L'essentiel en bref
- L'ISO/IEC 27090:2026 a été publiée le 14 octobre 2026 par l'ISO/IEC JTC 1/SC 27. En 56 pages, elle fournit des lignes directrices pour comprendre, détecter et atténuer les menaces de sécurité propres aux systèmes d'IA tout au long de leur cycle de vie.
- L'ISO 27090 est un guide et non une norme de système de management. Il n'existe pas de certification ISO 27090 ; son intérêt est d'alimenter l'appréciation des risques de votre SMSI ISO 27001 et votre système de management de l'IA selon l'ISO 42001.
- L'article 6 de la norme décrit neuf types de compromission : data poisoning, évasion, inférence d'appartenance, exfiltration de modèle, inversion de modèle, empoisonnement direct du modèle, sorties sensibles du modèle, injection de prompt et sorties contenant des attaques par injection.
- Un certificat ISO 42001 montre que l'IA est gouvernée ; il ne dit rien de la capacité d'un système d'IA à résister à ces neuf attaques. L'article 6.1.3 de l'ISO 27001 autorise des mesures issues de n'importe quelle source, ce qui permet de citer l'ISO 27090 directement dans votre déclaration d'applicabilité.
- Selon l'article 15 de l'AI Act, les systèmes d'IA à haut risque doivent résister à des attaques comme l'empoisonnement des données, l'empoisonnement de modèles et les exemples adverses. Ces obligations s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour ceux de l'annexe I.
Si votre entreprise est certifiée ISO 27001 et a lancé une fonctionnalité d'IA ces deux dernières années, l'ISO 27090 répond à une question que vos auditeurs et vos clients vont poser de plus en plus souvent : votre système de management de la sécurité de l'information couvre-t-il réellement l'IA ? Pour la plupart des entreprises, la réponse est « en partie ». Le contrôle d'accès, la gestion des fournisseurs et le développement sécurisé s'appliquent aussi à un système d'IA. Ce qui manque généralement au registre des risques, ce sont les attaques qui visent le modèle lui-même plutôt que l'infrastructure qui l'entoure.
Cet article explique ce que contient l'ISO/IEC 27090, comment elle s'articule avec l'ISO 27001, l'ISO 42001 et l'AI Act, et comment intégrer ses menaces dans un SMSI existant sans lancer un nouveau programme de conformité. Pour les fondamentaux de la norme sur laquelle repose votre SMSI, consultez notre guide de la certification ISO 27001.
Qu'est-ce que l'ISO/IEC 27090 ?
L'ISO/IEC 27090 est une norme internationale qui donne des lignes directrices sur les menaces et compromissions de sécurité propres aux systèmes d'IA : leur fonctionnement, leurs conséquences et les mesures qui permettent de les détecter et de les atténuer. Elle s'adresse aux organisations de toute taille qui développent ou utilisent des systèmes d'IA et couvre l'ensemble du cycle de vie de l'IA.
Le groupe de travail ISO/IEC JTC 1/SC 27/WG 4 a commencé son élaboration en 2022. La première édition est parue le 14 octobre 2026, selon la fiche officielle de l'ISO. Le SC 27 est aussi le comité responsable de l'ISO 27001 et de l'ISO 27002. C'est pourquoi la 27090 se lit comme un prolongement de pratiques de sécurité de l'information bien connues, et non comme une discipline à part.
L'article 5 traite des pratiques de sécurité qui encadrent tout le reste : un programme de gouvernance de l'IA, les principes du zero trust, les bonnes pratiques d'ingénierie logicielle appliquées à l'IA, la gestion de la chaîne d'approvisionnement, la modélisation des menaces et le red teaming. L'article 7 décrit ensuite les mesures d'atténuation et, point utile, la manière dont elles interagissent entre elles et avec les menaces. L'annexe A, informative, relie les attaques au cycle de vie du système d'IA et aux actifs visés. L'annexe B traite des variantes propres à l'IA d'attaques classiques ; l'annexe C porte sur l'apprentissage fédéré.
Une idée reçue courante veut que la 27090 soit « la version IA de l'ISO 27001 ». C'est faux. L'ISO 27001 fixe les exigences d'un système de management et peut être certifiée. L'ISO 27090 est un catalogue de menaces et de contre-mesures, plus proche dans l'esprit de l'ISO 27002, et personne ne peut vous certifier selon elle.
