Qu'est-ce que la norme ISO/IEC 42001 ?

Une norme de management, pas une liste de principes

L'ISO/IEC 42001 est la première norme internationale dédiée au management de l'intelligence artificielle.^[1][2] Contrairement à une charte ou à un ensemble de principes éthiques, c'est une norme de système de management certifiable : une organisation peut être auditée par un organisme accrédité et obtenir un certificat.^[2][5]

La distinction est importante. Une charte éthique énonce des intentions, mais ne dit ni comment les tenir ni comment le prouver. Une norme de système de management, elle, définit un cadre organisationnel concret. Au sens de la norme, un système de management est un ensemble d'éléments en interaction qui servent à établir des politiques, des objectifs et les processus pour les atteindre.^[4] Appliquée à l'IA, cette mécanique transforme de bonnes intentions en pratiques vérifiables.

Elle repose sur la logique d'amélioration continue Plan-Do-Check-Act, commune aux normes de management de l'ISO : on planifie, on met en œuvre, on vérifie, puis on corrige, en boucle.^[3][5] Elle a été publiée en décembre 2023, élaborée par le comité technique commun ISO/IEC JTC 1/SC 42, consacré à l'intelligence artificielle.^[1][4] Son adoption pour étendre les structures de management existantes est présentée comme une décision stratégique de l'organisation, pas comme un simple projet technique.^[4]

Pourquoi l'IA appelle une norme dédiée

On pourrait penser qu'une bonne gouvernance informatique suffit. La norme explique pourquoi l'IA soulève des considérations qui dépassent la gestion classique des systèmes d'information.^[4]

D'abord, l'IA sert parfois à prendre des décisions automatiques, d'une manière qui n'est pas toujours transparente ni explicable. Cela demande une maîtrise particulière, au-delà de ce qu'exige un logiciel traditionnel dont on connaît la logique.^[4] Ensuite, ces systèmes s'appuient sur l'analyse de données et l'apprentissage automatique plutôt que sur des règles écrites à la main, ce qui élargit les usages possibles mais change la façon dont ils sont conçus, justifiés et déployés.^[4]

Enfin, certains systèmes apprennent en continu et modifient leur comportement pendant leur utilisation. Leur usage responsable doit donc être surveillé dans la durée, car ce qui était vrai à la mise en service ne l'est plus forcément six mois plus tard.^[4] Ces trois caractéristiques justifient un cadre de gouvernance pensé spécifiquement pour l'IA, et non un simple ajout aux procédures existantes.

Le système de management de l'IA

La norme définit les exigences d'un système de management de l'IA, souvent abrégé SMIA.^[1] Il s'agit d'un cadre organisationnel qui structure la gouvernance de l'IA : politique dédiée, rôles et responsabilités, gestion des risques et des opportunités, analyse d'impact des systèmes, et maîtrise de leur cycle de vie.^[4] L'idée n'est pas d'ajouter une couche de bureaucratie, mais de rendre lisibles et pilotables des décisions qui, sans cela, se prennent au cas par cas.

La norme insiste sur la fiabilité des systèmes d'IA. Cela recouvre plusieurs préoccupations qu'elle nomme explicitement : la sécurité, la sûreté, l'équité, la transparence et la qualité des données, tout au long du cycle de vie des systèmes.^[4] Elle vise aussi la gestion des fournisseurs, des partenaires et des tiers qui développent ou fournissent de l'IA, car une organisation reste responsable des outils qu'elle déploie même quand elle ne les a pas construits.^[4]

Le système repose sur une approche par les risques : le niveau de contrôle s'ajuste aux usages réels de l'IA dans le périmètre de l'organisation.^[4] Un usage à fort enjeu, qui touche des personnes ou des données sensibles, appelle des garde-fous plus stricts qu'un usage interne anodin. Cette proportionnalité est ce qui rend la norme applicable aussi bien à une petite structure qu'à un grand groupe, sans imposer le même effort à tous.

Le cycle Plan-Do-Check-Act

Le moteur du système est un cycle d'amélioration continue : Plan-Do-Check-Act, soit planifier, réaliser, vérifier, agir.^[3] On planifie ce que l'on veut maîtriser et comment, on met en œuvre, on vérifie que cela fonctionne, puis on corrige, et le tour recommence. Ce n'est pas une démarche que l'on boucle une fois pour toutes.

