Quel référentiel IA choisir : 42001, NIST ou AI Act

Trois textes, trois natures différentes

La question « quel référentiel IA choisir » cache un malentendu classique. ISO/IEC 42001, le NIST AI RMF et l'AI Act ne jouent pas dans la même catégorie. L'un est une norme de management certifiable, l'autre un cadre volontaire de gestion des risques, le troisième un règlement contraignant. Les opposer revient à comparer un permis de conduire, un manuel de conduite défensive et le code de la route.

ISO/IEC 42001:2023 est la première norme internationale dédiée aux systèmes de management de l'intelligence artificielle, publiée le 18 décembre 2023^[4]. Elle est certifiable par un organisme accrédité, sur le modèle éprouvé d'ISO 27001^[8]. Sa logique : structurer, documenter, améliorer.

L'AI Act est entré en vigueur le 1er août 2024 et s'applique de façon progressive jusqu'en 2027^[8]. Il impose des obligations, il ne propose pas. La Commission européenne a d'ailleurs mandaté le CEN/CENELEC pour élaborer les normes harmonisées, et la norme ISO 42001 sert de base de travail pour la partie « système de management » applicable aux IA à haut risque^[8].

Le NIST AI RMF, publié par l'institut américain de normalisation, reste un cadre volontaire de gestion des risques IA. Il n'est pas certifiable et ne vaut pas conformité réglementaire, mais il structure la réflexion sur les risques techniques et sociétaux liés à l'IA. Le sujet du recouvrement entre ISO 42001 et NIST AI RMF est traité en détail dans notre comparatif dédié au crosswalk officiel.

Nature juridique des trois référentiels

Un visuel s'impose ici pour éviter la confusion entre norme volontaire, cadre méthodologique et texte contraignant.

1ISO 42001 : norme volontaire, certifiable, structure PDCA

2NIST AI RMF : cadre volontaire, non certifiable, orienté risques

3AI Act : règlement européen, contraignant, application par paliers

Sources : ISO^[6], AFNOR^[8].

ISO/IEC 42001 : le socle de management certifiable

ISO/IEC 42001 spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer un système de management de l'IA, souvent désigné SMIA ou AIMS^[4]. La norme s'organise autour de dix clauses. Les articles 1 à 3 posent la portée et les définitions, les articles 4 à 10 portent les exigences essentielles : contexte, leadership, planification, support, opération, évaluation des performances, amélioration^[7].

Deux annexes complètent le texte. L'annexe A liste les contrôles de référence sur les risques IA, notamment l'atténuation des biais, la gouvernance des données et la réponse aux incidents. L'annexe B fournit un guide de mise en œuvre^[7]. Pour un panorama complet des clauses, notre page dédiée à la structure de la norme clause par clause détaille chaque exigence.

La norme s'adresse à toute organisation qui développe, fournit ou utilise des systèmes d'IA, quelle que soit sa taille ou son secteur^[4]. La certification, délivrée par un organisme accrédité, est valable trois ans avec des audits annuels de surveillance^[8]. Selon FeelAgile, cabinet spécialisé, un projet de certification s'étale généralement sur six à douze mois en fonction de la maturité initiale^[2], information à recouper sur la source officielle pour votre cas.

Pour un dirigeant de PME romande, le poids de 42001 tient moins à ses exigences qu'à ce qu'elle permet de démontrer : une gouvernance IA structurée, opposable à un client, un auditeur, un régulateur. C'est le seul des trois textes qui débouche sur un certificat.

NIST AI RMF : le cadre de gestion des risques

Le NIST AI RMF n'apparaît pas directement dans le dossier de sources fourni, mais son positionnement se comprend par contraste avec ISO 42001. Là où la norme ISO impose une architecture complète de management (politique, rôles, revue de direction, amélioration continue), le cadre du NIST propose une méthode structurée d'identification et de traitement des risques IA, sans exigence de certification.

Ce cadre reste très utilisé côté américain, notamment pour les organisations qui n'entrent pas dans le périmètre européen mais veulent démontrer une hygiène de gouvernance. Il peut nourrir la clause 6 d'ISO 42001, celle qui porte l'appréciation des risques. Notre article sur l'appréciation des risques selon la clause 6.1.2 détaille cette mécanique.

