ISO 42001 et gouvernance de l'IA : quel lien réel

Gouvernance de l'IA et SMIA, deux notions à ne pas confondre

La gouvernance de l'IA est une posture d'organisation : qui décide, sur quels critères, avec quelles limites, et comment on rend des comptes. L'ISO/IEC 42001 ne crée pas cette posture, elle lui donne une forme auditable en exigeant un SMIA, c'est-à-dire un système de management dédié à l'intelligence artificielle^[6].

Le glissement est subtil mais important pour un dirigeant. Une charte IA affichée sur l'intranet relève de la gouvernance déclarative. Un SMIA au sens de la norme suppose des politiques, des rôles, des objectifs, des revues et des preuves, avec une logique de cycle Planifier, Faire, Vérifier, Agir^[2].

Autrement dit, la norme déplace la question. Elle ne demande pas seulement si tel usage IA est risqué, mais si l'organisation dispose d'un dispositif fiable pour identifier, traiter, suivre et améliorer ses risques et opportunités IA^[6]. C'est cette bascule que le lecteur doit tenir en tête avant d'ouvrir le texte de la norme, dont la structure clause par clause suit la logique classique des systèmes de management ISO.

Le point de départ : le contexte de l'organisation

Le chapitre 4 de la norme, consacré au contexte, est souvent traité comme une formalité. C'est une erreur. Il conditionne tout le reste : périmètre du SMIA, parties intéressées, enjeux internes et externes, rôle joué par l'organisation dans le cycle de vie des systèmes IA^[5].

Pour une PME, la question centrale est de savoir si elle est fournisseur, intégrateur, déployeur ou simple utilisatrice d'IA. Le positionnement change les obligations et les preuves attendues, à la fois du côté de la norme et du côté du droit européen^[6]. Cette clarification alimente ensuite la cartographie des systèmes IA, socle d'une gouvernance qui ne parle pas dans le vide.

Le contexte doit aussi identifier les parties intéressées : clients, régulateurs, employés, sous-traitants, autorités sectorielles. Selon la lecture qu'en propose un cabinet spécialisé, ce travail conditionne la crédibilité du leadership qui suit au chapitre 5, en particulier l'articulation entre stratégie globale et politique IA^[5]. À recouper avec le texte officiel de la norme.

Clause 5.3 : attribuer les rôles noir sur blanc

La clause 5 concentre l'essentiel de ce qui distingue une gouvernance de l'IA défendable d'une posture d'intention. Elle exige trois choses articulées : l'engagement effectif de la direction, une politique IA formalisée, et une attribution claire des rôles et responsabilités liés au SMIA^[5].

La clause 5.3, spécifiquement, demande que la direction attribue et communique les responsabilités et autorités pour les rôles pertinents au SMIA. Deux angles doivent être couverts : la conformité du système au référentiel, et le compte rendu à la direction sur la performance de ce système. En pratique, cela suppose une matrice claire couvrant les usages IA, les propriétaires de risque, les référents techniques et les instances de décision.

Selon la lecture de la clause 5.1 diffusée par un cabinet francophone, le leadership crédible en IA implique aussi d'installer une culture de la responsabilité, avec ressources allouées, indicateurs suivis et revues périodiques^[5]. Les décisions structurantes, comité de pilotage IA, budget, revues trimestrielles, doivent laisser une trace documentée. Sans quoi la clause 5.3 reste une case cochée, pas une gouvernance.

Décomposition proposée par un cabinet francophone à partir du texte de la norme^[5].

5.1Engagement et exemplarité de la direction

5.2Politique IA formalisée et diffusée

5.3Rôles et responsabilités attribués

Les trois piliers doivent tenir ensemble. Un seul suffit rarement à convaincre un auditeur.

Un exemple romand parlant

Une fiduciaire genevoise qui déploie un assistant de rédaction fondé sur un modèle de langage tiers doit, pour tenir la clause 5.3, désigner nommément un propriétaire du cas d'usage, un référent conformité qui rend compte à la direction, et un mécanisme de remontée d'incidents. Ce trio, adossé à une politique IA validée par la direction, forme le squelette minimal d'un SMIA défendable en audit. Il alimente aussi la déclaration d'applicabilité attendue plus tard dans la démarche.

La famille de normes autour de 42001

La norme 42001 est certifiable, mais elle n'existe pas seule. Elle s'inscrit dans une famille qui comprend au moins l'ISO/IEC 22989 pour le vocabulaire, l'ISO/IEC 38507 pour la gouvernance par la direction, l'ISO/IEC 23894 pour la gestion du risque IA et l'ISO/IEC 42005 pour l'évaluation d'impact des systèmes d'IA^[3].

Cette organisation en famille a une conséquence pratique. Un dirigeant qui construit sa gouvernance peut s'inspirer de plusieurs textes sans obligatoirement viser la certification 42001. Les fiches de la 38507 sur la gouvernance et de la 23894 sur les risques offrent des cadres cohérents avec la 42001 tout en restant plus légers à digérer^[3].

