L'essentiel en bref
- L'AI Act (règlement (UE) 2024/1689) s'applique à toute entreprise qui fournit ou utilise des systèmes d'IA dans l'UE, y compris en interne. Si vous mettez Copilot, ChatGPT ou Claude à disposition de vos collaborateurs, vous êtes déployeur au sens de l'art. 3, point 4, de l'AI Act.
- ISO/IEC 42001 est une norme volontaire et certifiable pour un système de management de l'IA (SMIA), avec 38 mesures réparties en neuf domaines dans l'annexe A. Elle ne devient contraignante que si des clients ou des appels d'offres l'exigent.
- Une certification ISO 42001 ne prouve pas la conformité à l'AI Act, car ISO/IEC 42001 n'est pas une norme harmonisée. Depuis le 14 octobre 2026, la référence de l'EN 18286 est en revanche publiée au Journal officiel en tant que norme harmonisée pour le système de gestion de la qualité prévu à l'art. 17 de l'AI Act.
- Les interdictions et la maîtrise de l'IA s'appliquent depuis le 2 février 2025, les obligations de transparence depuis le 2 août 2026. Selon le règlement (UE) 2026/1744, les obligations relatives aux systèmes à haut risque s'appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I).
- Avec un SMSI existant selon ISO/IEC 27001, une certification ISO 42001 est réaliste à partir de 1 à 3 mois ; sans SMSI, à partir de 4 à 6 mois. Ce sont des minima, pas des moyennes.
L'AI Act, ISO 42001 ou les deux : qu'est-ce qui s'applique à nous ?
L'AI Act s'applique à presque toutes les entreprises, ISO 42001 seulement si vous la choisissez ou si vos clients l'exigent. L'AI Act (règlement (UE) 2024/1689) concerne toute entreprise qui fournit ou utilise des systèmes d'IA dans l'UE (art. 2 de l'AI Act), y compris pour un usage interne. Dès que vous mettez des outils d'IA comme Copilot, ChatGPT ou Claude à disposition de vos collaborateurs, vous êtes déployeur au sens de l'AI Act (art. 3, point 4, de l'AI Act). Pour cela, nul besoin d'entraîner vos propres modèles d'IA ni de vendre des produits d'IA. Notre guide de l'AI Act présente l'ensemble des obligations et des échéances.
Même si vous n'utilisez pas d'IA à haut risque (art. 6 de l'AI Act en lien avec l'annexe III), les obligations de base de l'AI Act s'appliquent à vous. Vous devez favoriser la maîtrise de l'IA de vos collaborateurs (art. 4 de l'AI Act) et ne devez recourir à aucune pratique interdite par l'art. 5 de l'AI Act. Si vous utilisez des chatbots ou des contenus générés par l'IA, vous êtes en outre soumis à des obligations de transparence (art. 50 de l'AI Act).
Si vous utilisez une IA à haut risque, des obligations supplémentaires s'appliquent à partir du 2 décembre 2027 (art. 113 de l'AI Act dans sa version modifiée par le règlement (UE) 2026/1744), par exemple le contrôle humain, la conservation des journaux et l'information des travailleurs concernés (art. 26 de l'AI Act). Sont notamment considérés comme à haut risque les systèmes qui influencent de manière significative des décisions importantes concernant des personnes, par exemple lors de l'évaluation de candidats ou de collaborateurs (annexe III, point 4, de l'AI Act). Dans ce cas, je vous recommande d'examiner de près la classification de vos systèmes. Une certification ISO 42001 complémentaire peut alors être utile pour renforcer la confiance des clients et des collaborateurs. Les systèmes concernés sont présentés dans notre article sur les systèmes d'IA à haut risque selon l'AI Act.
Il n'existe en revanche aucune obligation de mettre en œuvre ISO/IEC 42001. Des clients ou des appels d'offres peuvent toutefois l'exiger comme condition préalable. C'est donc un bon complément pour les entreprises qui veulent ou doivent démontrer à leurs clients et partenaires leur maturité en matière d'IA et l'utilisation sûre de leurs systèmes d'IA.
