L'essentiel en bref
- L'AICPA a publié fin octobre 2026 un projet de nouveaux SOC 2 Trust Services Criteria. Les commentaires sont ouverts jusqu'au 15 janvier 2027 ; s'il est approuvé, le projet s'appliquera aux missions débutant le 31 décembre 2027 ou après.
- Pour les missions qui débutent en 2027, ce sont en règle générale toujours les Trust Services Criteria de 2017, avec les points of focus révisés en 2022, qui s'appliquent. Un passage anticipé n'est possible qu'après l'approbation définitive et en accord avec votre cabinet d'audit.
- Les cinq catégories (security, availability, processing integrity, confidentiality et privacy) sont maintenues. En dessous, des critères sont fusionnés, supprimés, ajoutés et reformulés ; les matrices de contrôles rattachées à des numéros comme CC6.1 devront donc être remappées.
- De nouveaux points of focus couvrent sept thèmes liés à l'IA : gouvernance de l'IA, surveillance des modèles, manipulation de prompt, empoisonnement des données, transparence des contenus générés par l'IA, gestion des données d'entraînement et risques des décisions automatisées.
- Si vous traitez déjà les risques liés à l'IA selon ISO 42001, ISO 27090 ou l'AI Act, vous pouvez réutiliser ce travail pour SOC 2. Le résultat reste un rapport SOC 2 émis par un cabinet CPA, et non une certification.
Les SOC 2 Trust Services Criteria sont le référentiel au regard duquel un cabinet CPA évalue vos contrôles lors d'un examen SOC 2. Les critères eux-mêmes n'ont pas changé depuis 2017 ; en 2022, l'AICPA n'a révisé que les points of focus explicatifs. Le projet pour 2027 est la première révision de fond des critères depuis 2017 et il est désormais soumis à commentaires.
Pour une entreprise qui exploite un SMSI conforme à ISO 27001 et qui a besoin d'un rapport SOC 2 parce que ses clients américains l'exigent, la vraie question n'est pas ce qui change aux États-Unis. C'est de savoir quels contrôles, quelles preuves et quelles mesures liées à l'IA restent valables. Notre présentation de SOC 2 comme référentiel explique ce que SOC 2 examine et comment un rapport est structuré.
Ce que l'AICPA prévoit pour 2027 : calendrier et objectifs
Le projet émane de l'Assurance Services Executive Committee (ASEC) de l'AICPA ; son SOC 2 Working Group recueille les commentaires jusqu'au 15 janvier 2027. Il a été publié fin octobre 2026 : la page de téléchargement de l'AICPA est datée du 26 octobre, le communiqué de presse de l'AICPA du 28 octobre 2026.
L'AICPA fixe deux objectifs. Les rapports SOC 2 doivent devenir plus clairs et plus utiles pour leurs lecteurs. Les critères doivent aussi rester pertinents à mesure que l'IA, l'automatisation et d'autres technologies émergentes modifient les risques liés aux prestataires.
| Étape | Date | État au 29 octobre 2026 |
|---|---|---|
| Publication du projet | Fin octobre 2026 (communiqué du 28 octobre 2026) | Effectuée |
| Clôture des commentaires | 15 janvier 2027 | Annoncée |
| Version définitive | 2027, date exacte non communiquée | Dépend de l'approbation après les commentaires |
| Applicable aux | Missions débutant le 31 décembre 2027 ou après | Sous réserve d'approbation ; application anticipée autorisée |
Une idée reçue répandue : les nouveaux critères s'appliqueraient déjà à l'examen SOC 2 de 2027. Pour les missions qui débutent en 2027, ce sont en règle générale toujours les Trust Services Criteria de 2017, dans leur version avec les points of focus révisés en 2022, qui s'appliquent. Vous ne pourrez basculer plus tôt qu'une fois la version définitive publiée, et en convenant d'une application anticipée avec votre cabinet d'audit.
