L'essentiel en bref
- ISO/IEC 42001:2023 est la première norme certifiable pour un système de management de l'intelligence artificielle (SMIA). L'ISO et la CEI l'ont publiée en décembre 2023, élaborée par le comité ISO/IEC JTC 1/SC 42. Un certificat est valable trois ans, avec des audits de surveillance annuels.
- La norme suit la même structure que l'ISO 27001 : les chapitres 4 à 10 fixent les exigences du système de management, l'annexe A contient 38 mesures réparties en neuf domaines (A.2 à A.10) et les annexes B à D donnent des recommandations de mise en œuvre.
- L'ISO 42001 est volontaire et n'est pas une norme harmonisée au titre de l'AI Act. Un certificat ne prouve donc ni la conformité au règlement ni la résistance d'un système d'IA aux attaques.
- Par rapport à un SMSI ISO 27001, les principaux ajouts sont une politique d'IA, un inventaire de l'IA, l'analyse d'impact des systèmes d'IA (chapitres 6.1.4 et 8.4) ainsi que des mesures sur les données, le cycle de vie et les fournisseurs d'IA. Vous reprenez le cadre, la méthode d'analyse des risques et le processus d'audit.
- Avec un SMSI existant, la certification ISO 42001 est réaliste à partir de 1 à 3 mois, sans SMSI à partir de 4 à 6 mois. Ce sont des minimums, pas des moyennes.
Dernière mise à jour : 5 novembre 2026
L'ISO 42001 est la norme internationale pour une utilisation responsable de l'intelligence artificielle dans l'entreprise, et la seule selon laquelle vous pouvez faire certifier un système de management de l'IA. Elle définit comment recenser vos systèmes d'IA, évaluer les risques et les impacts, répartir les responsabilités et améliorer l'ensemble en continu. Cela vaut que vous développiez l'IA vous-même, que vous l'intégriez à votre produit ou que vous l'utilisiez simplement comme outil.
La demande progresse plus vite que le nombre de certificats. Les services achats demandent de plus en plus une preuve de gouvernance de l'IA lors de l'évaluation des fournisseurs. Dans le même temps, l'enquête annuelle de l'ISO recensait fin 2025 un peu moins de 300 certificats ISO/IEC 42001 valides dans le monde, comme le montre l'enquête de l'ISO. Un certificat reste donc un vrai facteur de différenciation.
Ce guide explique ce que contient la norme, pour qui elle est utile, ce que vous reprenez d'un SMSI existant et comment se déroule la certification. Kertos est lui-même certifié ISO 42001 depuis 2025. Lorsque c'est utile, nous montrons comment s'est déroulé notre propre audit.
Qu'est-ce que l'ISO/IEC 42001 ?
L'ISO/IEC 42001 est une norme de système de management qui fixe les exigences d'un système de management de l'IA (SMIA, en anglais AIMS). Un SMIA est l'ensemble des politiques, rôles, processus et preuves par lequel une entreprise pilote le développement, la fourniture et l'utilisation de l'IA. La norme s'adresse aux entreprises de toute taille et de tout secteur qui fournissent ou utilisent des systèmes d'IA.
L'ISO et la CEI ont publié la norme conjointement ; le sous-comité ISO/IEC JTC 1/SC 42 dédié à l'intelligence artificielle l'a élaborée. L'édition actuelle, et la seule à ce jour, est l'ISO/IEC 42001:2023 de décembre 2023, comme l'indique la fiche officielle de l'ISO. Elle a été adoptée au niveau européen sous la référence EN ISO/IEC 42001.
| Caractéristique | ISO/IEC 42001 |
|---|---|
| Titre complet | Information technology, Artificial intelligence, Management system |
| Version actuelle | ISO/IEC 42001:2023, édition 1 |
| Publication | Décembre 2023 |
| Comité | ISO/IEC JTC 1/SC 42 (Intelligence artificielle) |
| Adoption européenne | EN ISO/IEC 42001 |
| Type | Norme de système de management certifiable |
| Structure | Chapitres 4 à 10 (exigences), annexe A (38 mesures), annexes B à D (recommandations) |
| Validité du certificat | Trois ans, avec des audits de surveillance annuels |
| Exigences pour les organismes de certification | ISO/IEC 42006:2025 |
| Normes associées | ISO/IEC 27001 (SMSI), ISO/IEC 42005:2025 (analyse d'impact des systèmes d'IA), ISO/IEC 23894:2023 (management du risque lié à l'IA), ISO/IEC 27090:2026 (sécurité de l'IA) |
Une idée reçue répandue : l'ISO 42001 vérifierait qu'un système d'IA donné est équitable, sûr ou précis. L'audit porte sur le système de management, c'est-à-dire sur votre capacité à identifier, évaluer, traiter et surveiller de façon systématique les risques et les impacts de vos systèmes d'IA. Un certificat atteste la gouvernance, pas la qualité d'un modèle précis.