ISO/IEC 42001 apporte aussi des avantages commerciaux, car les services achats demandent de plus en plus, dans les appels d'offres et les évaluations de fournisseurs, une preuve solide d'une utilisation responsable de l'IA. Un certificat vous épargne de nombreux questionnaires fournisseurs et vous donne une longueur d'avance en matière de confiance, d'autant que peu d'entreprises sont certifiées à ce jour. L'enquête annuelle de l'ISO a recensé fin 2025 un peu moins de 300 certificats ISO/IEC 42001 valides dans le monde, contre 125 622 certificats ISO/IEC 27001 valides sur la même période, comme le montre l'enquête de l'ISO.
Qu'est-ce qui distingue l'AI Act d'ISO/IEC 42001 ?
L'AI Act est une loi européenne. Il définit quelles applications d'IA sont interdites et quelles obligations incombent à une entreprise selon son rôle et le niveau de risque. ISO/IEC 42001 est en revanche une norme volontaire et certifiable qui décrit comment une entreprise pilote de manière responsable son utilisation de l'IA.
Mais les deux référentiels diffèrent au-delà de leur statut juridique. L'AI Act fonctionne comme une réglementation des produits. Il demande quel système d'IA est utilisé pour quel cas d'usage et quel rôle l'entreprise assume : fournisseur, déployeur, importateur ou distributeur. C'est ce rôle qui détermine les obligations.
Une idée reçue fréquente : il n'est pas nécessaire de développer son propre modèle pour être fournisseur. Une entreprise SaaS qui intègre un modèle existant dans son produit via une API et le commercialise sous son propre nom devient fournisseur du système d'IA (art. 3, point 3, de l'AI Act). Le fabricant du modèle reste responsable du modèle lui-même (art. 53 de l'AI Act).
ISO/IEC 42001 part au contraire de l'entreprise et de ses processus. La question principale n'est pas de savoir si un système ou un cas d'usage est autorisé. Ce qui compte, c'est que l'entreprise ait défini des processus pour identifier, évaluer et traiter les risques liés au développement comme à l'utilisation de l'IA. L'audit ne porte pas sur un système isolé mais sur un SMIA (système de management de l'intelligence artificielle) complet et opérationnel, à l'image du SMSI d'ISO/IEC 27001. La structure de base reprend elle aussi celle d'ISO/IEC 27001 : les chapitres 4 à 10 fixent les exigences du système de management, l'annexe A contient 38 mesures réparties en neuf domaines.
Contrairement à ISO/IEC 42001, l'AI Act fixe en outre des règles pour les modèles d'IA à usage général (art. 51 et suivants de l'AI Act), qui concernent surtout les fabricants de modèles. Le tableau suivant présente les principales différences entre la loi et la norme.
| Aspect | AI Act (règlement (UE) 2024/1689) | ISO/IEC 42001:2023 |
|---|---|---|
| Obligation ou bonne pratique ? | Obligatoire pour tous ceux qui entrent dans son champ d'application | Bonne pratique volontaire ; contraignante uniquement si des clients l'exigent par contrat |
| Nature juridique | Règlement européen : directement applicable dans tous les États membres, sans transposition en droit national ; les obligations s'appliquent par étapes (art. 113 de l'AI Act), voir « Calendrier » | Norme internationale de l'ISO et de la CEI ; version allemande DIN EN ISO/IEC 42001 |
| Approche | Fondée sur le produit et le rôle : les obligations dépendent du système d'IA, de son risque et du rôle de l'entreprise (fournisseur, déployeur, importateur, distributeur) | Fondée sur l'entreprise : un système de management de l'IA (SMIA) qui pilote les activités d'IA dans un périmètre défini par l'entreprise (chapitre 4.3), à partir du rôle qu'elle se donne selon le chapitre 4.1 (par ex. fournisseur d'IA, producteur d'IA, utilisateur d'IA) |
| Qui est concerné ? | Les fournisseurs qui mettent sur le marché de l'UE des systèmes d'IA ou des modèles d'IA à usage général, quel que soit leur lieu d'établissement ; les déployeurs établis dans l'UE ; les fournisseurs et déployeurs hors UE dont les résultats d'IA sont utilisés dans l'UE ; ainsi que les importateurs, distributeurs, fabricants de produits et mandataires (art. 2, paragraphe 1, de l'AI Act) | Toute entreprise dans le monde qui développe, fournit ou utilise l'IA et qui choisit de l'adopter ; elle définit elle-même le périmètre |