C'est surtout important pour les rapports de type 2. L'AICPA rattache l'entrée en vigueur au début de la mission, et non à la fin de la période couverte. Clarifiez donc tôt avec votre cabinet d'audit comment il traitera une période qui s'étend au-delà du 31 décembre 2027.
Outre les Trust Services Criteria, la page de téléchargement de l'AICPA annonce aussi un projet de Description Criteria, sur la base desquels la direction rédige la description du système dans le rapport SOC 2. Au 29 octobre 2026, la page ne propose toutefois que deux fichiers, tous deux consacrés aux Trust Services Criteria : une version propre et une version avec les modifications apparentes.
Ce qui change dans les SOC 2 Trust Services Criteria
Les cinq catégories sont maintenues : security, availability, processing integrity, confidentiality et privacy. Aujourd'hui, security est la seule catégorie obligatoire et ses common criteria s'appliquent à tout examen SOC 2. Les critères de 2017 les regroupent en 33 critères répartis en neuf séries, de CC1 (environnement de contrôle) à CC9 (atténuation des risques).
C'est la structure en dessous qui change. Selon l'AICPA, le projet prévoit quatre types d'interventions : regrouper les notions redondantes, supprimer les critères devenus superflus, ajouter des critères là où il faut plus de clarté ou d'accent, et reformuler les critères existants pour qu'ils soient concis et compris de la même manière. L'AICPA met les critères à disposition sous forme de projet à télécharger après inscription gratuite.
| Aspect | Trust Services Criteria 2017 (en vigueur) | Projet 2027 |
|---|---|---|
| Intitulé officiel | 2017 Trust Services Criteria, avec les points of focus révisés en 2022 | Proposed 2027 SOC 2 Trust Services Criteria |
| Statut | Appliqués | Projet, commentaires jusqu'au 15 janvier 2027 |
| Champ d'application | Missions jusqu'à leur remplacement | Missions débutant le 31 décembre 2027 ou après, application anticipée autorisée |
| Catégories | Security, availability, processing integrity, confidentiality, privacy | Les mêmes cinq catégories |
| Common criteria | 33 critères en neuf séries, CC1 à CC9 | Fusionnés, en partie supprimés, en partie ajoutés, reformulés de façon homogène ; l'annonce de l'AICPA ne donne pas de nouveau total |
| IA | Les points of focus de 2022 traitent des technologies et menaces émergentes en général | Nouveaux points of focus sur sept thèmes IA nommés explicitement |
Pour votre matrice de contrôles, cela signifie que la numérotation ne restera pas stable. Lorsque des critères sont fusionnés, supprimés et ajoutés, un contrôle rattaché aujourd'hui à CC6.1 peut passer sous un autre numéro ; le numéro CC6.1 peut lui-même désigner une autre exigence. Si vous avez rattaché vos contrôles un à un à des numéros de critères, il faudra les remapper.
L'erreur que commettent beaucoup d'équipes en ce moment : reconstruire immédiatement la matrice de contrôles sur la base du projet. Le texte peut encore évoluer après les commentaires et votre prochain examen s'appuiera de toute façon sur les critères de 2017. Mieux vaut ajouter une colonne de correspondance, à remplir une fois la version définitive publiée. Notre mise en correspondance d'ISO 27001, du RGPD et de SOC 2 montre comment l'annexe A d'ISO 27001 se rattache aujourd'hui aux common criteria ; elle suit la numérotation de 2017.
L'IA dans SOC 2 : ce que signifient les nouveaux points of focus
L'IA entre dans l'examen SOC 2 par de nouveaux points of focus. L'AICPA cite en exemple la gouvernance de l'IA, la surveillance des modèles, la manipulation de prompt, l'empoisonnement des données (data poisoning), la transparence des contenus générés par l'IA, la gestion des données d'entraînement et les risques des décisions automatisées. Dans son annonce, l'AICPA ne mentionne l'IA explicitement qu'en lien avec ces points of focus.
