---
title: "ISO 42001 (système de management de l'IA)"
description: "Ce qu'exige l'ISO 42001 en tant que système de management de l'IA, et comment les entreprises peuvent faire certifier leur AIMS pour l'utilisation d'agents IA en Europe."
locale: "fr"
canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia"
category: "Agents IA"
updated: "2026-10-28T13:32:30.275Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# ISO 42001 (système de management de l'IA)

Ce qu'exige l'ISO 42001 en tant que système de management de l'IA, et comment les entreprises peuvent faire certifier leur AIMS pour l'utilisation d'agents IA en Europe.

## Qu'est-ce que l'ISO/IEC 42001 ?

L'ISO/IEC 42001:2023 (*Information technology. Artificial intelligence. Management system*) est la première norme de système de management (Management System Standard, MSS) certifiable au monde consacrée à l'intelligence artificielle. Elle a été publiée en **décembre 2023** conjointement par l'ISO et la CEI au sein du Joint Technical Committee 1, Subcommittee 42 (ISO/IEC JTC 1/SC 42). La norme fixe les exigences pour établir, exploiter, maintenir et améliorer en continu un **système de management de l'[IA](https://blckalpaca.at/fr/glossaire/ia)**, en anglais *Artificial Intelligence Management System (AIMS)*, en français *système de management de l'intelligence artificielle (SMIA)*.

La norme est volontairement **neutre vis-à-vis des secteurs et des rôles** : elle s'applique à toute organisation, quelle que soit sa taille, qui développe, fournit ou utilise des systèmes d'IA. Dans la terminologie du [règlement européen sur l'IA](https://artificialintelligenceact.eu/article/3/) (art. 3, points 3 et 4), il s'agit surtout des « fournisseurs » (providers) et des « déployeurs » (deployers, c'est-à-dire les organisations qui utilisent l'IA dans leur propre activité). L'ISO/IEC 42001 reprend quant à elle les rôles de l'ISO/IEC 22989, par exemple « AI provider », « AI producer » et « AI customer ». La distinction essentielle est la suivante : l'ISO 42001 est une **norme de système de management, et non une norme de produit**. Un certificat atteste que les politiques, les processus, les rôles, les appréciations des risques et analyses d'impact ainsi que les contrôles du cycle de vie de l'organisation satisfont aux exigences. Il ne certifie **pas** un système d'IA particulier ni un modèle, pas plus qu'il n'atteste qu'un [agent IA](https://blckalpaca.at/fr/glossaire/agent-ia-ai-agent) donné est « sûr », « équitable » ou « conforme au règlement sur l'IA ». La formulation correcte est donc : « L'AIMS de l'organisation X est certifié selon l'ISO/IEC 42001:2023 pour le périmètre Y (conformément à la déclaration d'applicabilité version Z). »

## La famille ISO 42000 en un coup d'œil

L'ISO 42001 est au cœur d'une famille de normes restreinte qui mûrit rapidement. Elle complète les normes suivantes, sans en remplacer aucune :

| Norme | Titre / rôle | Statut (octobre 2026) |
| --- | --- | --- |
| ISO/IEC 42001:2023 | Système de management de l'IA. Exigences (certifiable) | Publiée en déc. 2023 |
| ISO/IEC 23894:2023 | Lignes directrices pour le management des risques liés à l'IA (alignées sur l'ISO 31000) | Publiée en févr. 2023 |
| ISO/IEC 42005:2025 | Analyse d'impact des systèmes d'IA (norme d'accompagnement des cl. 6.1.4 / 8.4) | Publiée en 2025 |
| ISO/IEC 42006:2025 | Exigences pour les organismes d'audit et de certification d'AIMS | Publiée en 2025 |
| ISO/IEC 38507:2022 | Implications de l'utilisation de l'IA en matière de gouvernance (niveau du conseil d'administration) | Publiée en 2022 |
| ISO/IEC 22989:2022 | Concepts et terminologie de l'IA | Publiée en 2022 |

Sur le plan structurel, l'édition 2023 est un document compact d'environ 40 à 60 pages numérotées. Elle comprend les dix clauses de l'Annexe SL (clauses 1 à 10), l'**annexe A normative** avec les contrôles de référence propres à l'IA, l'[annexe B, elle aussi normative](https://www.standards.org.au/blog/spotlight-on-as-iso-iec-42001-2023) (guide de mise en œuvre de l'annexe A), ainsi que deux annexes informatives : l'annexe C (objectifs organisationnels possibles en matière d'IA et sources de risque) et l'annexe D (application de l'AIMS à différents domaines et en combinaison avec d'autres systèmes de management).