| Approche du risque | Catégories de risque fixées par la loi : interdit (art. 5), haut risque (art. 6, annexes I et III), obligations de transparence (art. 50), risque minimal | L'entreprise fixe ses propres critères et évalue elle-même les risques liés à l'IA et les impacts sur les personnes concernées (chapitres 6.1.2 à 6.1.4) |
| Contenu | Interdictions (art. 5), maîtrise de l'IA (art. 4), exigences pour l'IA à haut risque (art. 8 à 27), transparence (art. 50), modèles d'IA à usage général (art. 51 et suivants) | Exigences relatives au système de management aux chapitres 4 à 10 (contexte de l'organisation, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances, amélioration) et 38 mesures dans l'annexe A |
| Documentation | Contenu en partie imposé, par ex. documentation technique selon l'annexe IV (art. 11) et conservation des journaux par les déployeurs pendant au moins six mois (art. 26, paragraphe 6) | Étendue largement déterminée par l'entreprise ; sont notamment obligatoires la politique d'IA, les appréciations des risques, les évaluations d'impact et la déclaration d'applicabilité |
| Preuve de conformité | Selon le système : aucune preuve formelle ou évaluation de la conformité (art. 43) avec déclaration UE de conformité (art. 47) et marquage CE (art. 48) | Certificat délivré par un organisme de certification accrédité, valable trois ans, avec audits de surveillance annuels |
| Qui contrôle ? | Les autorités de surveillance du marché, au cas par cas ou par contrôles ponctuels (art. 74) ; pour certains systèmes à haut risque, un organisme notifié en amont (art. 43) | L'organisme de certification lors de l'audit : étape 1 (documents) et étape 2 (efficacité), puis audits de surveillance annuels et recertification au bout de trois ans ; en plus, les audits internes de l'entreprise (chapitre 9.2) |
| Enregistrement | Les fournisseurs d'IA à haut risque relevant de l'annexe III s'enregistrent, ainsi que leur système, dans la base de données de l'UE avant la mise sur le marché (art. 49, paragraphe 1, art. 71). Les fournisseurs qui considèrent eux-mêmes un système de l'annexe III comme n'étant pas à haut risque selon l'art. 6, paragraphe 3, doivent aussi l'enregistrer, avec moins d'informations depuis l'omnibus numérique sur l'IA (art. 49, paragraphe 2, annexe VIII). Les déployeurs ne s'enregistrent que s'ils sont des autorités ou organismes publics (art. 49, paragraphe 3) ; les entreprises privées agissant comme déployeurs n'enregistrent rien. | Aucune obligation d'enregistrement. Les certificats figurent généralement dans le registre de l'organisme de certification, parfois aussi, à titre volontaire, dans des bases de données internationales comme IAF CertSearch |
| Obligations de signalement | Les fournisseurs d'IA à haut risque signalent les incidents graves à l'autorité de surveillance du marché au plus tard sous 15 jours, sous 10 jours en cas de décès et sous 2 jours en cas d'infraction de grande ampleur ou de perturbation grave d'une infrastructure critique (art. 73). Les déployeurs informent le fournisseur et l'autorité s'ils constatent un risque ou un incident grave (art. 26, paragraphe 5) | Aucune obligation de signalement aux autorités. L'entreprise doit toutefois définir comment elle communique les incidents aux utilisateurs et aux autres parties concernées (annexe A.8.4) et comment des tiers peuvent signaler des problèmes (A.8.3) |
| Calendrier | Par étapes : interdictions et maîtrise de l'IA depuis le 02/02/2025, modèles d'IA à usage général depuis le 02/08/2025, transparence depuis le 02/08/2026 (délai transitoire pour le marquage selon l'art. 50, paragraphe 2, pour les systèmes déjà sur le marché jusqu'au 02/12/2026), haut risque selon l'annexe III à partir du 02/12/2027 et selon l'annexe I à partir du 02/08/2028 (règlement (UE) 2026/1744) | À tout moment ; l'entreprise fixe elle-même son calendrier |
| Conséquences des infractions | Amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour les autres obligations ; pour les PME, le montant le plus faible s'applique dans chaque cas (art. 99) | Pas d'amende ; les non-conformités relevées lors de l'audit doivent être corrigées et, dans le pire des cas, le certificat est suspendu ou retiré |
Une certification ISO 42001 prouve-t-elle la conformité à l'AI Act ?
