Aller au contenu
Optim-AI

Gouvernance de l'IA

ISO/IEC 42001 en PME : quand la norme vaut l'effort, et quand elle ne le vaut pas

À jour au 10 octobre 2026. ISO/IEC 42001 est une norme internationale publiée en décembre 2023. Elle définit les exigences d'un système de management de l'intelligence artificielle. Elle est volontaire. La certification est délivrée par un organisme tiers, pas par un cabinet de conseil. Elle ne vaut pas conformité à l'AI Act. Pour une PME, elle se justifie surtout si vous vendez des produits ou services fondés sur l'IA à des clients qui l'exigent. Dans les autres cas, quelques règles de gouvernance suffisent souvent. Optim-AI aide à préparer la certification, dans un projet dédié. Nous ne certifions pas.

La norme

Ce qu'est ISO/IEC 42001

ISO/IEC 42001:2023 s'intitule « Technologies de l'information — Intelligence artificielle — Système de management ». Elle s'adresse aux organisations qui développent, fournissent ou utilisent des systèmes d'IA, quelle que soit leur taille.

Elle ne porte pas sur un modèle ou un logiciel. Elle porte sur la façon dont l'entreprise organise ses décisions autour de l'IA : politique, rôles, analyse des risques, évaluation des impacts, suivi, amélioration.

Sa structure reprend celle des autres normes de management de l'ISO, dont ISO/IEC 27001 pour la sécurité de l'information. Les chapitres ont les mêmes numéros et les mêmes titres : contexte, leadership, planification, support, fonctionnement, évaluation, amélioration. Une annexe A liste des mesures de référence. L'entreprise choisit celles qui s'appliquent et justifie ses exclusions.

En France, la norme est disponible chez AFNOR sous la référence NF EN ISO/IEC 42001, édition de mars 2026.

La certification. Elle est facultative. Elle est délivrée par un organisme de certification, après un audit initial, puis des audits de suivi. Les exigences applicables à ces organismes sont fixées par ISO/IEC 42006, publiée en 2025. En France, l'accréditation des organismes relève du COFRAC. Avant de choisir un organisme, vérifiez sur cofrac.fr, ou auprès de l'accréditeur européen concerné, que sa portée d'accréditation couvre bien ISO/IEC 42001.

Le lien avec ISO 27001. Si vous êtes déjà certifié ISO 27001, vous disposez d'une base commune : revue de direction, audit interne, gestion documentaire, analyse de risques. ISO 42001 ajoute des sujets propres à l'IA, comme l'évaluation d'impact des systèmes ou la qualité des données. Les deux systèmes peuvent être conduits ensemble.

Limites

Ce qu'elle n'est pas

  • Ce n'est pas une obligation légale. Aucun texte n'impose aux PME d'être certifiées ISO 42001.
  • Ce n'est pas une conformité à l'AI Act. Le règlement européen sur l'IA accorde une présomption de conformité aux normes harmonisées dont la référence est publiée au Journal officiel de l'Union européenne (article 40). À notre connaissance, à la date du 10 octobre 2026, aucune norme harmonisée au titre de l'AI Act n'est citée au Journal officiel, et ISO/IEC 42001 n'en fait pas partie. Les normes harmonisées sont préparées par le comité européen CEN-CENELEC JTC 21. La plus avancée, prEN 18286, porte sur le système de management de la qualité exigé des fournisseurs de systèmes d'IA à haut risque. La Commission la présente comme un projet, soumis à enquête publique depuis le 30 octobre 2025. Une certification ISO 42001 aide à organiser votre conformité. Elle ne la démontre pas exigence par exigence.
  • Ce n'est pas une garantie sur vos outils. Le certificat atteste que votre organisation suit un système de management. Il ne certifie pas qu'un système d'IA donné est fiable ou sans risque.

Le calendrier de l'AI Act, à jour au 10 octobre 2026. Le règlement (UE) 2024/1689 a été modifié par le règlement (UE) 2026/1744, dit « Digital Omnibus ». Ce texte est en vigueur depuis le 27 juillet 2026. Les obligations des systèmes à haut risque de l'annexe III, comme le tri de candidatures ou l'accès au crédit, s'appliquent à partir du 2 décembre 2027. Celles des systèmes intégrés à des produits réglementés (annexe I) s'appliquent à partir du 2 août 2028. Ces dates sont fixes. Elles ne dépendent pas de la publication des normes harmonisées. Le détail, usage par usage, figure sur notre page AI Act pour les PME.