Structure de la norme : chapitres 4 à 10 et annexes A à D
L'ISO 42001 suit la structure harmonisée que l'ISO impose à toutes les normes de systèmes de management. Les chapitres 1 à 3 traitent du domaine d'application, des références et des définitions, et les chapitres 4 à 10 contiennent les exigences vérifiées lors de l'audit. Si vous connaissez l'ISO 27001, vous retrouverez les mêmes titres et souvent le même texte de base.
Attention au vocabulaire : la structure harmonisée n'a rien à voir avec une norme harmonisée au sens du droit de l'UE. Elle désigne seulement la construction commune des systèmes de management ISO. Le tableau suivant montre où l'ISO 42001 devient spécifique à l'IA dans chaque chapitre.
| Chapitre | Thème | Ce que l'ISO 42001 ajoute pour l'IA |
|---|---|---|
| 4 Contexte de l'organisation | Enjeux internes et externes, parties intéressées, domaine d'application | Déterminer votre rôle, par exemple fournisseur, producteur ou utilisateur d'IA (4.1), et définir les systèmes d'IA inclus dans le périmètre (4.3) |
| 5 Leadership | Responsabilité de la direction, politique, rôles | Une politique d'IA adaptée à la finalité de l'entreprise (5.2) et des rôles pour le SMIA (5.3) |
| 6 Planification | Risques, opportunités, objectifs | Appréciation des risques liés à l'IA (6.1.2), traitement des risques avec déclaration d'applicabilité (6.1.3), analyse d'impact des systèmes d'IA (6.1.4), objectifs relatifs à l'IA (6.2) |
| 7 Support | Ressources, compétences, sensibilisation, communication, documentation | Démontrer les compétences et la sensibilisation sur les sujets d'IA (7.2, 7.3) |
| 8 Réalisation des activités opérationnelles | Planification et maîtrise opérationnelles | Réaliser l'appréciation des risques, leur traitement et l'analyse d'impact à intervalles réguliers et après tout changement important (8.2 à 8.4) |
| 9 Évaluation des performances | Surveillance, audit interne, revue de direction | Audit interne (9.2) et revue de direction (9.3) pour le SMIA |
| 10 Amélioration | Non-conformités, actions correctives, amélioration continue | Même logique que l'ISO 27001 |
Quatre annexes complètent la norme. L'annexe A contient les 38 mesures dont vous tirez votre déclaration d'applicabilité. L'annexe B donne pour chacune de ces mesures des recommandations de mise en œuvre, comme l'ISO 27002 le fait pour l'ISO 27001. L'annexe C énumère des objectifs possibles liés à l'IA, comme l'équité, la transparence, la robustesse et la protection de la vie privée, ainsi que des sources de risque typiques, comme le niveau d'automatisation, le manque d'explicabilité ou la maturité technologique d'une méthode. L'annexe D décrit l'utilisation du SMIA dans différents secteurs et son intégration avec d'autres systèmes de management.
Les mesures de l'annexe A en un coup d'œil
L'annexe A contient 38 mesures réparties en neuf domaines, numérotés de A.2 à A.10. Comme pour l'ISO 27001, vous choisissez les mesures à partir de votre appréciation des risques et vous justifiez dans la déclaration d'applicabilité celles que vous appliquez et celles que vous excluez (chapitre 6.1.3). L'annexe A n'est pas exhaustive : vous pouvez ajouter des mesures issues d'autres sources.
