Faut-il l'ISO 27001 avant l'ISO 42001 ?

Deux normes, une structure commune

La question revient dans chaque comité qualité qui envisage la gouvernance IA : faut-il détenir l'ISO 27001 avant de se lancer dans l'ISO 42001 ? La réponse courte est non. Aucune clause de l'ISO/IEC 42001:2023 ne conditionne sa mise en œuvre à l'existence préalable d'un système de management de la sécurité de l'information (SMSI).^[4]

Les deux normes partagent cependant la structure harmonisée ISO (clauses 4 à 10), ce qui rend leur intégration naturelle.^[4] Pour un responsable qualité déjà familier de l'ISO 9001, cette architecture est la même : contexte, leadership, planification, support, réalisation, évaluation des performances, amélioration. Ce socle commun signifie qu'un SMIA peut se greffer sur un SMSI existant sans créer un système parallèle.^[2]

L'ISO 27001 couvre la confidentialité, l'intégrité et la disponibilité de l'information. L'ISO 42001, elle, gouverne le développement, la fourniture et l'utilisation responsables de l'IA.^[1] Les périmètres se recoupent (les données d'entraînement sont aussi des actifs informationnels), mais ils ne se superposent pas. C'est pourquoi l'un ne remplace pas l'autre, et l'un n'exige pas l'autre.

Ce qu'un SMSI apporte déjà au SMIA

Si votre organisation détient déjà l'ISO 27001, vous disposez d'un avantage mesurable. Selon un guide praticien publié en février 2026, l'intégration de l'ISO 42001 dans un SMSI existant permet de réutiliser le registre des risques, les politiques, les comités de gouvernance et le programme d'audit interne.^[2] Concrètement, les éléments suivants sont directement transférables :

• Le processus d'appréciation des risques (clause 6.1), à condition de l'étendre aux risques propres à l'IA.
• Les politiques de classification des données et de gestion des accès.
• Le cadre de gestion des fournisseurs et des tiers.
• Le programme de sensibilisation et de formation du personnel.
• Le cycle d'audit interne et de revue de direction.

Un cabinet spécialisé estime que le délai de certification ISO 42001 se situe entre quatre et neuf mois, et qu'il est plus court lorsque l'organisation détient déjà l'ISO 27001.^[4] Ce gain de temps s'explique par le fait que la moitié environ des clauses du corps de la norme (4 à 10) sont structurellement identiques. Ce qui change, ce sont les contrôles de l'Annexe A : 38 contrôles répartis en neuf catégories (A.2 à A.10), couvrant la politique IA, l'analyse d'impact, le cycle de vie IA et la gouvernance des données.^[4]

Pour un responsable qualité qui gère déjà un SMSI, le travail additionnel porte donc sur ces contrôles spécifiques et non sur la reconstruction d'un système de management complet. Le guide AIGL recommande d'ailleurs de créer une politique de gouvernance IA de haut niveau qui référence la documentation SMSI existante plutôt que de la dupliquer.^[2]

Quand commencer directement par l'ISO 42001

Détenir l'ISO 27001 n'est pas toujours le chemin le plus logique. Selon Vanta, si l'IA constitue ou influence le produit principal de l'organisation, il est préférable de démarrer par l'ISO 42001, voire avant d'obtenir l'ISO 27001.^[6] La raison : les risques les plus élevés de ces organisations sont directement liés aux modèles et aux pipelines livrés aux clients, pas à la sécurité de l'information au sens classique.

Le même rapport observe que les startups IA-natives et les entreprises « AI-first » choisissent souvent de mener l'ISO 42001, l'ISO 27001 et l'ISO 27701 en parallèle dans un programme unique, afin d'établir simultanément la gouvernance IA, la sécurité et la protection des données personnelles.^[6] Cette approche parallèle est cohérente avec la vue d'ensemble des référentiels ISO 42001, ISO 27001 et AI Act.