L'ISO avance trois raisons à ce cycle. Il garantit d'abord que la valeur de l'IA est reconnue, avec le bon niveau de supervision. Il permet ensuite à l'organisation d'adapter son approche au rythme rapide d'évolution de la technologie. Il pousse enfin à conduire des évaluations et des traitements de risques à intervalles réguliers, plutôt qu'une seule fois au lancement.^[3] Pour des systèmes qui apprennent et changent de comportement, cette répétition n'est pas un luxe, c'est la condition pour que la maîtrise reste valable dans le temps.

Concrètement, à quoi cela ressemble

Prenons, à titre d'illustration, une fiduciaire romande qui utilise un outil d'IA pour pré-trier des documents clients. Appliquer l'ISO 42001 n'est pas un projet informatique : c'est désigner un responsable de cet usage, identifier les risques qu'il fait courir (confidentialité des données, erreurs de classement), fixer des règles d'utilisation claires, vérifier régulièrement que l'outil se comporte comme prévu, et corriger lorsqu'un écart apparaît. La norme donne le cadre pour mener cette démarche de façon ordonnée plutôt qu'au cas par cas.

On retrouve le cycle dans cet exemple. La fiduciaire planifie en définissant qui est responsable, quelles règles s'appliquent et quels risques surveiller. Elle réalise en utilisant l'outil dans ce cadre. Elle vérifie en contrôlant, à intervalles réguliers, que le tri reste fiable et que la confidentialité est tenue. Elle agit en corrigeant les écarts, par exemple en revoyant une règle ou en changeant un paramètre. Aucune de ces étapes ne suppose de compétence en science des données : ce sont des actes de gouvernance, à la portée d'une petite structure.

À qui s'adresse l'ISO 42001

Elle concerne toute organisation qui développe, fournit ou utilise des produits ou des services fondés sur l'IA.^[2][3] Elle est conçue pour s'appliquer :

• quelle que soit la taille de l'organisation ;^[3]
• dans tous les secteurs d'activité ;^[3]
• aux entreprises comme aux organisations à but non lucratif et au secteur public.^[3]

La norme va d'ailleurs plus loin que la taille ou le secteur : elle demande à chaque organisation de déterminer le rôle qu'elle joue face à l'IA. Elle distingue plusieurs familles, du fournisseur qui conçoit un système au client qui l'utilise, en passant par le partenaire qui apporte des données, les personnes concernées par les décisions de l'IA et les autorités.^[4] Ce rôle n'est pas qu'une étiquette : il détermine l'étendue des exigences qui s'appliquent réellement, car celui qui ne fait qu'utiliser un outil ne répond pas de la façon dont il a été entraîné.

Le détail des rôles et du périmètre est traité dans un article dédié, à qui s'applique l'ISO 42001, car c'est le rôle joué face à l'IA qui détermine, pour chaque organisation, l'étendue des exigences qui la concernent.

Pourquoi une organisation l'adopte

Trois motivations reviennent : démontrer une gouvernance responsable de l'IA à ses clients, partenaires et autorités ; structurer des pratiques internes alors que les usages d'IA se multiplient ; et obtenir, par la certification d'un tiers, une preuve vérifiable de cette maîtrise.^[2][3] L'adoption reste un choix de l'organisation, puisque la norme est volontaire.^[4]

L'ISO met en avant des bénéfices concrets : un cadre pour gérer les risques et les opportunités liés à l'IA, une meilleure qualité, sécurité, traçabilité, transparence et fiabilité des applications, une plus grande confiance dans les systèmes, et une réduction des coûts de développement.^[3][1] Elle cite aussi une meilleure conformité réglementaire, grâce à des contrôles, des schémas d'audit et des recommandations cohérents avec les lois et réglementations émergentes.^[3]

Au-delà des bénéfices internes, la certification par un organisme accrédité joue un rôle particulier. Elle transforme une démarche interne en une preuve vérifiable de l'extérieur : un tiers indépendant audite le système de management et confirme qu'il répond aux exigences de la norme.^[2][5] Pour un client, un partenaire ou une autorité, c'est un signal qui ne repose pas sur la seule parole de l'organisation. C'est aussi ce qui sépare une norme certifiable d'une charte que l'on s'auto-décerne : la première engage un regard extérieur, la seconde non. Le détail du parcours, de l'organisme accrédité à l'audit en deux étapes, est traité dans le pilier se certifier.