Non, car ISO/IEC 42001 n'est pas une norme harmonisée. Les normes harmonisées sont élaborées à la demande de la Commission européenne et leurs références sont publiées au Journal officiel de l'UE. Qui les respecte bénéficie de la présomption de conformité : les exigences légales couvertes par la norme sont présumées remplies (art. 40, paragraphe 1, de l'AI Act).
Ce n'est le cas ni d'ISO/IEC 42001 ni de sa version allemande DIN EN ISO/IEC 42001:2026-08. Pour le système de gestion de la qualité que les fournisseurs de systèmes d'IA à haut risque doivent mettre en place (art. 17 de l'AI Act), il existe désormais une norme harmonisée : l'EN 18286:2026. La Commission européenne l'a demandée (décision d'exécution C(2025) 3871), le CEN et le CENELEC l'ont élaborée. Après une révision, elle a été adoptée en juillet 2026. Sa référence a été publiée au Journal officiel le 14 octobre 2026, comme l'indique la décision d'exécution (UE) 2026/2274.
Depuis, l'EN 18286 confère une présomption de conformité pour les exigences qu'elle couvre, principalement le système de gestion de la qualité prévu à l'art. 17 de l'AI Act, mais pas pour l'ensemble de l'AI Act. D'autres normes portant sur des exigences spécifiques du règlement sont encore en cours d'élaboration au 21 octobre 2026. L'EN 18286 ne remplace pas non plus ISO/IEC 42001 : elle régit le système de gestion de la qualité d'un fournisseur pour un ensemble défini de systèmes d'IA, principalement à haut risque, tandis qu'ISO/IEC 42001 régit l'utilisation de l'IA dans toute l'entreprise (EN 18286, chapitre 1 ; ISO/IEC 42001, chapitre 1). Les obligations de l'art. 17 de l'AI Act elles-mêmes ne s'appliquent qu'à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I).
ISO/IEC 42001 couvre néanmoins une grande partie des obligations organisationnelles de l'AI Act. De nombreuses exigences légales supposent des processus que la norme impose de toute façon : rôles et responsabilités, appréciations des risques, documentation, formation, surveillance et gestion des fournisseurs. Un auditeur peut auditer et certifier ces processus. L'inventaire de l'IA exigé par la norme constitue aussi une bonne base pour classer vos systèmes selon l'AI Act. Tout cela facilite l'apport de preuves, sans remplacer une preuve de conformité.
Remarque : Méfiez-vous des prestataires qui proposent des certificats « AI Act ». De tels certificats n'existent pas, car aucune norme harmonisée ne couvre le règlement dans son ensemble. Les audits ou certificats selon l'EN 18286 ne concernent que le système de gestion de la qualité et ne remplacent ni l'évaluation de la conformité (art. 43 de l'AI Act) ni le marquage CE (art. 48 de l'AI Act).