Interprétation : pour une PME suisse qui vise un marché européen et suisse, le NIST AI RMF est un outil complémentaire de méthode, rarement un choix stratégique premier. Il n'ouvre aucune porte réglementaire en Europe et ne produit pas de preuve auditable au sens ISO.

AI Act : l'obligation réglementaire européenne

L'AI Act est le seul des trois textes qui s'impose sans choix possible dès lors que votre système d'IA est mis sur le marché ou utilisé dans l'Union européenne. Entré en vigueur le 1er août 2024, son application est progressive jusqu'en 2027, avec des paliers selon la catégorie de risque^[8].

Le règlement classe les systèmes d'IA par niveau de risque et fait peser les obligations les plus lourdes sur les systèmes dits à haut risque. Pour ces derniers, la Commission européenne a mandaté le CEN/CENELEC afin d'élaborer les normes harmonisées, dont une portera spécifiquement sur le système de management, en s'appuyant sur ISO 42001^[8]. Notre analyse du recouvrement réel entre ISO 42001 et l'AI Act détaille ce pont normatif.

Point d'attention pour les dirigeants suisses : la Suisse n'est pas membre de l'UE, l'AI Act ne s'y applique donc pas directement. Il s'applique dès qu'une PME romande fournit un système d'IA, ou son résultat, à des utilisateurs situés dans l'UE. Côté droit interne, la coordination se fait avec la nLPD suisse, qui traite les données personnelles mais ne régule pas l'IA en tant que telle.

Piège fréquent : croire qu'une certification 42001 vaut conformité AI Act. Selon AFNOR, la certification 42001 permet de se structurer sans attendre la publication des normes harmonisées, ce qui n'est pas la même chose^[8]. La question du chevauchement mérite un traitement propre, que nous détaillons dans notre analyse complément ou doublon.

Grille de décision selon votre situation

La question « quel référentiel IA choisir » ne se traite pas dans l'absolu. Elle se décline selon trois variables : marché visé, profil de risque des systèmes d'IA déployés, et besoin de preuve opposable.

Choix indicatif selon la situation
Situation	Référentiel prioritaire
PME suisse, IA interne, marché suisse uniquement	ISO 42001 comme socle volontaire, nLPD pour les données personnelles
PME romande vendant en UE, IA à haut risque	AI Act obligatoire, ISO 42001 comme voie de preuve
Fournisseur B2B à clients réglementés	ISO 42001 certifiée, souvent exigée en appel d'offres
Filiale d'un groupe américain	NIST AI RMF pour la méthode, ISO 42001 pour la preuve

Cette grille reste indicative. Elle doit être croisée avec une analyse d'écart sur vos pratiques actuelles avant tout choix d'investissement. Les hubs comparatifs et réglementation et comprendre la norme regroupent les analyses par angle.

Cas d'école romand

Une PME vaudoise éditant un outil SaaS d'aide à la décision RH, vendu à des clients en France et en Allemagne : l'AI Act s'applique, car l'outil relève probablement du haut risque (annexe III, emploi). ISO 42001 devient le véhicule le plus rapide pour construire la preuve de gouvernance, en attendant la norme harmonisée. Le NIST AI RMF peut nourrir la méthode d'appréciation des risques, mais ne produira ni certificat ni conformité réglementaire.

Comment les articuler sans doublons

Les trois textes se recouvrent partiellement, ce qui explique le sentiment de redondance. La logique d'articulation tient en trois principes.

Premier principe, l'AI Act fixe le quoi. Il définit ce qui est interdit, ce qui est à haut risque, ce qui doit être documenté. Il ne dit pas comment structurer votre organisation pour y répondre.

Deuxième principe, ISO 42001 fournit le comment structurel. Sa logique PDCA, similaire à celle d'ISO 27001, permet de construire un système de management intégrable aux dispositifs existants^[7]. AFNOR souligne que 42001 s'intègre facilement à d'autres normes de même structure comme ISO 27001^[8]. Notre comparatif ISO 42001 vs ISO 27001 détaille ces passerelles.

Troisième principe, le NIST AI RMF alimente le comment méthodologique sur la partie risques. Il n'ajoute pas de couche de conformité, il fournit une boîte à outils. La question du recouvrement précis avec ISO 42001 est traitée dans notre analyse du crosswalk officiel.

