ISO/IEC 42001 vs règlement sur l’IA : ce que couvre chacun

La certification n’est pas la conformité. ISO/IEC 42001 construit le système de management que votre organisation utilise pour gouverner l’IA ; le règlement sur l’IA impose des obligations juridiques au niveau du produit, sur des systèmes d’IA précis, selon le rôle et le niveau de risque. Un système de management de l’IA rend ces obligations moins coûteuses et plus rapides à remplir. Il ne les remplit jamais à votre place.

Ce qu’est réellement ISO/IEC 42001

ISO/IEC 42001:2023, formellement Technologies de l’information — Intelligence artificielle — Système de management, est la première norme internationale de système de management dédiée à l’IA. Elle appartient à la même famille qu’ISO 9001 et ISO/IEC 27001 : une structure Plan-Do-Check-Act, des clauses d’exigences couvrant le contexte, le leadership, la planification, le support, les opérations, l’évaluation des performances et l’amélioration, plus une Annexe A de 38 mesures regroupées de A.2 à A.10 que vous sélectionnez, justifiez ou excluez au regard de vos propres risques et impacts liés à l’IA. Elle est volontaire. Elle est aussi certifiable : un organisme de certification accrédité vous audite selon un périmètre déclaré, délivre un certificat et revient selon un cycle de surveillance. Ce que le certificat atteste, c’est que votre processus de gouvernance existe et fonctionne. Il ne dit rien d’un modèle, d’un produit ou d’un déploiement particulier.

Ce qu’est réellement le règlement sur l’IA

Le règlement (UE) 2024/1689 est une loi contraignante d’effet direct dans les 27 États membres. Aucune adhésion volontaire, aucun périmètre que vous rédigez vous-même. Les obligations s’attachent à un rôle — fournisseur, déployeur, importateur ou distributeur — et à un niveau de risque évalué système par système. L’application relève des autorités nationales de surveillance du marché, et l’article 99 fixe le plafond : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres manquements des opérateurs, et jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes. Pour les PME et les jeunes entreprises, chacun de ces plafonds s’applique au montant le plus faible des deux, et non au plus élevé.

Face à face : les six dimensions qui tranchent la question

• Statut juridique. ISO/IEC 42001 est une norme volontaire que vous pouvez adopter. Le règlement sur l’IA est un texte auquel vous devez obéir. Aucune autorité ne demandera jamais votre certificat ; toute autorité peut exiger vos preuves de conformité au règlement.
• Unité d’analyse. Le certificat couvre une organisation, dans un périmètre que vous définissez. Le règlement attache des obligations à chaque système d’IA pris individuellement — une même entreprise peut exploiter simultanément un système interdit, plusieurs systèmes à haut risque de l’annexe III et une longue traîne d’outils à risque minimal, chacun avec son propre jeu d’obligations.
• Qui contrôle. Un organisme de certification accrédité que vous choisissez et rémunérez, selon un cycle d’audit fixe. Contre une autorité de surveillance du marché qui arrive sans prévenir, plus un organisme notifié lorsqu’une évaluation de la conformité par tierce partie est requise.
• Portée géographique. ISO/IEC 42001 est internationale et neutre du point de vue juridictionnel ; elle pèse autant à Lyon qu’à Lima, c’est-à-dire d’aucun poids juridique nulle part. Le règlement sur l’IA est territorial : il atteint les fournisseurs qui mettent des systèmes sur le marché de l’Union quel que soit leur lieu d’établissement, et les déployeurs dont les sorties sont utilisées dans l’Union.
• Preuves produites. Un système de management de l’IA produit des politiques, un registre des risques, des rapports d’audit interne, des comptes rendus de revue de direction et un certificat. Le règlement exige la documentation technique de l’annexe IV, des journaux générés automatiquement, une déclaration UE de conformité, le marquage CE et un enregistrement en base de données. Ce sont des artefacts différents, pas des formats différents du même artefact.
• Ce que coûte l’échec. Une non-conformité 42001 déclenche une action corrective et, au pire, la suspension ou le retrait du certificat. Un manquement au règlement peut entraîner l’injonction de mise en conformité, la restriction, le retrait ou le rappel du marché, et des amendes administratives aux niveaux ci-dessus.