Les points of focus décrivent ce qui compte pour un critère. Ils ne constituent pas une liste obligatoire : les critères de 2017 précisent qu'il n'est pas nécessaire d'évaluer chaque point of focus individuellement. Il n'en découle pas pour autant, contrairement à ce que concluent beaucoup d'équipes, que l'IA ne joue aucun rôle dans l'examen SOC 2. Les points of focus orientent les questions des auditeurs. Si un système inclus dans le périmètre contient des composants d'IA, le cabinet CPA demandera comment les critères concernés sont respectés pour ces composants.
La manipulation de prompt et l'empoisonnement des données ne sont pas des sujets nouveaux pour un SMSI. Notre article sur l'injection de prompt dans un SMSI ISO 27001 montre comment l'évaluer dans le registre des risques et quelles mesures de l'annexe A s'appliquent. Le tableau suivant rattache les sept thèmes aux référentiels dans lesquels vous les traitez probablement déjà. Les questions d'auditeur relèvent de notre appréciation, pas d'une formulation de l'AICPA.
| Thème IA du projet | Question probable de l'auditeur (notre appréciation) | Où vous le traitez probablement déjà |
|---|---|---|
| Gouvernance de l'IA | Qui décide des nouveaux usages de l'IA, et existe-t-il une politique IA avec des rôles clairs ? | ISO 42001, annexe A.2 et A.3 ; AI Act art. 4 (maîtrise de l'IA) |
| Surveillance des modèles | Comment détectez-vous que les sorties d'un modèle se dégradent ou deviennent anormales ? | ISO 42001, annexe A.6 ; ISO 27001 A.8.16 (surveillance des activités) |
| Manipulation de prompt | Quelles entrées le système traite-t-il sans que vous les contrôliez, et que peut-il faire du résultat ? | ISO 27090, article 6 ; ISO 27001 A.8.26 et A.8.28 |
| Empoisonnement des données | Qui peut modifier les données d'entraînement ou d'ajustement, et comment est-ce contrôlé ? | ISO 27090, article 6 ; ISO 27001 A.5.21 et A.8.25 |
| Transparence des contenus générés par l'IA | Les utilisateurs savent-ils qu'une réponse ou un contenu provient d'une IA ? | AI Act art. 50 (depuis le 2 août 2026) ; ISO 42001, annexe A.8 |
| Gestion des données d'entraînement | D'où viennent les données d'entraînement, qui répond de leur qualité et combien de temps sont-elles conservées ? | ISO 42001, annexe A.7 ; RGPD art. 6 pour les données personnelles |
| Décisions automatisées | Quelles décisions le système prend-il sans intervention humaine, et comment sont-elles revues ? | RGPD art. 22 ; ISO 42001, annexe A.5 (analyse d'impact) ; AI Act art. 26 pour les déployeurs d'IA à haut risque à partir du 2 décembre 2027 |
Ce recoupement est le véritable levier pour les entreprises européennes. Si vous exploitez un système de management de l'IA selon ISO 42001, vous avez déjà documenté votre politique IA, les rôles, les analyses d'impact et les mesures relatives aux données. Si vous avez intégré les menaces d'ISO 27090 à votre registre des risques, vous pouvez justifier la manipulation de prompt et l'empoisonnement des données par des évaluations de risques existantes.
Notre présentation de la norme de sécurité de l'IA ISO 27090 rattache ses neuf types d'attaques à l'annexe A. ISO 27090 est un guide sans certification : elle fournit des menaces et des contre-mesures, pas un audit qui lui serait propre.
L'AI Act encadre deux des sept thèmes par la loi : la transparence des contenus générés par l'IA au titre de l'article 50 et, à partir du 2 décembre 2027, les obligations des déployeurs d'IA à haut risque au titre de l'article 26. Vous devez vous y conformer indépendamment de SOC 2. Notre comparaison entre ISO 42001 et l'AI Act explique où s'arrête la loi, où commence la norme et quand une certification se justifie.