Les neuf menaces de l'ISO 27090
L'article 6 de l'ISO 27090 décrit neuf façons de compromettre un système d'IA. Leur point commun : les mesures classiques comme les pare-feu, le chiffrement et la gestion des accès peuvent être pleinement en place sans empêcher l'attaque. Celle-ci passe par des données et des entrées que le système est conçu pour accepter.
- Data poisoning (empoisonnement des données) : des données d'entraînement manipulées modifient le comportement du modèle.
- Évasion : des entrées conçues pour faire produire au modèle un résultat erroné, par exemple un contrôle antifraude qui laisse passer une transaction.
- Inférence d'appartenance : un attaquant détermine si un enregistrement précis faisait partie des données d'entraînement.
- Exfiltration de modèle : le modèle lui-même, ou une copie fonctionnelle, est extrait, souvent au moyen de requêtes qui paraissent légitimes.
- Inversion de modèle : des informations sur les données d'entraînement sont reconstituées à partir des sorties du modèle.
- Empoisonnement direct du modèle : les paramètres du modèle ou un composant pré-entraîné sont altérés directement.
- Sorties sensibles du modèle : le modèle divulgue des données confidentielles ou personnelles qu'il ne devrait pas révéler.
- Injection de prompt : des instructions cachées dans une entrée, un document ou une page web neutralisent le comportement prévu du système.
- Sorties contenant des attaques par injection : la sortie du modèle transporte une charge malveillante qui atteint un système en aval, par exemple un script exécuté dans un navigateur.
Deux d'entre elles méritent une attention particulière si vous vous appuyez sur des modèles de fournisseurs tiers. L'injection de prompt devient un sujet dès qu'un système d'IA lit des contenus que vous ne maîtrisez pas : e-mails clients, tickets de support ou fichiers téléversés. L'empoisonnement des données et du modèle devient un sujet dès qu'un système est réentraîné sur des données opérationnelles, car les entrées d'aujourd'hui deviennent les données d'entraînement de demain.
ISO 27090, ISO 42001 et ISO 27001 : qui fait quoi
L'ISO 27001 encadre la sécurité de l'information, l'ISO 42001 encadre la manière dont une entreprise gère l'IA et l'ISO 27090 décrit comment les systèmes d'IA sont attaqués et défendus. Les deux premières sont des normes de système de management certifiables ; la 27090 est un guide qui alimente les deux.
L'erreur la plus fréquente consiste à croire qu'un certificat ISO 42001 couvre la sécurité de l'IA. Ce n'est pas le cas. L'ISO 42001 vérifie que vous disposez d'une politique IA, d'analyses d'impact, de rôles définis et de mesures sur tout le cycle de vie de l'IA. Elle ne teste pas si votre modèle laisse fuiter des données d'entraînement face à une attaque par inférence d'appartenance. Les deux normes se complètent : la 42001 détermine quels systèmes d'IA vous exploitez et pourquoi, la 27090 décrit comment ils sont attaqués et le processus de gestion des risques de l'ISO 27001 décide des mesures à appliquer. La construction et la certification d'un système de management de l'IA sont présentées dans notre page consacrée à l'ISO 42001.
L'AI Act ajoute une dimension juridique pour les systèmes d'IA à haut risque. L'article 15, tel qu'il figure dans le texte du règlement, exige un niveau approprié d'exactitude, de robustesse et de cybersécurité, et cite l'empoisonnement des données, l'empoisonnement de modèles, les exemples adverses et les attaques contre la confidentialité parmi les menaces à traiter. L'ISO 27090 n'est pas une norme harmonisée au titre de l'AI Act : son application ne crée donc pas de présomption de conformité. Elle reste l'une des références publiées les plus précises sur les menaces visées par l'article 15. Depuis l'omnibus numérique sur l'IA, les obligations relatives au haut risque s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour les systèmes intégrés aux produits de l'annexe I. Les systèmes concernés sont détaillés dans notre article sur les systèmes d'IA à haut risque au sens de l'AI Act.
Comment intégrer l'ISO 27090 à votre SMSI ISO 27001
Vous n'avez pas besoin d'un programme de sécurité de l'IA distinct. L'ISO 27001 contient déjà tous les points d'ancrage dont la 27090 a besoin : un inventaire des actifs, l'appréciation des risques de l'article 6.1.2, le traitement des risques et la déclaration d'applicabilité de l'article 6.1.3, ainsi que les mesures relatives aux fournisseurs et au développement dans l'annexe A. Le travail consiste à étendre chacun de ces éléments aux systèmes d'IA de votre périmètre.