Là où ISO 42001 aide véritablement

Le recoupement le plus fort est l’article 17, qui impose à tout fournisseur d’un système d’IA à haut risque de mettre en place un système de gestion de la qualité documenté. L’article 17, paragraphe 1, énumère treize aspects, de (a) à (m), et une organisation exploitant déjà un système de management de l’IA conforme à 42001 dispose de la colonne vertébrale organisationnelle pour plusieurs d’entre eux : les systèmes et procédures de gestion des données (f), la tenue de registres de toute la documentation pertinente (k), la gestion des ressources (l) et le cadre de responsabilité définissant les responsabilités de la direction et du personnel (m). Vous réécrirez tout de même les procédures dans le langage du règlement, mais vous réécrivez au lieu d’inventer.

• Article 17, système de gestion de la qualité. La structure des clauses, la maîtrise documentaire et la cadence de revue de direction se transfèrent presque directement. Ce qui ne se transfère pas, c’est la stratégie de conformité réglementaire du point (a) — elle doit être rédigée spécifiquement contre le règlement sur l’IA.
• Article 9, gestion des risques. L’article 9 exige un processus de gestion des risques continu et itératif sur tout le cycle de vie. Une appréciation des risques liés à l’IA et une évaluation d’impact au sens de 42001 vous donnent déjà la cadence, le registre et le responsable ; vous réorientez un moteur existant, vous n’en construisez pas un.
• Article 10, gouvernance des données. Les mesures de l’Annexe A sur la provenance, la qualité et la préparation des données produisent exactement le type d’artefacts que les exigences relatives aux données d’entraînement, de validation et de test attendent.
• Rôles, compétences et maîtrise de l’IA. Les clauses relatives à la compétence et à la sensibilisation recoupent l’obligation de maîtrise de l’IA, applicable depuis le 2 février 2025 et qu’aucun report ne diffère.
• Discipline documentaire. Gestion des versions, maîtrise des modifications, durées de conservation. La moitié de la douleur de l’annexe IV vient de ce que personne n’a écrit ce que faisait le système pendant sa construction ; un système de management impose cette habitude tôt.
• Maîtrise des fournisseurs et des tiers. Utile lorsque vous intégrez le modèle d’un tiers et devez établir, par écrit, si vous êtes fournisseur ou déployeur du système résultant.

Là où elle n’aide pas du tout

Le point décisif : un certificat 42001 ne confère aucune présomption de conformité. Aux termes de l’article 40, cette présomption ne naît que pour les systèmes conformes à des normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne conformément au règlement (UE) n° 1025/2012. ISO/IEC 42001 n’a pas suivi cette voie et n’a jamais été rédigée pour elle. La filière qui compte est le CEN-CENELEC JTC 21, et le livrable pertinent est le prEN 18286, une norme de système de gestion de la qualité écrite explicitement à des fins réglementaires au titre du règlement sur l’IA. Tant qu’aucune référence n’est publiée au Journal officiel, personne ne détient de présomption de quoi que ce soit — et le certificat d’un auditeur n’en tient pas lieu.

• Documentation technique de l’annexe IV. Un dossier par système couvrant l’architecture, les données, les indicateurs de performance, les mesures de maîtrise des risques et la surveillance après commercialisation. Rien dans un système de management ne le produit. Voir le décryptage de l’annexe IV.
• Classification des risques. Déterminer si un système est interdit, à haut risque, à risque limité ou minimal est une analyse juridique au regard de l’article 5, de l’article 6 et de l’annexe III. Un certificat ne la réalise pas.
• Évaluation de la conformité, déclaration de conformité et marquage CE. Une procédure réglementaire distincte, impliquant parfois un organisme notifié. Voir comment fonctionne l’évaluation de la conformité.
• Enregistrement au titre de l’article 49. Les systèmes à haut risque doivent être enregistrés dans la base de données de l’UE avant leur mise sur le marché ou leur mise en service. Aucun processus ISO n’y touche.
• Analyse d’impact sur les droits fondamentaux. L’article 27 oblige les déployeurs qui sont des organismes publics ou des entités privées fournissant des services publics, ainsi que les déployeurs des systèmes visés aux points 5 b) et 5 c) de l’annexe III, à réaliser une AIDF avant le déploiement. C’est une obligation de déployeur, avec sa propre méthode.
• Signalement des incidents graves. L’article 73 impose aux fournisseurs de signaler les incidents graves à l’autorité de surveillance du marché — au plus tard 15 jours en règle générale, 10 jours en cas de décès et 2 jours en cas d’infraction de grande ampleur. Cette horloge est réglementaire, pas contractuelle.