Ce que les entreprises certifiées ISO 27001 devraient faire maintenant
Vous n'avez rien à reconstruire pour l'instant. Trois actions sont toutefois utiles quelle que soit la version définitive : décrire les contrôles par leur résultat, tenir la correspondance avec les numéros de critères dans une couche distincte et inventorier vos composants d'IA.
La première est la plus importante. Décrivez chaque contrôle de façon qu'il se comprenne sans numéro : « Les droits d'accès aux systèmes de production sont revus chaque trimestre par le responsable de chaque équipe ; les écarts sont corrigés sous cinq jours ouvrés. » Tenez la correspondance avec l'annexe A d'ISO 27001 et avec les common criteria à part. Si les numéros changent, vous ne modifiez que cette correspondance, ni le contrôle ni les preuves.
Notre article sur l'annexe A d'ISO 27001 explique comment sélectionner les 93 mesures et justifier ce choix dans la déclaration d'applicabilité. Le reste dépend de votre situation de départ.
| Votre situation | Ce qui a du sens maintenant |
|---|---|
| Premier rapport SOC 2 en 2027 | Planifier sur la base des critères de 2017 sans attendre la nouvelle version. Décrire les contrôles par leur résultat pour que le remappage ultérieur reste limité. |
| Renouvellement annuel d'un rapport de type 2 | Demander à votre cabinet d'audit quels critères s'appliquent à la prochaine mission et comment il traite une période qui dépasse le 31 décembre 2027. Remplir la colonne de correspondance une fois la version définitive publiée. |
| Fonction d'IA dans le produit | Inventorier les composants d'IA : modèle, fournisseur, données traitées, responsables. Relier les évaluations de risques existantes selon ISO 42001 ou ISO 27090 au lieu d'en rédiger de nouvelles. |
| Agents de code dans le développement | Traiter les agents disposant de droits d'écriture comme des comptes à privilèges (ISO 27001 A.8.2) et faire passer leurs modifications par la gestion des changements existante (A.8.32). Selon notre appréciation, c'est ici que les points of focus IA rejoignent les critères de gestion des changements. |
| Nombreux fournisseurs cloud et IA | Étendre l'évaluation des fournisseurs selon ISO 27001 A.5.19 à A.5.23 aux fournisseurs de modèles : utilisation de vos données pour l'entraînement, durée de conservation, annonce des changements de modèle. Dans les critères de 2017, le risque fournisseur relève de CC9.2. |
Si vous vous demandez encore si un premier rapport en vaut la peine, notre article sur les avantages d'un rapport SOC 2 pour les entreprises technologiques en croissance présente les arguments commerciaux.
Exemple : un renouvellement de type 2 à cheval sur 2027 et 2028
Une entreprise SaaS fictive de Lyon, 140 salariés, est certifiée ISO 27001 depuis 2024 et remet chaque année à ses clients américains un rapport SOC 2 de type 2. Sa période couverte va du 1er octobre au 30 septembre. Les chiffres sont donnés à titre d'illustration.
La prochaine période, d'octobre 2027 à septembre 2028, dépasse le 31 décembre 2027. L'application des anciens ou des nouveaux critères dépend de la date à laquelle la mission est réputée commencer, et non de la fin de la période. L'entreprise clarifie ce point avec son cabinet d'audit à l'automne 2027, avant de signer la lettre de mission.
Sa matrice compte environ 120 contrôles, chacun décrit par son résultat et rattaché séparément à l'annexe A et aux common criteria. Si les nouveaux critères s'appliquent, l'équipe ne modifie que la colonne de correspondance. Les preuves issues de l'exploitation courante, comme les revues d'accès et les tickets de changement, restent les mêmes. L'entreprise utilise aussi un assistant de support fondé sur un modèle de langage hébergé ; son évaluation des risques provient du SMSI et sert à nouveau pour les points of focus IA.