Quand y aller

Quand elle vaut l'effort pour une PME

La certification demande du temps de direction, de la documentation et des audits récurrents. Elle se justifie quand elle répond à une demande réelle.

  • Vous vendez un produit ou un service fondé sur l'IA à de grands comptes. Leurs questionnaires fournisseurs peuvent demander comment vous gouvernez l'IA. Un certificat répond à une partie de ces questions de façon standard.
  • Vous opérez dans un secteur encadré. Santé, finance, assurance, ressources humaines : vos clients ou vos autorités de contrôle attendent une gestion des risques documentée.
  • Vous êtes déjà certifié ISO 27001. L'effort supplémentaire est plus faible, car l'ossature existe.
  • Vous développez des systèmes susceptibles d'être classés à haut risque par l'AI Act. La norme ne vous dispense de rien. Elle donne en revanche un cadre pour organiser le travail.

Quand attendre

Quand elle ne le vaut pas

  • Vous utilisez l'IA uniquement comme outil de bureautique. Assistant de rédaction, synthèse de réunions, traduction. Le risque principal tient alors aux données que vos équipes y saisissent. Des règles d'usage claires le traitent plus directement qu'un système de management complet.
  • Personne ne vous la demande. Sans exigence d'un client ou d'un marché, le certificat a peu d'usage commercial.
  • Vous n'avez pas encore d'inventaire de vos usages. Certifier un système dont on ignore le périmètre n'a pas de sens. L'inventaire vient d'abord.

Sans certification

Par où commencer sans viser la certification

Les fondations de la norme sont utiles même si vous n'allez jamais jusqu'au certificat. Elles correspondent à ce que toute direction devrait savoir sur l'IA dans son entreprise.

  1. Inventorier les usages réels.

    Quels outils, pour quelles tâches, avec quelles données. Y compris ceux adoptés sans validation.

  2. Nommer les responsables.

    Qui décide d'adopter un outil, qui suit les risques, qui répond en cas d'incident.

  3. Écrire des règles d'usage.

    Quelles données ne sortent pas, quels outils sont autorisés, quelle relecture humaine est requise.

  4. Revoir les risques.

    Classer chaque usage par gravité et probabilité, puis décider d'une réponse : maintenir, encadrer, arrêter.

Si une certification devient nécessaire plus tard, ce travail en constitue la base.

Notre rôle

Le rôle d'Optim-AI

Notre rôle est de vous aider à préparer la certification. Le certificat lui-même est délivré par un organisme accrédité que vous choisissez.

Nous la conduisons dans un projet dédié de préparation. Il s'inscrit dans l'offre « Projets sur mesure » de notre accompagnement, après l'audit, dont il reprend les livrables.

Les trois offres d'accompagnement sont décrites sur la page Offres.

Optim-AI ne certifie pas. Nous ne sommes pas un organisme de certification. Comme pour l'audit, notre travail ne délivre ni label ni certificat. Optim-AI ne réalise pas l'audit de certification et ne choisit pas l'organisme à votre place.

Préparation

Notre méthode de préparation

La méthode part des livrables de notre audit IA. Elle les rattache aux exigences d'un système de management de l'IA, dans l'ordre des chapitres 4 à 10 de la norme. Ces chapitres suivent la structure commune aux normes de management de l'ISO (ex-« annexe SL »). Certains livrables de l'audit couvrent une exigence. D'autres n'en sont qu'un point de départ. Nous le précisons à chaque étape.

Les travaux qui dépassent l'audit forment le projet dédié de préparation : politique IA, évaluation d'impact, déclaration d'applicabilité, préparation de l'audit interne et de la revue de direction, analyse d'écarts.

  1. Fixer le contexte et le périmètre (chapitre 4).

    La cartographie des usages réels de l'IA, déclarés et non déclarés, et l'inventaire des données sensibles décrivent la situation de départ. Avec vous, nous en tirons le périmètre du système de management : quelles activités, quels outils, quels sites. Nous précisons aussi votre rôle pour chaque système : vous le développez, le fournissez ou l'utilisez.

  2. Engager la direction et écrire la politique IA (chapitre 5).

    Les règles d'usage de l'IA, prêtes à être rattachées au règlement intérieur, servent de base. La politique IA est rédigée avec la direction, qui la valide. Les rôles sont nommés : qui décide d'adopter un outil, qui suit les risques, qui répond en cas d'incident.