| Domaine | Mesures | Ce qu'il couvre | Exemple de preuve |
|---|---|---|---|
| A.2 Politiques relatives à l'IA | 3 | Politique d'IA, articulation avec les autres politiques, revue régulière | Politique d'IA approuvée avec date de revue |
| A.3 Organisation interne | 2 | Rôles et responsabilités, signalement des préoccupations liées à l'IA | Fiches de rôle, canal de signalement documenté |
| A.4 Ressources pour les systèmes d'IA | 5 | Documentation des données, outils, systèmes, ressources de calcul et ressources humaines | Inventaire de l'IA avec modèles, sources de données, infrastructure et responsables |
| A.5 Analyse des impacts des systèmes d'IA | 4 | Processus et documentation, impacts sur les personnes, les groupes et la société | Analyse d'impact par système d'IA avec résultat et validation |
| A.6 Cycle de vie des systèmes d'IA | 9 | Objectifs et processus de développement responsable, exigences, conception, vérification et validation, déploiement, exploitation et surveillance, documentation technique, journaux d'événements | Comptes rendus de tests avant mise en production, rapports de surveillance |
| A.7 Données pour les systèmes d'IA | 5 | Gestion des données, acquisition, qualité, provenance, préparation | Fiche de données avec provenance et critères de qualité des données d'entraînement |
| A.8 Informations pour les parties intéressées | 4 | Documentation pour les utilisateurs, canaux de signalement des impacts négatifs, communication des incidents, obligations d'information | Notices utilisateurs, formulaire de signalement, modèle de communication d'incident |
| A.9 Utilisation des systèmes d'IA | 3 | Processus et objectifs d'utilisation responsable, usage prévu | Processus de validation des nouveaux outils d'IA, charte d'utilisation |
| A.10 Relations avec les tiers et les clients | 3 | Répartition des responsabilités, fournisseurs, clients | Évaluation des fournisseurs d'IA, clauses contractuelles |
Les mesures qui s'appliquent dépendent de votre rôle. Si vous intégrez l'IA à vos propres produits, vous avez surtout besoin des domaines cycle de vie, données et information des utilisateurs (A.6 à A.8). Si vous ne faites qu'utiliser l'IA, vous vous concentrez sur l'utilisation responsable et les fournisseurs (A.9 et A.10) et pouvez exclure, avec justification, les mesures propres au développement.
Comparé aux 93 mesures de l'annexe A de l'ISO 27001, le catalogue paraît léger. L'effort réside pourtant moins dans le nombre de mesures que dans les processus qui les sous-tendent, en particulier l'inventaire et l'analyse d'impact. Notre présentation des 93 mesures de l'annexe A de l'ISO 27001 montre comment fonctionne la sélection pour l'ISO 27001.
Pour qui l'ISO 42001 est-elle utile ?
L'ISO 42001 apporte le plus aux entreprises qui intègrent l'IA à leurs produits et les vendent à d'autres entreprises. Pour elles, un certificat remplace de nombreuses questions dans les appels d'offres et les questionnaires fournisseurs. Les candidats typiques sont :
- les éditeurs de produits d'IA et de SaaS B2B dotés de fonctions d'IA, dont les grands comptes exigent une preuve de gouvernance de l'IA ;
- les fournisseurs qui reçoivent de leurs clients des questionnaires sur l'usage de l'IA, par exemple dans l'automobile ou la finance ;
- les entreprises de secteurs réglementés comme la santé ou la finance qui utilisent l'IA pour des décisions concernant des personnes ;
- les entreprises qui ont plusieurs cas d'usage de l'IA dans différentes équipes et ont besoin d'un processus unique de l'idée à l'exploitation.
Si vous n'utilisez qu'un seul outil d'IA en interne, un certificat n'est généralement pas nécessaire. Une politique d'IA, une formation et un inventaire de l'IA suffisent pour remplir vos obligations légales. Notre guide Conformité à l'AI Act : comment préparer votre entreprise explique comment procéder.
ISO 42001 et AI Act
Beaucoup pensent que l'AI Act rend l'ISO 42001 obligatoire. C'est faux. L'ISO/IEC 42001 n'est pas une norme harmonisée : un certificat ne crée donc aucune présomption de conformité au règlement. Pour le système de management de la qualité que les fournisseurs d'IA à haut risque doivent mettre en place au titre de l'article 17 de l'AI Act, la référence de la norme EN 18286 est en revanche publiée au Journal officiel en tant que norme harmonisée depuis le 14 octobre 2026.