Étape 1 : inventorier vos systèmes d'IA comme des actifs
Commencez par recenser chaque système d'IA du périmètre du SMSI, y compris les fonctionnalités reposant sur des API de modèles externes, les assistants internes et les modèles de machine learning en production. Pour chacun, notez l'origine du modèle, les données d'entraînement ou d'affinage, les sources qu'il interroge et les personnes autorisées à l'utiliser. Vous étendez ainsi la mesure A.5.9, l'inventaire des informations et autres actifs associés. L'annexe A de l'ISO 27090 relie chaque attaque à l'étape du cycle de vie et à l'actif qu'elle vise : un inventaire complet vous indique donc quelles menaces s'appliquent.
Étape 2 : ajouter les neuf menaces à votre appréciation des risques
Passez ensuite chaque système d'IA au crible des neuf types de compromission de l'article 6 et inscrivez ceux qui s'appliquent dans votre registre des risques, avec leur probabilité et leur impact, comme pour toute autre menace. L'article 5.6 de la 27090 recommande la modélisation des menaces pour cette étape. Toutes les menaces ne s'appliquent pas partout : une entreprise qui utilise un modèle hébergé sans jamais l'entraîner elle-même court peu de risque direct de data poisoning, mais un risque élevé d'injection de prompt si le modèle lit des contenus clients.
Étape 3 : choisir les mesures et citer la 27090 dans la déclaration d'applicabilité
L'article 6.1.3 de l'ISO 27001 précise que les mesures de l'annexe A ne sont pas exhaustives et que l'organisation peut retenir des mesures issues de toute source. La 27090 peut donc être citée directement. La plupart des menaces liées à l'IA se rattachent à des mesures existantes de l'annexe A dont vous élargissez le champ ; quelques-unes demandent des mesures supplémentaires propres à votre entreprise. Le tableau ci-dessous présente notre correspondance. Il s'agit d'une interprétation de travail qui ne fait partie d'aucune des deux normes : vérifiez-la au regard de votre propre périmètre.
Les 93 mesures de l'annexe A de l'ISO 27001, et les preuves qu'un auditeur attend pour chacune, sont détaillées dans un article dédié.
Étape 4 : étendre l'évaluation des fournisseurs aux fournisseurs de modèles
Rares sont les entreprises qui entraînent elles-mêmes des modèles de fondation. Une grande partie du risque lié à l'IA se trouve donc chez les fournisseurs. L'article 5.5 de l'ISO 27090 fait de la gestion de la chaîne d'approvisionnement un sujet à part entière. En pratique, cela signifie compléter vos évaluations fournisseurs au titre des mesures A.5.19 et A.5.20 : le fournisseur utilise-t-il vos entrées pour l'entraînement ? Comment les composants pré-entraînés sont-ils vérifiés ? Comment les mises à jour du modèle sont-elles annoncées ? Quels tests le fournisseur mène-t-il contre l'évasion et l'injection de prompt ?
Étape 5 : tester le système d'IA, pas seulement l'infrastructure
Un test d'intrusion classique vérifie les serveurs, les API et l'authentification autour d'une fonctionnalité d'IA. Il teste rarement si le modèle peut être amené à ignorer ses instructions. C'est précisément pour cela que l'article 5.7 de la 27090 recommande le red teaming. Intégrez-le aux tests d'acceptation au titre de la mesure A.8.29 et renouvelez-le à chaque changement du modèle, du prompt système ou des sources interrogées.
Exemple : un éditeur SaaS de 80 personnes lance un assistant de support IA
Prenons un éditeur SaaS fictif de 80 salariés, certifié ISO 27001 depuis 2024, qui lance un assistant de support fondé sur un grand modèle de langage hébergé. L'assistant lit les tickets clients et y répond à partir du centre d'aide et de l'historique des tickets.
L'examen au regard de l'article 6 fait apparaître trois nouvelles entrées dans le registre des risques. L'injection de prompt est jugée élevée, car chaque ticket est une entrée non fiable. Les sorties sensibles du modèle sont également jugées élevées, car les anciens tickets contiennent des données d'autres clients. Les sorties contenant des attaques par injection sont jugées moyennes, car les réponses s'affichent dans le navigateur des agents de support. Le data poisoning est jugé faible, car l'entreprise n'entraîne pas le modèle elle-même.