Comment Kertos rattache ISO 27001 et SOC 2 à un seul jeu de contrôles
Avec Kertos, vous gérez chaque contrôle une seule fois et le rattachez à tous les référentiels pour lesquels vous devez apporter des preuves, par exemple ISO 27001, SOC 2, ISO 42001 et le RGPD. Si vous êtes déjà certifié ISO 27001, SOC 2 s'appuie ainsi sur vos contrôles et vos preuves existants au lieu de lancer un second programme. La correspondance avec l'annexe A et les common criteria forme une couche distincte au-dessus du même contrôle et des mêmes preuves. Si l'AICPA modifie la numérotation, seule cette couche change, pas la description de vos contrôles.
La plateforme collecte les preuves automatiquement via plus de 100 intégrations, de sorte qu'un rapport de type 2 repose sur un historique continu plutôt que sur des instantanés. Vous inventoriez vos systèmes d'IA sur la même plateforme ; leurs risques, y compris les menaces décrites par ISO 27090, figurent dans le même registre que vos autres risques de sécurité de l'information.
Le rapport SOC 2 lui-même est émis par un cabinet CPA indépendant. Les experts certifiés de Kertos vous préparent à cet examen et vous aident à déterminer quels composants d'IA entrent dans le périmètre et comment les justifier. Pour voir comment votre SMSI ISO 27001 couvre aussi SOC 2, réservez une démo.
Questions fréquentes
Existe-t-il une certification SOC 2 ?
Non. Un examen SOC 2 aboutit à un rapport émis par un cabinet CPA agréé et indépendant selon les normes d'attestation de l'AICPA : de type 1 à une date donnée ou de type 2 sur une période. Il n'existe pas de certificat à durée de validité fixe comme pour ISO 27001 ; c'est pourquoi les clients demandent en général le rapport le plus récent.
Quand les nouveaux critères SOC 2 s'appliquent-ils ?
Si l'AICPA approuve le projet, les SOC 2 Trust Services Criteria 2027 s'appliqueront aux missions débutant le 31 décembre 2027 ou après, avec application anticipée autorisée. L'AICPA recueille les commentaires jusqu'au 15 janvier 2027. Elle n'a pas annoncé de date pour la version définitive.
Dois-je adapter mon programme SOC 2 dès maintenant ?
Non. Les missions qui débutent en 2027 reposeront en règle générale toujours sur les critères de 2017 et le projet peut encore évoluer après les commentaires. Ce qui a du sens maintenant : décrire les contrôles par leur résultat, tenir la correspondance avec les numéros de critères dans une couche distincte et inventorier vos composants d'IA.
Quelle est la différence entre SOC 2 et ISO 27001 ?
ISO 27001 est une norme internationale pour un système de management de la sécurité de l'information (SMSI) qui débouche sur une certification délivrée par un organisme de certification accrédité, valable trois ans avec des audits de surveillance annuels. SOC 2 est un référentiel d'attestation américain de l'AICPA qui débouche sur un rapport d'un cabinet CPA portant sur les contrôles liés aux catégories des Trust Services Criteria retenues. De nombreux contrôles se recoupent ; un jeu de contrôles commun peut donc couvrir les deux.
SOC 2 contient-il des exigences liées à l'IA ?
Le projet 2027 ajoute des points of focus sur la gouvernance de l'IA, la surveillance des modèles, la manipulation de prompt, l'empoisonnement des données, la transparence des contenus générés par l'IA, la gestion des données d'entraînement et les risques des décisions automatisées. Les points of focus n'imposent aucun contrôle précis, mais ils orientent les questions des auditeurs. Si vous traitez déjà les risques liés à l'IA selon ISO 42001, ISO 27090 ou l'AI Act, vous pouvez vous appuyer sur ces mesures comme preuves.