Le tableau suivant montre pour quelles obligations de l'AI Act ISO/IEC 42001 est utile et pour lesquelles elle ne l'est pas.
| Obligation de l'AI Act | Concerne surtout | ISO 42001 aide-t-elle ? | Pourquoi |
|---|---|---|---|
| Maîtrise de l'IA (art. 4) | Fournisseurs et déployeurs | Largement | Compétences et sensibilisation sont des exigences de la norme (chapitres 7.2, 7.3) |
| Pratiques interdites (art. 5) | Fournisseurs et déployeurs | Peu | La norme évalue les impacts sur les personnes (A.5), mais le caractère interdit d'une pratique relève d'une analyse juridique |
| Classification à haut risque (art. 6, annexe III) | Fournisseurs et déployeurs | En partie | L'inventaire de l'IA et la destination (4.3, A.9.4) fournissent la base, la classification suit la loi |
| Responsabilités tout au long de la chaîne de valeur de l'IA (art. 25) | Fournisseurs et déployeurs | En partie | La norme clarifie les responsabilités avec les fournisseurs et les clients (A.10) ; c'est la loi qui détermine quand on devient soi-même fournisseur |
| Obligations des déployeurs (art. 26) | Déployeurs d'IA à haut risque | Largement | Destination, contrôle humain, surveillance et journaux sont prévus (A.3.2, A.6.2.6, A.6.2.8, A.9.4) ; les délais comme les six mois de conservation doivent être ajoutés |
| Exigences pour l'IA à haut risque (art. 9 à 15) | Fournisseurs d'IA à haut risque | En partie | Gestion des risques, données, documentation et tests sont prévus dans la norme (6.1, A.6, A.7), mais la loi est nettement plus précise |
| Gestion de la qualité (art. 17) | Fournisseurs d'IA à haut risque | En partie | Le système de management existe, les procédures liées au produit manquent ; l'EN 18286 les couvre (présomption de conformité depuis le 14/10/2026) |
| Évaluation de la conformité, CE, enregistrement (art. 43, 48, 49) | Fournisseurs d'IA à haut risque | Non | Étapes purement réglementaires, le certificat ne les remplace pas |
| Obligations de transparence (art. 50) | Fournisseurs et déployeurs | Peu | Les obligations concrètes d'étiquetage des chatbots et des contenus générés par l'IA découlent uniquement de la loi |
Pour qui une certification ISO 42001 en vaut-elle la peine ?
D'après mon expérience, ISO/IEC 42001 en vaut surtout la peine si vous vendez des logiciels d'IA ou des produits dotés de fonctions d'IA. C'est particulièrement vrai pour les entreprises SaaS B2B qui doivent prouver leur fiabilité dans les appels d'offres et les évaluations de fournisseurs.
Pour les déployeurs qui utilisent l'IA surtout en interne et non dans leurs produits, un SMIA propre est rentable lorsque plusieurs équipes utilisent l'IA et qu'il n'existe pas encore de processus établis pour les nouveaux cas d'usage. Au lieu d'évaluer chaque usage de l'IA séparément, le SMIA vous permet de définir un processus clair, de la première idée jusqu'à l'exploitation, qui est audité et certifié de manière indépendante.
Si vous n'utilisez qu'un seul outil d'IA en interne, vous n'avez généralement pas besoin de certificat. Dans ce cas, il suffit de remplir les obligations légales : une politique d'IA, une formation et un inventaire de l'IA. La marche à suivre est décrite dans notre guide Préparer votre entreprise à l'AI Act.
ISO/IEC 42001 est également pertinente pour les entreprises qui servent des marchés hors d'Europe ou qui veulent s'y développer. L'AI Act ne s'applique que dans l'UE, alors que les certificats ISO sont reconnus dans le monde entier et considérés, y compris par des clients en Asie ou aux États-Unis, comme un gage de qualité d'un système de management.