Le traitement s'appuie sur quatre mesures existantes sans en créer de nouvelles. La recherche est limitée aux tickets du client demandeur (A.5.15), les sorties sont filtrées avant affichage (A.8.26) et le contrat avec le fournisseur du modèle exclut l'entraînement sur les données de l'entreprise (A.5.20). Un test de red teaming est ajouté à la checklist de mise en production (A.8.29). La déclaration d'applicabilité cite les articles 6.9 et 6.8 de l'ISO 27090 comme source du périmètre élargi. Lors du prochain audit de surveillance, l'auditeur voit des menaces liées à l'IA traitées dans le SMSI existant, et non dans un document annexe que personne ne tient à jour.
Comment Kertos couvre l'IA dans votre SMSI
Kertos gère l'ISO 27001 et l'ISO 42001 sur une seule plateforme. Les systèmes d'IA de votre système de management de l'IA et les risques de votre SMSI se trouvent donc au même endroit, et non dans deux tableurs. Les systèmes d'IA sont inventoriés une seule fois. Les risques identifiés pour eux, y compris les neuf types de compromission de l'ISO 27090, figurent dans le même registre que vos autres risques de sécurité de l'information, et les mesures qui les traitent sont reliées aux politiques et aux preuves.
Pour le système de management de l'IA, Kertos fournit des mesures ISO 42001 préconfigurées, une analyse d'écart et une bibliothèque de risques IA alignée sur l'AI Act et l'ISO/IEC 23894. Les experts certifiés de Kertos vous aident à déterminer quelles menaces concernent vos systèmes et à documenter leur traitement de façon à ce qu'il tienne à l'audit. Pour voir comment une fonctionnalité d'IA s'intègre à votre SMSI existant, réservez une démo et venez avec l'un de vos cas d'usage de l'IA.
Questions fréquentes
Qu'est-ce que l'ISO/IEC 27090 ?
L'ISO/IEC 27090:2026 est une norme internationale qui fournit des lignes directrices pour comprendre, détecter et atténuer les menaces de sécurité propres aux systèmes d'IA tout au long de leur cycle de vie. Elle a été publiée le 14 octobre 2026 par l'ISO/IEC JTC 1/SC 27 et compte 56 pages. Elle s'applique aux organisations de toute taille qui développent ou utilisent des systèmes d'IA.
Peut-on être certifié ISO 27090 ?
Non. L'ISO 27090 est un guide et non une norme de système de management ; aucune certification n'existe à son égard. Les entreprises l'utilisent comme source de menaces et de mesures d'atténuation dans l'appréciation des risques d'un SMSI ISO 27001 ou d'un système de management de l'IA ISO 42001, qui sont tous deux certifiables.
Quelle est la différence entre l'ISO 27090 et l'ISO 42001 ?
L'ISO 42001 fixe les exigences d'un système de management de l'IA : politique, rôles, analyses d'impact et mesures sur le cycle de vie de l'IA. Elle est certifiable. L'ISO 27090 décrit neuf types d'attaques contre les systèmes d'IA, comme le data poisoning et l'injection de prompt, et les mesures d'atténuation correspondantes. Un certificat ISO 42001 ne prouve pas qu'un système d'IA résiste à ces attaques.
L'ISO 27001 couvre-t-elle la sécurité de l'IA ?
En partie. Des mesures de l'ISO 27001 comme le contrôle d'accès, la gestion des fournisseurs et le développement sécurisé s'appliquent aux systèmes d'IA, mais l'annexe A ne mentionne pas les attaques propres à l'IA comme l'inversion de modèle ou l'injection de prompt. Comme l'article 6.1.3 admet des mesures issues de toute source, les entreprises peuvent ajouter les menaces de l'ISO 27090 à leur appréciation des risques et citer la norme dans leur déclaration d'applicabilité.
L'ISO 27090 est-elle obligatoire au titre de l'AI Act ?
Non. L'ISO 27090 n'est pas une norme harmonisée au titre de l'AI Act ; son application ne crée pas de présomption de conformité. Elle traite toutefois précisément des menaces auxquelles les systèmes d'IA à haut risque doivent résister selon l'article 15, dont l'empoisonnement des données, l'empoisonnement de modèles et les exemples adverses. C'est donc une référence utile avant l'entrée en application des obligations relatives au haut risque, le 2 décembre 2027.