Le SMIA aide malgré tout pour de nombreuses obligations légales, parce qu'il fournit les processus que le règlement présuppose : rôles, appréciation des risques, documentation, formation et inventaire de l'IA comme base de classification. Notre comparatif AI Act ou ISO 42001 : qu'est-ce qui est obligatoire, qu'est-ce qui relève des bonnes pratiques ? montre où la norme aide et où elle n'aide pas.
Les échéances du règlement s'appliquent indépendamment de toute certification. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 ; notre article sur l'article 50 de l'AI Act en présente le détail.
En vertu du règlement (UE) 2026/1744, les obligations relatives à l'IA à haut risque s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour ceux de l'annexe I. Notre article sur les systèmes d'IA à haut risque concernés par l'AI Act précise quels systèmes sont visés.
Pour une vue d'ensemble des rôles, des classes de risque, des échéances et de la surveillance, consultez notre guide de l'AI Act.
ISO 42001 et ISO 27001 : ce que vous pouvez reprendre
Si vous exploitez un SMSI ISO 27001, vous reprenez presque entièrement le cadre du système de management : chapitres 4 à 10, méthode d'appréciation des risques, maîtrise documentaire, audit interne et revue de direction. Les nouveautés portent surtout sur l'effet de l'IA sur les personnes et sur le cycle de vie des systèmes d'IA. Notre guide de la certification ISO 27001 résume les bases de votre SMSI.
| Élément | Déjà présent dans le SMSI ISO 27001 | Nouveau pour le SMIA ISO 42001 |
|---|---|---|
| Contexte et domaine d'application (chapitre 4) | Méthode, parties intéressées, document de périmètre | Rôle de fournisseur, producteur ou utilisateur d'IA ; systèmes d'IA dans le périmètre ; inventaire de l'IA |
| Politique (5.2) | Politique de sécurité de l'information | Politique d'IA dédiée (A.2) |
| Rôles (5.3) | RSSI, propriétaires des risques | Responsables des systèmes d'IA, canal de signalement des préoccupations (A.3) |
| Appréciation des risques (6.1.2) | Méthode, registre des risques | Sources de risque liées à l'IA de l'annexe C, risques pour des personnes extérieures à l'entreprise |
| Analyse d'impact (6.1.4, 8.4) | Absente ; peut s'appuyer sur l'AIPD au titre du RGPD | Analyse d'impact par système d'IA (A.5) |
| Déclaration d'applicabilité (6.1.3) | 93 mesures de l'annexe A de l'ISO 27001 | Déclaration distincte pour les 38 mesures de l'annexe A de l'ISO 42001 |
| Données | Classification, suppression, contrôle d'accès | Provenance, qualité et préparation des données d'entraînement et de test (A.7) |
| Fournisseurs | Relations fournisseurs et services cloud | Fournisseurs d'IA, répartition des responsabilités tout au long de la chaîne (A.10) |
| Développement | Développement sécurisé | Exigences, vérification et validation, surveillance en exploitation (A.6) |
| Formation (7.2, 7.3) | Sensibilisation à la sécurité | Compétences et formations spécifiques à l'IA |
| Audit interne, revue de direction (9.2, 9.3) | Processus existant | Étendre au SMIA ; un programme commun est possible |
Une deuxième idée reçue concerne la sécurité. Un certificat ISO 42001 montre que vous pilotez l'IA, pas qu'un système d'IA résiste à des attaques comme l'empoisonnement des données ou l'injection de prompt. Depuis le 14 octobre 2026, c'est le rôle du guide ISO/IEC 27090, qui décrit neuf types de compromission et ne donne lieu à aucune certification.
Notre présentation de la norme de sécurité de l'IA ISO 27090 explique comment intégrer ces menaces à votre registre des risques. Pour la plus fréquente, nous montrons séparément comment évaluer l'injection de prompt dans un SMSI ISO 27001.
Si vous fournissez aussi un rapport SOC 2 à des clients américains, l'IA y apparaît également. Le projet de Trust Services Criteria publié par l'AICPA en octobre 2026 ajoute des points of focus sur la gouvernance de l'IA, la surveillance des modèles et les données d'entraînement. Un SMIA fournit une grande partie des preuves, comme le montre notre article sur les SOC 2 Trust Services Criteria 2027.