## Structure : les clauses 4 à 10

Les clauses numérotées 4 à 10 forment le **noyau normatif et certifiable**. Leur structure suit exactement l'Annexe SL, la même structure de haut niveau que l'ISO 9001, l'ISO 14001 ou l'ISO/IEC 27001, mais elle est systématiquement adaptée à des aspects propres à l'IA comme l'apprentissage continu, l'opacité, la dépendance aux données, l'autonomie et les comportements émergents.

- **Clause 4. Contexte de l'organisation :** environnement interne et externe (règlement européen sur l'IA, [RGPD](https://blckalpaca.at/fr/glossaire/rgpd), obligations sectorielles), parties intéressées et surtout le **périmètre (scope)** écrit de l'AIMS, que les auditeurs reprennent mot pour mot sur le certificat.
- **Clause 5. Leadership :** responsabilité de la direction, une **politique IA** documentée (5.2) ainsi que les rôles et responsabilités (5.3). La norme n'impose pas de titre d'« AI Officer », mais dans les PME, ce rôle est souvent combiné avec celui du RSSI ou du délégué à la protection des données.
- **Clause 6. Planification :** le cœur du dispositif, avec **6.1.2 Appréciation des risques liés à l'IA**, **6.1.3 Traitement des risques liés à l'IA** (livrable : déclaration d'applicabilité) et **6.1.4 Analyse d'impact de l'IA**, ainsi que des objectifs IA mesurables (6.2).
- **Clause 7. Support :** ressources, **compétences (7.2)**, sensibilisation, communication et informations documentées. La clause 7.2 est souvent un point faible des déploiements d'agents, et l'obligation de maîtrise de l'IA prévue à l'art. 4 du règlement européen sur l'IA lui donne encore plus de poids.
- **Clause 8. Fonctionnement :** mise en œuvre opérationnelle des processus conçus à la clause 6, en général la clause la plus lourde à démontrer.
- **Clause 9. Évaluation des performances :** surveillance (9.1), audit interne (9.2) et revue de direction (9.3), avec des éléments d'entrée et de sortie obligatoires.
- **Clause 10. Amélioration :** non-conformité et actions correctives (10.1) et amélioration continue (10.2).

Les observations issues de la pratique d'audit montrent comment l'effort se répartit : clause 6 + clause 8 + annexe A représentent environ 60 % de l'effort, clauses 4 + 5 environ 15 %, clause 7 environ 10 % et clauses 9 + 10 environ 15 %.

## Annexe A : 9 domaines, 38 contrôles

L'annexe A est **normative par renvoi** (les organisations choisissent les contrôles via la déclaration d'applicabilité) et comprend [**38 contrôles répartis en 9 domaines](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/les-mesures-de-lannexe-a-de-liso-42001-en-un-coup-doeil) (A.2 à A.10)**. Dans la pratique, on voit parfois circuler des chiffres comme « 39 » ou « 42 » contrôles, ou « 10 domaines » ; ils tiennent à des conventions de comptage différentes. Le chiffre de référence, celui qu'indiquent le secrétariat du SC 42 et les organismes de certification, est **9 domaines / 38 contrôles**. L'annexe B, également normative, fournit un guide de mise en œuvre pour chaque contrôle. Les auditeurs la lisent en premier lorsqu'ils veulent savoir à quoi ressemble un « bon » niveau.