Au-delà de la famille IA, la norme s'articule avec les référentiels existants : l'ISO/IEC 27001 pour la sécurité de l'information, l'ISO 27701 pour la protection des données, l'ISO 31000 pour la gestion des risques et l'ISO 9001 pour la qualité^[2]. La structure commune HLS des normes de management ISO facilite l'intégration^[8].

Articulation avec l'AI Act et le droit suisse

ISO 42001 n'est pas l'AI Act. Le règlement européen fixe des obligations légales par niveau de risque, la norme fournit un cadre volontaire pour organiser la conformité et produire les preuves^[4]. La Commission européenne a rappelé, selon la lecture rapportée en juillet 2026, que l'application pleine de l'AI Act intervient à partir du 2 août 2026, avec des transitions pour certains systèmes à haut risque, à vérifier sur la source officielle^[6].

Une certification ISO 42001 construit ce que plusieurs certificateurs appellent une présomption de conformité, notamment pour les usages classés à haut risque : gestion des risques, documentation des systèmes, traçabilité, supervision humaine^[4]. Le CEN-CENELEC a d'ailleurs été mandaté pour élaborer les normes harmonisées de l'AI Act, en s'appuyant sur la 42001 comme base de travail pour la partie système de management^[8].

Pour une entreprise suisse, l'articulation se joue sur deux fronts. D'un côté, l'exposition à l'AI Act dès qu'il y a activité vers l'Union européenne. De l'autre, la conformité à la nLPD pour les traitements de données personnelles. La norme n'absorbe ni l'une ni l'autre, elle offre un cadre de pilotage compatible.

Prouver sa gouvernance quand on est une PME

Un dirigeant de PME confronté à la question n'a pas besoin de tout viser d'un coup. Une trajectoire progressive est possible : cartographier les usages IA existants, qualifier les risques, formaliser une politique et attribuer les responsabilités, avant de décider si la certification se justifie^[6].

La première brique utile est l'état des lieux. Quels usages IA sont réellement en place, officiels ou non. Quels usages touchent des données sensibles ou des décisions importantes. Quels processus disposent déjà de contrôles réutilisables issus de la sécurité de l'information ou de la qualité^[6]. Cet inventaire nourrit ensuite la démarche décrite dans la section Comprendre du site.

La seconde brique est la politique IA. Elle doit être adaptée à la finalité de l'organisation, fournir le cadre des objectifs IA, acter l'engagement de conformité aux exigences applicables et d'amélioration continue, exister en information documentée, et être diffusée en interne^[5]. Un document de trois à cinq pages, validé formellement par la direction et cohérent avec les politiques existantes en matière de RGPD ou de sécurité, suffit à démarrer.

Ce que la clause 5.3 attend concrètement

• Une matrice qui associe chaque usage IA à un propriétaire nommé.
• Un rôle explicitement chargé de rendre compte de la performance du SMIA à la direction.
• Un canal formel de remontée des incidents et non-conformités liés à l'IA.
• Une instance de gouvernance, comité ou revue, avec calendrier et compte rendu.
• Une articulation avec les rôles existants du RSSI, du DPO et de la qualité.

La logique observée dans les démarches récentes montre que les organisations qui échouent à la clause 5.3 sont celles qui ont attribué le SMIA au seul responsable informatique. La norme suppose une gouvernance transverse, adossée à la direction générale et intégrée aux processus métier existants^[5].

Pièges fréquents observés

Premier piège, la charte IA sans dispositif derrière. Beaucoup d'organisations publient une charte d'usage de l'IA générative, croient avoir traité la gouvernance, et n'ont ni cartographie, ni rôles attribués, ni revue. La norme n'accepte pas ce raccourci : elle exige un système de management, pas une déclaration d'intention^[6].

Deuxième piège, le doublon avec la sécurité de l'information. ISO 27001 protège les informations, ISO 42001 encadre l'usage de l'IA. Les deux normes se recouvrent partiellement mais ne se substituent pas l'une à l'autre. La démarche efficace consiste à intégrer les contrôles là où c'est possible et à documenter les spécificités IA, notamment biais, explicabilité et supervision humaine^[8].

Troisième piège, viser la certification trop tôt. Une norme volontaire n'a de sens que si le système vit. Il vaut mieux consolider quelques mois une gouvernance simple, avec une politique claire et une matrice de rôles opérationnelle, avant d'engager un audit de certification. Les analyses de terrain rappellent que la valeur vient de la manière dont la structure est traduite dans le quotidien, pas du certificat en cadre^[6]. Cette prudence est cohérente avec la manière dont un résumé destiné à un dirigeant aborde la question.

Quatrième piège, ignorer la chaîne de sous-traitance. Une part des usages IA passe par des fournisseurs tiers. La norme demande à l'organisation de s'assurer que ses partenaires respectent les mêmes engagements éthiques, techniques et de sécurité, avec clauses contractuelles adaptées et évaluation des risques tiers^[2]. Un cas fréquent : l'usage massif d'un modèle propriétaire américain sans revue contractuelle du côté du déployeur.

Questions fréquentes

À lire ensuite