À l'inverse, les organisations matures qui disposent déjà de l'ISO 27001 préfèrent généralement superposer l'ISO 42001 à leur SMSI.^[6] Le choix dépend donc du profil de risque, pas d'une règle de séquencement universelle.

Prenons un exemple romand : une société genevoise de medtech qui développe un algorithme de triage radiologique. Ses risques principaux portent sur le biais du modèle, la traçabilité des données d'entraînement et l'impact sur les patients. Un SMSI classique ne couvre aucun de ces points. Démarrer par l'ISO 42001 lui permet de structurer sa gouvernance IA dès la conception, puis d'ajouter l'ISO 27001 pour la sécurité des systèmes d'information sous-jacents.

Les risques IA spécifiques à ajouter au registre

Pour les organisations qui partent d'un SMSI existant, l'étape la plus concrète consiste à enrichir le registre des risques. Le guide AIGL identifie quatre catégories de risques IA à intégrer au registre SMSI existant.^[2]

• Biais et discrimination dans les résultats du modèle.
• Entrées adversariales et empoisonnement de modèle (model poisoning).
• Usage non autorisé d'outils IA (shadow AI).
• Fuite de propriété intellectuelle via des services IA tiers.

Le guide recommande d'étendre les méthodologies existantes (ISO 27005 ou NIST AI RMF) plutôt que d'en inventer de nouvelles, en utilisant l'Annexe A de l'ISO 42001 comme référence.^[2] Cette approche est cohérente avec la logique de l'évaluation des risques IA telle que la norme la prévoit.

La différence de nature entre risques informationnels et risques IA mérite attention. Un risque ISO 27001 typique porte sur la perte de confidentialité d'une base de données. Un risque ISO 42001 typique porte sur un modèle qui discrimine une catégorie de personnes dans ses décisions automatisées.^[8] Les deux peuvent concerner le même système (un modèle de scoring crédit, par exemple), mais l'angle d'analyse diffère. Votre registre des risques IA doit refléter cette dualité.

Politiques et gouvernance : élargir sans dupliquer

Le piège le plus coûteux pour une organisation déjà certifiée ISO 27001 est de créer un système de gouvernance IA parallèle : politiques séparées, comités distincts, audits dédoublés. Le guide AIGL avertit explicitement que ce scénario engendre incohérences et surcoûts.^[2]

L'approche recommandée consiste à mettre à jour les politiques existantes pour refléter les réalités IA. Quatre domaines sont concernés :

• Politique d'utilisation acceptable : ajouter des restrictions sur les outils IA publics.
• Classification des données : étiqueter les jeux de données d'entraînement.
• Gestion des tiers : évaluer les fournisseurs IA selon des critères spécifiques.
• Gestion des changements : intégrer le versionnement des modèles.^[2]

Côté gouvernance, le guide propose d'élargir les comités SMSI existants en y intégrant des data scientists, des ingénieurs IA, des juristes et des responsables risques.^[2] Un sous-comité risques IA, rattaché à la structure SMSI, constitue un mécanisme de gouvernance pragmatique. Des rôles tels que « AI Product Owner », « Model Risk Manager » ou « Ethics Reviewer » complètent le dispositif.

Pour une PME romande, cette extension peut se traduire simplement : le responsable qualité qui pilote le SMSI prend en charge le SMIA, avec l'appui d'un référent technique IA. Pas besoin de créer un département supplémentaire. L'article sur l'intégration de l'ISO 42001 dans un SMSI existant détaille cette démarche étape par étape.

Modèles IA comme actifs gérés

Un SMSI gère des actifs informationnels : serveurs, bases de données, applications. L'ISO 42001 ajoute une catégorie d'actifs que l'ISO 27001 ne connaît pas : les modèles IA eux-mêmes. Le guide AIGL recommande d'enregistrer chaque modèle dans l'inventaire d'actifs existant, avec un propriétaire désigné, une finalité documentée, la lignée des données d'entraînement, les limitations connues et l'historique des versions.^[2]

Cette exigence change la manière dont le processus de gestion des changements fonctionne. Un modèle IA n'est pas un logiciel classique : il évolue avec ses données, sa performance peut dériver dans le temps, et un changement de jeu de données peut modifier son comportement sans modification de code. Le processus de change management du SMSI doit donc être adapté pour couvrir le cycle de vie complet du système IA, tel que l'Annexe A.6 le prévoit.