Le chemin vers la certification en cinq phases
La certification ISO 42001 se déroule en cinq phases : périmètre et inventaire de l'IA, appréciation des risques et analyse d'impact, mesures et déclaration d'applicabilité, audit interne avec revue de direction, puis audit de certification en deux étapes. Avec un SMSI existant, les trois premières phases prennent de moins d'un mois à deux mois, sans SMSI de trois à quatre mois. L'audit interne et l'audit de certification ajoutent environ un mois, ou un à deux mois sans SMSI.
- Périmètre et inventaire de l'IA (responsable : le pilote du SMIA, avec l'informatique et les métiers). Vous déterminez votre rôle selon le chapitre 4.1 et recensez chaque système d'IA du périmètre : vos propres modèles, les modèles tiers intégrés à votre produit et les fonctions d'IA des outils que vous utilisez déjà. Les outils non validés sont l'angle mort ; nous expliquons séparément comment détecter le shadow IT dans votre entreprise.
- Appréciation des risques et analyse d'impact (le pilote du SMIA, avec le produit et la protection des données). Vous évaluez les risques à partir des sources de risque de l'annexe C et estimez pour chaque système ses effets possibles sur les personnes, les groupes et la société. L'ISO/IEC 42005:2025 donne des recommandations sur l'analyse d'impact, l'ISO/IEC 23894:2023 sur le management du risque.
- Mesures, politiques et déclaration d'applicabilité (le pilote du SMIA, validation par la direction). Vous mettez en place la politique d'IA, les rôles, le processus de validation, l'évaluation des fournisseurs et les formations, et vous documentez dans la déclaration d'applicabilité lesquelles des 38 mesures s'appliquent.
- Audit interne et revue de direction (auditeurs internes ou externes, direction). L'audit interne vérifie le SMIA au regard de la norme, la revue de direction arrête les objectifs et les ressources (chapitres 9.2 et 9.3).
- Audit de certification, étapes 1 et 2 (organisme de certification). À l'étape 1, l'organisme vérifie que le SMIA est documenté et prêt pour l'audit ; à l'étape 2, qu'il fonctionne au quotidien.
Notre article sur la certification SMSI selon l'ISO 27001 détaille le déroulement des étapes 1 et 2. La logique est la même pour l'ISO 42001.
Réservez votre organisme de certification tôt. Depuis juillet 2025, l'ISO/IEC 42006 fixe les exigences applicables aux organismes qui auditent des systèmes de management de l'IA. Plusieurs organismes de certification actifs en Allemagne sont aujourd'hui accrédités pour l'ISO 42001 par des organismes d'accréditation étrangers, par exemple TÜV NORD via l'UKAS et le RvA ou DQS via l'ANAB. De nombreux organismes proposent des audits combinés avec l'ISO 27001, à condition d'être accrédités pour les deux normes.
Comment s'est déroulé l'audit chez Kertos
Kertos a construit son SMIA en 2025, en parallèle de son SMSI existant. L'audit interne, début septembre 2025, s'est concentré sur l'inventaire de l'IA : chaque outil d'IA utilisé dans l'entreprise devait y figurer, car un outil non recensé est considéré comme de l'IA fantôme lors de l'audit. Le SMIA couvre aussi bien les outils d'IA utilisés en interne que Kaia, l'assistant IA de la plateforme Kertos.
L'audit d'étape 1 a eu lieu le 4 novembre 2025. Ensuite, ce ne sont pas les documents qui ont demandé le plus d'efforts, mais l'acceptation des politiques et la réalisation des formations par l'ensemble des collaborateurs. Environ une semaine plus tard, Kertos a réussi l'étape 2 avec une seule constatation, et le certificat est arrivé fin 2025. Le premier audit de surveillance est prévu en novembre 2026.
Deux enseignements en découlent. D'abord, votre périmètre inclut l'IA que vous utilisez, pas seulement celle que vous développez. Ensuite, un SMIA échoue moins souvent sur le papier que dans les équipes : planifiez l'acceptation des politiques et les formations comme des lots de travail à part entière avant l'étape 1. L'article Kertos reçoit la certification ISO 42001 décrit comment Kertos applique la gouvernance de l'IA en interne.
Exemple : un éditeur SaaS de 120 salariés
Les chiffres suivants sont donnés à titre d'exemple. Un éditeur SaaS de 120 salariés est certifié ISO 27001 depuis 2024. Il a intégré à son produit une fonction de synthèse fondée sur un modèle de langage hébergé et utilise en interne un assistant de support. Un grand compte demande une preuve de gouvernance de l'IA lors du renouvellement de son contrat.