Le tableau suivant vous aide à faire votre autoévaluation.
| Profil de l'entreprise | Rôle typique (AI Act) | ISO 42001 est-elle utile ? |
|---|---|---|
| Éditeur de logiciels ou fournisseur SaaS B2B avec des fonctions d'IA dans le produit (par ex. basées sur un modèle GPT) | Fournisseur du système d'IA | Oui, en particulier pour les grands comptes et les appels d'offres |
| Fournisseur d'IA à haut risque (par ex. sélection de candidats, solvabilité) | Fournisseur | Oui, comme socle de la gestion des risques et de la qualité (art. 9 et art. 17 de l'AI Act) ; pour l'art. 17, appliquer l'EN 18286 (harmonisée depuis le 14/10/2026) |
| Entreprise avec plusieurs cas d'usage de l'IA dans différentes équipes | Déployeur | À examiner, surtout avec un SMSI existant ; souvent peu d'efforts supplémentaires et un argument commercial |
| Déployeur d'IA à haut risque (par ex. l'outil de recrutement par IA d'un fournisseur) | Déployeur | Utile pour l'art. 26, mais pas indispensable |
| Entreprise qui n'utilise qu'un seul outil d'IA en interne (par ex. uniquement Copilot ou ChatGPT, sans lien avec un produit) | Déployeur | Généralement non ; une politique d'IA, une formation et un inventaire de l'IA suffisent |
Nous sommes déjà certifiés ISO 27001. Que nous manque-t-il pour ISO 42001 ?
Moins qu'on ne le pense souvent. Les chapitres 4 à 10 des deux normes suivent la structure harmonisée de l'ISO pour les systèmes de management, portent les mêmes titres et ont souvent le même texte de base. Vous pouvez donc reprendre presque entièrement le cadre de votre système de management existant. Les principaux ajouts sont l'appréciation des risques et l'évaluation d'impact propres à l'IA, ainsi que les mesures relatives aux données et au cycle de vie des systèmes d'IA.
ISO/IEC 27001 protège l'information principalement selon les critères de confidentialité, d'intégrité et de disponibilité. ISO/IEC 42001 examine en plus comment un système d'IA affecte les personnes et la société, par exemple par la discrimination, le manque de traçabilité ou des décisions erronées. C'est le rôle de l'évaluation d'impact des systèmes d'IA, l'AI System Impact Assessment (ISO/IEC 42001, chapitre 6.1.4 ; annexe A.5).
Les fournisseurs SaaS B2B ont surtout besoin des mesures relatives au développement, aux données et à la documentation (annexes A.6 et A.7). Les déployeurs se concentrent sur l'utilisation responsable et la gestion des fournisseurs (annexes A.9 et A.10). Les déployeurs peuvent exclure, de manière justifiée, dans la déclaration d'applicabilité les mesures qui ne concernent que le développement de systèmes d'IA (chapitre 6.1.3).
De nombreux organismes de certification proposent des audits combinés ISO/IEC 27001 et ISO/IEC 42001, à condition d'être accrédités pour les deux normes. Cela fait gagner du temps lors de la certification et de l'audit. Le déroulement d'un audit de certification en étape 1 et étape 2 est expliqué dans notre article sur la certification SMSI selon ISO 27001.
Combien de temps dure une certification ISO 42001 ?
Avec un SMSI existant selon ISO/IEC 27001, une mise en œuvre jusqu'à la certification est réaliste à partir de 1 à 3 mois ; sans SMSI existant, à partir de 4 à 6 mois. Ces valeurs supposent un soutien total au sein de l'entreprise et sont des minima, pas des moyennes.
| Phase | Avec SMSI selon ISO/IEC 27001 | Sans SMSI | Retards typiques |
|---|---|---|---|
| 1 à 3 : inventaire de l'IA et périmètre, analyse d'écarts par rapport aux chapitres 4 à 10 et à l'annexe A, mise en œuvre (politique d'IA, appréciation des risques, évaluation d'impact des systèmes d'IA, déclaration d'applicabilité, formations) | à partir de moins de 1 à 2 mois | à partir de 3 à 4 mois | Shadow AI, c'est-à-dire des outils d'IA utilisés en production que personne n'a encore recensés ; incertitude sur les documents à reprendre du système de management existant ; formations et validations de politiques manquantes ; coordination avec le développement produit et la protection des données |
| 4 : audit interne, revue de direction (chapitres 9.2, 9.3) et audit de certification étapes 1 et 2 | 1 mois | 1 à 2 mois | Disponibilité des auditeurs |
| Total | à partir de 1 à 3 mois | à partir de 4 à 6 mois |
La shadow AI, l'adaptation des politiques et les formations spécifiques à l'IA prennent souvent plus de temps que prévu. La disponibilité d'organismes de certification accrédités pour ISO/IEC 42001 peut aussi retarder le planning. Si vous n'avez pas encore de système de management, notre article sur la mise en place d'un SMSI en présente les bases.