Pour un responsable qualité habitué à gérer un inventaire d'actifs ISO 27001, l'ajout des modèles IA représente une extension logique. La difficulté réside dans la documentation de la lignée des données (data lineage) et dans le suivi de la dérive du modèle, deux sujets qui nécessitent une collaboration étroite avec les équipes techniques.

Audit intégré ou séparé : critères de choix

La certification ISO 42001 suit le même schéma que l'ISO 27001 : un audit de phase 1 (revue documentaire) et un audit de phase 2 (vérification terrain), un certificat valable trois ans, et des audits de surveillance annuels.^[4]

Si vous détenez déjà l'ISO 27001, deux options se présentent. L'audit intégré combine les deux référentiels dans un même cycle d'audit. L'audit séparé maintient deux cycles distincts. Le guide AIGL recommande d'incorporer les vérifications spécifiques à l'IA dans le programme d'audit interne existant.^[2] Cette approche réduit la fatigue d'audit et les incohérences entre les deux systèmes.

Audit intégré vs. audit séparé

Critère	Audit intégré	Audit séparé
Coût	Un seul cycle d'audit, jours d'audit mutualisés	Deux cycles complets, coût cumulé plus élevé
Cohérence documentaire	Vérifiée simultanément	Risque de divergence entre les deux systèmes
Flexibilité calendaire	Contraint par un calendrier unique	Chaque certificat suit son propre rythme
Compétence de l'auditeur	Requiert un auditeur qualifié sur les deux normes	Auditeurs spécialisés par référentiel

Le coût de la certification ISO 42001 est estimé entre 20 000 et 60 000 USD selon un cabinet spécialisé (à la date de septembre 2026).^[4] Pour une organisation déjà certifiée ISO 27001, la fourchette basse est plus réaliste, puisque la documentation de base existe déjà. L'article sur le coût et le délai de certification détaille les postes budgétaires à prévoir.

Piège fréquent : le copier-coller documentaire

Les démarches observées montrent un écueil récurrent : dupliquer la documentation ISO 27001 et remplacer « sécurité de l'information » par « intelligence artificielle ». Ce raccourci produit un système formel mais creux, qui ne résiste pas à l'audit de phase 2.

L'ISO 42001 exige des contrôles qui n'ont aucun équivalent dans l'ISO 27001 : l'analyse d'impact des systèmes IA sur les individus, la documentation de la finalité de chaque système IA, la gestion du biais, la transparence envers les parties prenantes affectées.^[8] Ces contrôles nécessitent un travail de fond, pas un exercice de reformulation.

Le mapping entre les contrôles de l'Annexe A ISO 42001 et ceux de l'ISO 27001 est utile pour identifier les recouvrements et minimiser les doublons.^[2] Mais ce mapping doit servir de point de départ, pas de conclusion. Chaque contrôle IA sans équivalent 27001 requiert une conception propre, des preuves propres et une évaluation propre.

Pour un responsable qualité, la bonne approche consiste à cartographier d'abord les contrôles communs, puis à identifier les lacunes (gap analysis), et enfin à concevoir les contrôles manquants avec les équipes techniques. L'analyse d'écart constitue la première étape concrète de cette démarche.

En résumé pratique : si vous détenez l'ISO 27001, vous avez un avantage réel en termes de structure, de maturité et de délai. Mais cet avantage ne vous dispense d'aucun des contrôles spécifiques à l'IA. Et si votre activité principale est l'IA, rien ne vous empêche de commencer par l'ISO 42001. La norme ne pose aucun prérequis de séquencement.^[6]

Questions fréquentes

À lire ensuite