une évaluation externe.
Organiser les responsabilités liées à l’IA de manière traçable.
Discutons avec Secani de la manière de réunir contexte, décisions et preuves.
Cette page présente la norme de manière générale. Sa version actuelle et les exigences du cadre juridique et d’évaluation concerné font foi.