Et le NIST AI RMF ?

Le NIST AI Risk Management Framework 1.0, publié en janvier 2023 et complété par un profil relatif à l’IA générative en juillet 2024, organise le travail sur les risques de l’IA autour de quatre fonctions : Govern, Map, Measure et Manage. Il est volontaire, d’origine américaine et — contrairement à ISO/IEC 42001 — n’est pas un schéma certifiable : aucun organisme accrédité ne délivre de certificat AI RMF, il n’y a donc aucun artefact à présenter à un client ou à un auditeur. Sa valeur tient au vocabulaire et à la structure. Son effet juridique dans l’Union européenne est nul. Traitez-le comme un texte de référence dont on s’inspire, pas comme un livrable de conformité que l’on produit.

Séquencement pratique pour une PME dotée d’un système à haut risque

1. Classifiez d’abord chaque système. Établissez votre rôle et le niveau de risque de chaque système avant toute autre dépense. C’est rapide, gratuit, et cela détermine toute la charge de travail en aval. Commencez par le Risk Checker.
2. Traitez ce qui est déjà en vigueur. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025 ; les obligations relatives aux modèles d’IA à usage général s’appliquent depuis le 2 août 2025. C’est du présent, pas un horizon.
3. Remontez à partir de votre véritable échéance. Les systèmes à haut risque autonomes de l’annexe III s’appliquent à partir du 2 décembre 2027 ; l’IA à haut risque intégrée dans des produits relevant de la législation sectorielle de l’annexe I, à partir du 2 août 2028. Ces deux dates proviennent du Digital Omnibus sur l’IA, entré en vigueur le 27 juillet 2026 — les dates d’août 2026 et d’août 2027 qui circulaient auparavant sont caduques.
4. Construisez le système qualité de l’article 17 autour de vos systèmes réels. Cadrez-le sur les produits que vous mettez effectivement sur le marché, pas sur une frontière de certificat tracée pour la commodité de l’audit.
5. Rédigez la documentation de l’annexe IV au fil de la construction, système par système. Reconstituer un dossier technique après la mise en service est l’erreur la plus coûteuse du domaine. Utilisez la checklist de conformité pour PME pour ordonner la suite.
6. Visez la certification 42001 en dernier, et seulement si elle vous rapporte quelque chose. Si des clients grands comptes ou des appels d’offres publics l’exigent, allez-y — en réutilisant les preuves déjà produites. Inverser cet ordre revient à payer un audit qui laisse votre exposition juridique intacte. Soyez honnête : pour la plupart des PME, ce sont les échéances du règlement, et non le certificat, qui fixent la priorité.

Les deux instruments sont complémentaires, et c’est l’argumentaire commercial qui les confond qui pose problème, pas la norme. ISO/IEC 42001 est un accélérateur de gouvernance et un atout commercial ; le règlement sur l’IA est l’obligation contraignante. Si vous ignorez encore dans quel niveau tombent vos systèmes, lancez d’abord le Risk Checker, puis regardez comment un logiciel de conformité au règlement sur l’IA peut porter les preuves par système que votre système de management n’a jamais été conçu pour produire. Cet article est une information générale sur des exigences réglementaires et ne constitue pas un conseil juridique ; faites évaluer vos propres systèmes par un conseil qualifié.