Comment Kertos vous accompagne-t-il pour ISO 42001 et l'AI Act ?
Kertos associe une plateforme de conformité à l'accompagnement d'experts expérimentés. Sur la plateforme Kertos, vous gérez ISO/IEC 42001 aux côtés d'ISO/IEC 27001, de sorte que les exigences communes des chapitres 4 à 10 et les preuves existantes n'ont pas à être maintenues deux fois. Appréciations des risques, politiques, formations et gestion des fournisseurs sont gérées dans le même système.
Kertos est lui-même certifié ISO/IEC 42001 et connaît les exigences de la norme grâce à son propre audit. La manière dont Kertos met en œuvre la gouvernance de l'IA en interne est décrite dans l'article Kertos reçoit la certification ISO 42001.
Si vous souhaitez savoir si ISO/IEC 42001 est pertinente pour votre entreprise et comment couvrir au passage les obligations de l'AI Act, réservez une démo Kertos et discutez de votre cas d'usage avec nos experts expérimentés.
Questions fréquentes
ISO 42001 est-elle obligatoire ?
Non. ISO/IEC 42001 est une norme volontaire. Elle ne devient contraignante que si un client l'exige par contrat ou si un appel d'offres en fait une condition. L'AI Act s'applique en revanche dans tous les cas à toute entreprise qui fournit ou utilise des systèmes d'IA dans l'UE.
Faut-il développer ses propres modèles d'IA pour être fournisseur ?
Non. Est aussi fournisseur celui qui intègre un modèle tiers, par exemple via une API, dans son propre produit et le propose sous son propre nom (art. 3, point 3, de l'AI Act). Le fabricant du modèle reste responsable du modèle lui-même (art. 53 de l'AI Act).
ISO 42001 remplace-t-elle l'évaluation de la conformité pour l'IA à haut risque ?
Non (art. 43 de l'AI Act). L'EN 18286 ne la remplace pas non plus, mais elle facilite la preuve que le système de gestion de la qualité satisfait aux exigences de l'art. 17 de l'AI Act. Le système de gestion de la qualité est examiné dans le cadre de l'évaluation de la conformité (art. 43, annexes VI et VII de l'AI Act).
Avons-nous besoin d'ISO 42001 si nous utilisons seulement Copilot ou ChatGPT ?
En général, non. Les obligations de l'AI Act s'appliquent néanmoins, en particulier favoriser la maîtrise de l'IA (art. 4) et respecter les interdictions (art. 5). Pour la plupart des entreprises dans cette situation, une politique d'IA, une formation et un inventaire de l'IA suffisent.
Peut-on combiner ISO 27001 et ISO 42001 dans un seul audit ?
Oui, sous la forme d'un système de management intégré, si l'organisme de certification est accrédité pour les deux normes. Comme les deux normes partagent la même structure aux chapitres 4 à 10, vous gagnez du temps dans la préparation et lors de l'audit.
Qu'est-ce que l'omnibus numérique sur l'IA et que change-t-il ?
L'omnibus numérique est un règlement modifiant l'AI Act (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026. Il reporte les obligations relatives au haut risque (annexe III au 2 décembre 2027, annexe I au 2 août 2028), atténue l'obligation de maîtrise de l'IA en une obligation de la favoriser et retire l'IA intégrée aux machines du champ d'application direct des règles sur le haut risque. Les interdictions, les obligations de transparence et les règles applicables aux modèles d'IA conservent leurs dates connues ; pour le marquage des contenus générés par l'IA selon l'art. 50, paragraphe 2, les systèmes déjà sur le marché bénéficient d'un délai transitoire jusqu'au 2 décembre 2026.