La question utile n'est donc pas tant « sommes-nous obligés » que « avons-nous intérêt ». Pour aller plus loin sur ce point, voir l'ISO 42001 est-elle obligatoire.

Comment la norme est construite

L'ISO 42001 suit la structure harmonisée commune aux normes de système de management de l'ISO. Cette structure partagée facilite son intégration avec d'autres normes, par exemple l'ISO/IEC 27001 sur la sécurité de l'information.^[4]

Les trois premières clauses posent le cadre : domaine d'application, références normatives, termes et définitions. Les exigences que l'on met réellement en place sont organisées en clauses numérotées de 4 à 10 : contexte de l'organisation, leadership, planification, support, fonctionnement, évaluation des performances et amélioration.^[4] La norme comporte aussi quatre annexes : l'Annexe A présente des objectifs et des mesures de référence, l'Annexe B en donne le guide de mise en œuvre, l'Annexe C recense des sources de risques liées à l'IA, et l'Annexe D traite de l'usage du système de management selon les domaines ou les secteurs.^[4]

Chacune de ces clauses a une fonction propre. La clause 4 demande de comprendre son contexte, ses rôles face à l'IA, ses parties intéressées et de fixer le périmètre. La clause 5 porte sur le leadership : engagement de la direction, politique d'IA, attribution des rôles et des responsabilités. La clause 6, sur la planification, couvre l'appréciation et le traitement des risques, l'analyse d'impact des systèmes et la définition d'objectifs.^[4]

La clause 7, sur le support, traite des ressources, des compétences, de la sensibilisation, de la communication et de l'information documentée. La clause 8, sur le fonctionnement, met en œuvre au quotidien ce qui a été planifié. La clause 9 évalue les performances par la surveillance, l'audit interne et la revue de direction. La clause 10, enfin, organise l'amélioration et le traitement des non-conformités.^[4] Ensemble, ces sept clauses forment le cycle complet, de la compréhension du contexte jusqu'à la correction.

Les clauses 1 à 3 posent le cadre (domaine d'application, références, termes et définitions). Les clauses 4 à 10 forment les exigences du système de management.

4Contexte de l'organisation

5Leadership

6Planification

7Support

8Fonctionnement

9Évaluation des performances

10Amélioration

A à DAnnexes

Structure harmonisée commune aux normes de management de l'ISO. Schéma reformulé, le texte de la norme n'est pas reproduit.

La norme précise que l'ordre de présentation des exigences ne reflète ni leur importance ni l'ordre dans lequel elles doivent être mises en œuvre.^[4] Chaque clause est détaillée, clause par clause et annexe par annexe, dans la structure de la norme.

Sa place dans la famille des normes IA de l'ISO

L'ISO/IEC 42001 ne vit pas seule. Elle s'inscrit dans un ensemble de normes que l'ISO et l'IEC ont développées pour encadrer l'intelligence artificielle, chacune avec un rôle distinct.^[1]

L'ISO/IEC 22989 établit la terminologie et les concepts de l'IA. L'ISO/IEC 23053 fournit un cadre pour décrire les systèmes d'IA fondés sur l'apprentissage automatique. L'ISO/IEC 23894 donne des recommandations sur le management des risques liés à l'IA.^[1][3] À côté de ces textes, l'ISO/IEC 42005 porte spécifiquement sur l'analyse d'impact des systèmes d'IA.^[1]

Dans cet ensemble, l'ISO 42001 occupe une place particulière : c'est la norme de système de management. Là où les autres décrivent des concepts, des cadres techniques ou des recommandations, elle organise la gouvernance d'ensemble de l'organisation, en s'appuyant sur les autres quand c'est utile.^[3] C'est aussi pourquoi elle suit la voie d'autres normes de management devenues des standards de fait, comme l'ISO 9001 pour la qualité, l'ISO 14001 pour l'environnement et l'ISO/IEC 27001 pour la sécurité de l'information.^[3]

Cette filiation est rassurante pour qui hésite. Adopter l'ISO 42001 ne demande pas de réinventer une méthode, mais d'appliquer à l'IA une logique de management éprouvée depuis des décennies dans d'autres domaines. Une organisation déjà certifiée 9001 ou 27001 y retrouvera des réflexes familiers, la même structure harmonisée et les mêmes principes, et pourra souvent s'appuyer sur ce qui existe déjà plutôt que de repartir d'une page blanche.^[4]

Ce que l'ISO 42001 n'est pas

Quelques malentendus reviennent souvent, et les lever aide à comprendre ce qu'est vraiment la norme.