  3. Apprécier et traiter les risques (chapitre 6).

    La liste des risques classés par gravité et par probabilité devient l'appréciation des risques. Le plan de contre-mesures en devient le traitement. Deux travaux s'ajoutent à l'audit. D'abord, l'évaluation d'impact de chaque système d'IA sur les personnes concernées. Ensuite, le choix des mesures de l'annexe A qui s'appliquent chez vous, avec la justification des exclusions : c'est la déclaration d'applicabilité. Les objectifs du système de management sont fixés à cette étape.

  4. Organiser le support (chapitre 7).

    Nous listons les compétences nécessaires et les actions de sensibilisation des équipes. Nous mettons en place la gestion des documents exigés : politique, appréciation des risques, déclaration d'applicabilité, règles d'usage, enregistrements.

  5. Mettre en œuvre (chapitre 8).

    L'architecture cible indique ce qui reste chez vous, ce qui part chez un tiers, et pourquoi. Le plan d'action séquencé sur 3, 6 et 12 mois fixe l'ordre des travaux. Les mesures retenues sont appliquées et tracées.

  6. Surveiller et évaluer (chapitre 9).

    Les indicateurs de pilotage et le rythme de revue issus de l'audit servent à la surveillance. Nous vous aidons à organiser le programme d'audit interne et à préparer la première revue de direction.

  7. Améliorer (chapitre 10).

    Les écarts constatés donnent lieu à des actions correctives. Le plan d'action est revu à chaque revue de direction.

  8. Analyser les écarts, puis passer le relais.

    Avant l'audit de certification, nous comparons votre système aux exigences de la norme, chapitre par chapitre, et aux mesures de l'annexe A retenues. Vous recevez la liste des écarts restants et des actions pour les combler. Vous engagez ensuite l'organisme de certification de votre choix. Vérifiez au préalable que sa portée d'accréditation couvre ISO/IEC 42001.

Vous pouvez arrêter après n'importe quelle étape. Les documents produits vous appartiennent.

La durée dépend du périmètre et de ce qui existe déjà, par exemple une certification ISO 27001. Elle se cadre lors du premier échange.

Questions fréquentes

Les questions des dirigeants

ISO 42001, c'est quoi en une phrase ?
Une norme internationale qui décrit comment une organisation encadre l'IA qu'elle développe, fournit ou utilise : politique, rôles, risques, suivi et amélioration.
Une PME doit-elle être certifiée ISO 42001 ?
Non. Aucune obligation légale ne l'impose. La question se pose surtout si vos clients l'exigent ou si vous vendez des solutions fondées sur l'IA.
La certification ISO 42001 rend-elle conforme à l'AI Act ?
Non. La présomption de conformité est réservée aux normes harmonisées citées au Journal officiel de l'Union européenne. À notre connaissance, au 10 octobre 2026, aucune ne l'est, et ISO/IEC 42001 n'en fait pas partie. La certification peut aider à structurer votre démarche.
Optim-AI peut-il nous certifier ?
Non. Optim-AI n'est pas un organisme de certification. Seul un organisme accrédité délivre le certificat. Nous vous aidons à préparer votre système de management de l'IA en amont, jusqu'à l'analyse d'écarts.
Comment se déroule la préparation avec Optim-AI ?
C'est un projet dédié de préparation, qui suit l'audit IA. Il part de ses livrables : usages réels, données sensibles, risques classés, règles d'usage, plan d'action. Nous les complétons pour couvrir les chapitres 4 à 10 de la norme, puis nous mesurons les écarts restants avant l'audit de certification. La durée dépend du périmètre.

Sources

Les textes consultés

Page à jour au 10 octobre 2026. Le texte de la norme n'est pas cité. Nous n'avons trouvé au Journal officiel aucune norme harmonisée citée au titre de l'AI Act. Aucun organisme de certification n'est nommé : vérifiez sa portée d'accréditation sur cofrac.fr.

Audit IA pour PME et ETIUsages réels, données exposées, risques et plan de contre-mesures.AI Act pour les PMEObligations et calendrier, à jour au 10 octobre 2026.Risques et maîtriseLes cinq risques réels et leurs contre-mesures.La méthodeDiagnostic, audit, projets.OffresDiagnostic, audit, projets sur mesure.ContactPremier échange de trente minutes, sans engagement.

Prochaine étape

Savoir si ISO 42001 vaut l'effort pour vous

Le premier échange dure trente minutes, sans engagement. Il sert à cadrer votre besoin et ce qu'il faut regarder en premier.

Réserver 30 minutesFaire le test de maturité IA