Réglementations IA › ISO/IEC 42001
ISO/IEC 42001 : la norme internationale du système de management de l’IA
Exigences, contrôles et certification : l’essentiel pour structurer et prouver la gouvernance de vos usages d’IA.
- NormeISO/IEC 42001:2023
- PublicationDécembre 2023
- NatureVolontaire, certifiable
- Contenu7 clauses et 38 contrôles de référence
L’ISO 42001 en bref : un système de management de l’IA
Publiée en décembre 2023, l’ISO/IEC 42001 est la première norme internationale de système de management de l’intelligence artificielle (AIMS). Elle s’adresse à toute organisation qui développe, fournit ou utilise de l’IA.
Une norme de management
Elle porte sur l’organisation et ses processus, pas sur un modèle ou un produit d’IA en particulier.
Volontaire et certifiable
Un organisme tiers accrédité peut auditer et certifier le système de management, avec en général des audits de surveillance chaque année.
Compatible avec les autres normes ISO
Elle suit la structure commune des normes de management (clauses 4 à 10), ce qui facilite son intégration avec l’ISO/IEC 27001 ou l’ISO 9001.
Fondée sur les risques et les impacts
Elle demande d’évaluer les risques liés à l’IA, ainsi que l’impact des systèmes sur les personnes et sur la société.
Source : fiche de la norme sur iso.org.
Ce que demande la norme : les clauses 4 à 10
Sept clauses décrivent le système de management, que l’organisation adapte à son contexte et à ses usages d’IA.
Contexte et leadership
Clauses 4 et 5. Définir le périmètre, les parties intéressées, la politique IA, les rôles et les responsabilités.
Planification
Clause 6. Évaluer les risques, les opportunités et l’impact des systèmes d’IA, et fixer des objectifs.
Support et fonctionnement
Clauses 7 et 8. Compétences, documentation, cycle de vie des systèmes d’IA et relations avec les fournisseurs.
Évaluation et amélioration
Clauses 9 et 10. Audit interne, revue de direction, actions correctives et amélioration continue.
Annexe A : 38 contrôles de référence en neuf domaines
Ces contrôles forment un catalogue : l’organisation choisit ceux qui s’appliquent selon son analyse de risques et justifie ses choix.
Les annexes B et C apportent des conseils de mise en œuvre et des exemples d’objectifs et de sources de risque.
Certification ISO 42001 : les étapes
La certification est délivrée par un organisme tiers, qui audite le système de management de l’organisation.
Cadrer
Définir le périmètre, la politique IA, les rôles et les objectifs.
Évaluer et traiter
Évaluer les risques et les impacts, puis mettre en place les contrôles utiles.
Vérifier
Conduire un audit interne et une revue de direction, puis corriger les écarts.
Faire certifier
Passer l’audit de certification, puis les audits de surveillance.
Les organismes de certification s’appuient sur l’ISO/IEC 42006:2025, publiée en juillet 2025, qui précise les exigences applicables à ceux qui auditent et certifient les systèmes de management de l’IA. Voir la norme.
ISO 42001 et AI Act : complémentaires, pas équivalentes
Un système de management solide facilite la conformité à la loi, sans s’y substituer.
Ce que l’ISO 42001 apporte
- Une organisation claire : rôles, responsabilités, processus
- Des preuves et une traçabilité exploitables en audit
- Une amélioration continue du pilotage de l’IA
- Un langage commun avec les clients et les partenaires
Ce qu’elle ne remplace pas
L’ISO/IEC 42001 ne vaut pas conformité à l’AI Act. À ce jour, elle n’est pas citée comme norme harmonisée au Journal officiel de l’Union européenne : sa certification ne confère donc pas de présomption de conformité.
Les obligations de l’AI Act (classification des risques, haut risque, transparence) restent à traiter système par système. Découvrir la page AI Act.
Comment Fruggr vous aide à vous préparer à l’ISO/IEC 42001
Fruggr centralise les éléments du système de management de l’IA et les relie au pilotage des coûts et du ROI.
Recenser le périmètre
Un registre vivant des systèmes d’IA, y compris le Shadow AI, avec leurs responsables et leurs usages réels.
Centraliser les contrôles
Les contrôles, les responsabilités et les actions correctives réunis au même endroit, système par système.
Constituer les preuves
Des preuves à jour et des rapports prêts pour les audits internes et la certification.
Alimenter la revue de direction
Des indicateurs sur les usages, les coûts et le ROI pour décider et améliorer en continu.
d’efficacité financière sur vos opérations IA, selon Fruggr. Voir comment Fruggr pilote le ROI de l’IA →
Textes officiels et pour aller plus loin
Les informations de cette page s’appuient sur les publications officielles des organismes de normalisation.
Normes et sources officielles
- ISO/IEC 42001:2023, fiche de la norme sur iso.org
- ISO/IEC 42006:2025, exigences pour les organismes d’audit et de certification
- AI Act Service Desk, Commission européenne
Voir aussi
- Réglementations IA : vue d’ensemble
- AI Act, le règlement européen sur l’IA
- NIST AI RMF, le cadre de gestion des risques
- Conformité IA avec Fruggr
Questions fréquentes sur l’ISO 42001
Qu’est-ce que l’ISO/IEC 42001 ?
C’est la première norme internationale de système de management de l’intelligence artificielle (AIMS), publiée en décembre 2023. Elle décrit comment une organisation qui développe, fournit ou utilise de l’IA peut la gouverner de façon responsable, selon une logique d’amélioration continue.
L’ISO 42001 est-elle obligatoire ?
Non. Elle est volontaire. Elle est en revanche certifiable par un organisme tiers, ce qui en fait un signal de confiance pour les clients, les partenaires et les donneurs d’ordres.
Que certifie-t-on exactement avec l’ISO 42001 ?
La certification porte sur le système de management de l’IA de l’organisation, c’est-à-dire ses processus, ses rôles et ses contrôles. Elle ne certifie ni un modèle d’IA, ni un produit, ni un résultat particulier.
Combien de contrôles contient l’annexe A ?
L’annexe A propose 38 contrôles de référence, répartis en neuf domaines numérotés de A.2 à A.10. L’organisation sélectionne ceux qui s’appliquent selon son analyse de risques et justifie ses choix. Les annexes B et C apportent des conseils de mise en œuvre et des exemples d’objectifs et de sources de risque.
L’ISO 42001 suffit-elle pour être conforme à l’AI Act ?
Non. Les deux sont complémentaires mais pas équivalentes. À ce jour, l’ISO/IEC 42001 n’est pas citée comme norme harmonisée au Journal officiel de l’Union européenne : sa certification ne confère donc pas de présomption de conformité à l’AI Act. Elle fournit en revanche une base d’organisation et de preuves utile pour s’y préparer.
Comment se préparer à la certification ISO 42001 ?
Il faut définir le périmètre et la politique IA, recenser les systèmes d’IA, évaluer leurs risques et leurs impacts, mettre en place les contrôles utiles, conduire un audit interne puis une revue de direction, avant l’audit de certification par un organisme accrédité. Une plateforme comme Fruggr aide à centraliser ces éléments et ces preuves.
Préparer l’ISO 42001 : faites le point sur vos usages IA
En une démo, voyez comment Fruggr recense vos systèmes d’IA, centralise vos contrôles et constitue vos preuves.