Concrètement, une organisation mature construit un socle 42001, mappe ses contrôles aux exigences AI Act pour les systèmes à haut risque, et emprunte au NIST AI RMF les techniques d'appréciation des risques les plus utiles à son contexte. Elle évite ainsi de payer trois fois la même documentation.

Pièges fréquents et angles morts

Premier piège, confondre certification et conformité. Une certification ISO 42001 démontre qu'un système de management existe et fonctionne, elle ne certifie ni la conformité à l'AI Act, ni l'innocuité d'un système d'IA particulier^[8]. Le certificat porte sur l'organisation, pas sur les modèles.

Deuxième piège, sous-estimer la charge documentaire. ISO 42001 exige un corpus documentaire structuré au titre de la clause 7.5, détaillé dans notre liste des documents obligatoires. Chaque référentiel a ses propres exigences de preuve, l'accumulation devient vite ingérable sans plan d'intégration.

Troisième piège, choisir trop tôt. À la date de rédaction (juillet 2026), les normes harmonisées de l'AI Act ne sont pas toutes publiées, et 42001 reste une norme récente, publiée fin 2023^[4], susceptible de révisions à venir^[8]. Un dirigeant prudent balise ses choix par des points de revue, sans figer un investissement lourd sur un texte encore mouvant.

Quatrième piège, ignorer les caractéristiques propres à l'IA. La conformité cybersécurité standard ne couvre pas les menaces spécifiques comme l'empoisonnement des données d'entraînement, les attaques par inversion de modèle, ou les exemples adverses^[1]. Ces risques exigent des contrôles dédiés, que ce soit via l'annexe A d'ISO 42001 ou les fonctions du NIST AI RMF.

Cinquième piège, croire qu'un référentiel remplace l'analyse d'impact. Les démarches observées montrent que la valeur d'une gouvernance IA se joue dans la qualité de l'analyse d'impact des systèmes d'IA, pas dans le nombre de certificats accrochés au mur. Aucun référentiel ne se substitue à un jugement métier sur les usages concrets.

Questions fréquentes

ISO 42001 rend-elle la conformité à l'AI Act automatique ?

Non. Selon AFNOR, la certification ISO 42001 permet de se structurer sans attendre les normes harmonisées de l'AI Act, mais ne vaut pas conformité au règlement^[8]. La Commission européenne a mandaté le CEN/CENELEC pour élaborer des normes harmonisées spécifiques, dont une utilisera ISO 42001 comme base pour la partie management^[8]. Les deux exercices restent distincts.

Une PME suisse doit-elle se soucier de l'AI Act ?

Oui dès que ses systèmes d'IA, ou les résultats produits, atteignent des utilisateurs dans l'Union européenne. L'AI Act est entré en vigueur le 1er août 2024 avec une application progressive jusqu'en 2027^[8]. Pour une activité purement suisse, la nLPD reste la référence sur les données personnelles.

Combien de temps pour se certifier ISO 42001 ?

Selon FeelAgile, cabinet spécialisé, un projet mené avec méthode aboutit en six à douze mois selon la maturité initiale de l'organisation^[2], information à recouper sur les sources officielles. Le certificat, une fois délivré par un organisme accrédité, est valable trois ans avec audits annuels de surveillance^[8].

Peut-on combiner ISO 42001 et ISO 27001 dans un seul système ?

Oui. Les deux normes partagent la structure de haut niveau des systèmes de management ISO. AFNOR souligne qu'ISO 42001 s'intègre facilement aux systèmes s'appuyant sur d'autres normes de même structure comme ISO 27001^[8]. La méthodologie PDCA commune facilite l'intégration^[7]. Notre comparatif dédié détaille les points de convergence et de spécificité.

Le NIST AI RMF vaut-il conformité en Europe ?

Non. Le NIST AI RMF est un cadre volontaire de gestion des risques, non certifiable, sans valeur juridique dans l'Union européenne ni en Suisse. Il apporte une méthode utile pour structurer l'appréciation des risques IA, complémentaire à ISO 42001 sur la clause 6, mais ne produit ni certificat, ni preuve opposable à un régulateur européen.

Situer votre organisation face à la norme ISO 42001

Un premier échange permet de cadrer les écarts à combler et les priorités.

Demander un avis indépendant