Ce n'est pas une loi. C'est une norme volontaire, pas une obligation réglementaire.^[4] Les obligations, lorsqu'il y en a, viennent du droit applicable, comme l'AI Act européen ou la nLPD suisse, traités dans le pilier comparatifs. La norme peut aider à s'y préparer, mais ne s'y substitue pas.

Ce n'est pas un label « IA éthique » ni une garantie d'absence de risque. La norme fournit un cadre de gestion, pas un jugement moral ni un certificat de perfection. Un système certifié reste un système surveillé, parce que le risque zéro n'existe pas et que la norme ne le prétend nulle part.

Ce n'est pas réservé aux grandes entreprises ni à un secteur. Elle s'applique à toute organisation, quelle que soit sa taille, et son approche proportionnée aux risques évite d'imposer à une PME l'effort d'un grand groupe.^[3]

Ce n'est pas un projet purement technique. Le plus difficile se joue dans la gouvernance et l'organisation : des rôles clairs, des règles écrites, une surveillance régulière. La technique vient en appui, elle n'est pas le cœur de la démarche.

Par où commencer

Comprendre ce qu'est la norme est une chose, s'y mettre en est une autre. La norme elle-même donne le point de départ : son adoption est une décision stratégique, prise au niveau de la direction, pas une tâche que l'on délègue à un service technique.^[4]

L'enchaînement de la clause 4 dessine les premiers pas. Il s'agit d'abord de comprendre son contexte et de déterminer les rôles que l'on joue face à l'IA, puis d'identifier les parties intéressées et leurs attentes, et enfin de fixer le périmètre du système de management, c'est-à-dire ce qu'il couvre concrètement chez soi.^[4] Ce périmètre, tenu à jour comme information documentée, transforme une norme applicable à presque toutes les organisations en un projet borné et réaliste.

Beaucoup d'organisations commencent par une analyse d'écart, pour mesurer la distance entre leurs pratiques actuelles et les exigences de la norme, avant même de décider d'aller jusqu'à la certification. Les étapes concrètes de cette démarche sont détaillées dans le pilier se certifier, et le rôle que vous jouez dans le cadrage est précisé dans à qui s'applique l'ISO 42001.

Pourquoi s'y intéresser maintenant

L'intelligence artificielle s'installe dans des fonctions de plus en plus sensibles, du tri de candidatures à l'aide à la décision en passant par la relation client. Avec ces usages viennent des préoccupations réelles : confidentialité, biais, sécurité, fiabilité.^[3] Plus l'IA pèse dans les activités, plus l'absence de gouvernance se voit, en interne comme aux yeux des clients et des autorités.

C'est exactement le besoin auquel répond une norme de management : offrir un cadre pour tirer la valeur de l'IA sans subir ses risques, à un moment où la technologie évolue plus vite que les pratiques.^[3] L'ISO la situe d'ailleurs dans la lignée de normes devenues des standards de fait dans la vie des affaires, comme l'ISO 9001 pour la qualité ou l'ISO/IEC 27001 pour la sécurité de l'information, et estime qu'elle est appelée à jouer le même rôle pour l'IA.^[3]

Il y a enfin le contexte réglementaire. Plusieurs textes encadrent désormais l'IA, et la norme aide à une meilleure conformité, avec des contrôles et des recommandations cohérents avec les lois émergentes.^[3] Se doter d'un système de management de l'IA aujourd'hui, c'est prendre de l'avance plutôt que de réagir dans l'urgence quand une obligation s'impose. Pour qui veut comprendre où l'IA crée de la valeur chez lui et où elle crée du risque, c'est un point de départ solide, et une démarche que l'on peut engager progressivement, à son rythme.

L'ISO 42001 en bref

Carte d'identité de la norme

Référence	ISO/IEC 42001:2023
Titre officiel	« Technologies de l'information, intelligence artificielle, système de management »[1]
Éditeurs	ISO et IEC, comité commun JTC 1/SC 42[1][4]
Publication	1re édition, décembre 2023[1]
Type	Norme de système de management, certifiable[2][5]
Approche	Amélioration continue (Plan-Do-Check-Act)[3]
Champ d'application	Toute organisation développant, fournissant ou utilisant de l'IA, toutes tailles, tous secteurs[2][3]
Caractère	Volontaire[4]

Questions fréquentes

À lire ensuite