L'équipe définit un périmètre qui couvre le produit et tous les outils d'IA utilisés en interne. Pour la fonction produit, l'entreprise est fournisseur ; pour les outils internes, utilisateur. L'inventaire recense 14 systèmes d'IA, dont cinq fonctions d'IA dans des outils déjà en place que personne n'avait identifiées comme de l'IA.
Le RSSI pilote le projet et consacre environ la moitié de son temps à la construction du SMIA. La direction produit contribue à l'analyse d'impact de la fonction de synthèse et le DPO l'aligne avec l'AIPD existante. Du lancement en juin à l'étape 2 en octobre, le projet dure un peu moins de cinq mois, car l'inventaire et la documentation technique du produit prennent plus de temps que prévu. L'entreprise combine l'étape 2 avec son audit de surveillance ISO 27001.
Comment Kertos vous accompagne pour l'ISO 42001
Avec Kertos, vous construisez le SMIA sur la même plateforme que votre SMSI. Les mesures de l'ISO 27001 et de l'ISO 42001 sont reliées entre elles, si bien que les exigences communes des chapitres 4 à 10 et les preuves existantes ne sont pas gérées en double. Vous recensez vos systèmes d'IA dans l'inventaire de l'IA, évaluez leurs risques dans l'évaluation des risques liés à l'IA et les reliez aux politiques et aux mesures.
Vous rédigez vos politiques dans le module de gestion des politiques, attribuez les formations aux collaborateurs et suivez leur réalisation comme preuve. Les experts certifiés de Kertos vous accompagnent du périmètre à l'analyse d'impact jusqu'à l'audit de certification. Kertos est lui-même certifié ISO 42001 et connaît donc les exigences de la norme par son propre audit. La page consacrée à l'ISO 42001 sur la plateforme Kertos présente les fonctionnalités.
Pour savoir quelle part de l'ISO 42001 votre SMSI couvre déjà, réservez une démo et venez avec vos cas d'usage de l'IA.
Questions fréquentes
Qu'est-ce que l'ISO 42001 ?
L'ISO/IEC 42001 est la norme internationale des systèmes de management de l'IA (SMIA). Elle définit comment une entreprise pilote le développement, la fourniture et l'utilisation de l'IA au moyen de politiques, de rôles, d'une appréciation des risques et d'analyses d'impact. Publiée en décembre 2023, c'est la seule norme selon laquelle un système de management de l'IA peut être certifié.
L'ISO 42001 est-elle obligatoire ?
Non. L'ISO/IEC 42001 est volontaire et l'AI Act ne la rend pas obligatoire non plus, puisqu'elle n'est pas une norme harmonisée. Elle ne devient contraignante que si un client l'exige par contrat ou si un appel d'offres en fait une condition.
Combien de temps dure une certification ISO 42001 ?
Avec un SMSI ISO 27001 existant, la certification est réaliste à partir de 1 à 3 mois, sans SMSI à partir de 4 à 6 mois. Ces durées supposent un soutien complet en interne et sont des minimums. Les retards les plus fréquents viennent d'outils d'IA non recensés, de preuves de formation manquantes et de la disponibilité de l'organisme de certification.
Quelle est la différence entre l'ISO 42001 et l'ISO 27001 ?
L'ISO 27001 protège l'information au moyen d'un système de management de la sécurité de l'information comportant 93 mesures à l'annexe A. L'ISO 42001 encadre l'usage de l'IA au moyen d'un système de management de l'IA comportant 38 mesures et prend en compte, en plus, les effets de l'IA sur les personnes et la société. Les deux normes partagent la même structure aux chapitres 4 à 10 et peuvent être auditées ensemble.
Qui peut certifier selon l'ISO 42001 ?
Seuls les organismes de certification accrédités pour l'ISO/IEC 42001 peuvent délivrer un certificat. Les exigences applicables à ces organismes figurent dans l'ISO/IEC 17021-1 et, pour les systèmes de management de l'IA, dans l'ISO/IEC 42006:2025. Avant de mandater un organisme, vérifiez quel organisme d'accréditation l'a accrédité et si l'accréditation couvre votre périmètre.
