ISO 42001 : définition
L'ISO/IEC 42001:2023 est la première norme internationale de système de management de l'intelligence artificielle. Elle est publiée par l'ISO et la CEI, comme le présente la page officielle de l'ISO. Elle précise les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de l'IA, souvent abrégé SMIA, ou AIMS en anglais.
Elle s'adresse aux organisations qui développent, fournissent ou utilisent des systèmes d'IA, quels que soient leur taille et leur secteur. Une PME industrielle qui utilise un outil d'IA tiers est donc concernée au même titre qu'un éditeur de logiciels.
À quoi sert la norme ?
L'objectif est de rendre l'usage de l'IA maîtrisé, traçable et responsable. Concrètement, le système de management aide à :
- définir une politique d'IA et des rôles clairs
- identifier les risques et les impacts d'un système d'IA sur les personnes et sur l'organisation
- encadrer les données, les fournisseurs et le cycle de vie des systèmes
- surveiller les performances et traiter les écarts
- améliorer le dispositif de façon continue
Structure de la norme
L'ISO 42001 suit la structure commune des normes de systèmes de management (clauses 4 à 10), la même que les ISO 9001, 14001 ou 45001 :
- contexte de l'organisation
- leadership
- planification (risques, objectifs, évaluation d'impact)
- support (ressources, compétences, documentation)
- réalisation des activités opérationnelles
- évaluation des performances (audit interne, revue de direction)
- amélioration
Cette parenté facilite l'intégration dans un système de management existant, point développé dans notre article sur l'intégration de l'ISO 42001 au système de management QHSE.
L'annexe A : les mesures de maîtrise
La norme comporte une annexe A qui liste des mesures de maîtrise répartis en grands domaines : politiques liées à l'IA, organisation interne, ressources, évaluation d'impact, cycle de vie du système, données, information des parties intéressées, usage et relations avec les tiers. L'organisation choisit celles qui répondent à ses risques et justifie ses choix. Le texte détaillé de ces mesures figure dans la norme, disponible auprès de l'ISO ou de l'AFNOR.
Certification : à quoi s'attendre ?
La certification est volontaire. Elle est délivrée par un organisme accrédité après un audit en plusieurs étapes, puis suivie d'audits de surveillance. AFNOR Certification présente son offre de certification ISO 42001 et le déroulement attendu. Les organisations qui n'ont pas besoin d'un certificat peuvent aussi s'appuyer sur la norme comme référentiel interne.
ISO 42001 et AI Act : un point de vigilance
Le règlement européen sur l'IA (AI Act) impose des obligations légales selon le niveau de risque des systèmes. L'ISO 42001 est une norme volontaire. À ce jour, elle n'est pas une norme harmonisée au titre de l'AI Act : la suivre ne vaut donc pas présomption de conformité. Elle fournit en revanche une base de gouvernance utile pour s'y préparer. Le détail se trouve dans notre article ISO 42001 et AI Act. Pour les obligations du règlement lui-même, consultez notre guide sur les obligations de l'AI Act pour les entreprises utilisatrices.
Par où commencer ?
Trois premières actions concrètes, accessibles sans projet de certification :
- Inventorier les outils d'IA utilisés dans l'entreprise, y compris ceux adoptés par les équipes sans validation formelle.
- Classer chaque usage selon son impact (données personnelles, décisions concernant des personnes, sécurité).
- Désigner un responsable et fixer une règle d'usage simple.
Pour aller plus loin sur les enjeux de données personnelles dans les usages d'IA en prévention, téléchargez le livre blanc IA, prévention, sécurité QHSE et RGPD.