Les neuf domaines en bref :

| Domaine | Thème | Particulièrement pertinent pour les exploitants d'agents |
| --- | --- | --- |
| A.2 | Politiques relatives à l'IA | Niveaux d'autonomie, limites d'utilisation des outils, règles HITL et d'escalade |
| A.3 | Organisation interne | Rôles, séparation des tâches, canal de signalement des préoccupations |
| A.4 | Ressources pour les systèmes d'IA | **Registre IA/agents** (A.4.2) comme artefact d'audit central |
| A.5 | Impacts des systèmes d'IA | Processus d'analyse d'impact (point d'ancrage pour l'ISO 42005) |
| A.6 | Cycle de vie des systèmes d'IA | **Journalisation des événements (A.6.2.8)**, en parallèle de l'art. 12 du règlement sur l'IA |
| A.7 | Données pour les systèmes d'IA | Qualité des données, provenance, y compris pour les données [RAG](https://blckalpaca.at/fr/glossaire/rag) et de récupération |
| A.8 | Informations destinées aux parties intéressées | Model cards, notices d'utilisation, communication sur les incidents |
| A.9 | Utilisation des systèmes d'IA | **Utilisation prévue (A.9.4)**, pertinente pour l'art. 25 du règlement sur l'IA |
| A.10 | Tiers et clients | Due diligence des fournisseurs de modèles de fondation |

Trois contrôles font l'objet d'un examen particulièrement poussé dans les déploiements d'agents, tout en étant souvent insuffisamment étayés : **A.6.2.8 ([journalisation des événements](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/securite-des-agents-ia-owasp/monitoring-des-agents-ia-avec-langsmith-et-langfuse-lobservabilite-pour-des-agen))**, car les déployeurs journalisent souvent les appels d'outils, mais pas les entrées du modèle, les traces de raisonnement ni les reprises en main humaines (human override) ; **A.5.2 à A.5.5 (analyse d'impact)** pour tous les agents qui concernent des personnes ou des groupes ; et **A.7.5 (provenance)** dès que des données d'entraînement, de [fine-tuning](https://blckalpaca.at/fr/glossaire/fine-tuning) ou de récupération sont traitées.

## La déclaration d'applicabilité (SoA)

La **déclaration d'applicabilité** est le document le plus examiné de tout audit ISO 42001 ; la **clause 6.1.3** l'impose comme livrable du traitement des risques. Chaque contrôle de l'annexe A doit y figurer comme « applicable » ou « non applicable », avec une **justification fondée sur les risques pour les inclusions comme pour les exclusions**, l'état de mise en œuvre, la référence aux preuves et le responsable. La SoA est même référencée sur le certificat avec sa version et sa date : le certificat ISO 42001 public de SAP SE renvoie par exemple à la **déclaration d'applicabilité version 1.4 du 28 juillet 2025**.

Les erreurs les plus fréquentes, et donc la non-conformité la plus souvent citée dans la pratique d'audit de 2024 à 2026, sont les **exclusions sans justification fondée sur les risques**, des contrôles marqués « applicables » sans artefact associé, une SoA non tenue à jour (« statique ») après un changement de modèle ou l'ajout de nouveaux agents, ainsi que la **confusion entre le rôle de fournisseur et celui de déployeur**.

## Certification : étape 1, étape 2, surveillance

La certification est réalisée par un organisme de certification accrédité (OC) selon l'ISO/IEC 17021-1 et son complément propre à l'IA, l'**ISO/IEC 42006:2025**. Le déroulement est le même que pour l'ISO 27001 :

1. **Étape 1 (revue documentaire et état de préparation) :** généralement 1 à 3 jours pour une ETI.
2. **Étape 2 (audit principal) :** audit sur site ou hybride avec échantillonnage des preuves et entretiens ; généralement 3 à 10 jours selon la taille et le périmètre. Les constats sont classés en non-conformités majeures ou mineures, ou en pistes d'amélioration.
3. **Décision de certification :** prise par un examinateur distinct. Validité de **trois ans**.
4. **Audits de surveillance :** **annuels**, plus un audit de renouvellement en fin de cycle.

Avant l'audit externe d'étape 2, on attend **au moins un cycle complet d'audit interne** et généralement 3 à 6 mois de preuves de fonctionnement. Le constat le plus fréquent en étape 1 est « documentation sans fonctionnement » : l'AIMS n'a pas été réellement appliqué assez longtemps.

**Fourchette de coûts (région DACH, c'est-à-dire Allemagne, Autriche, Suisse ; à titre indicatif) :** pour une ETI qui déploie de l'IA (500 à 2 000 salariés), le coût total du conseil, de l'audit et du temps interne tourne autour de **50 000 à 150 000 EUR**, pour 9 à 12 mois ; pour un grand groupe disposant d'un SMSI mature, **200 000 à 500 000 EUR** et 12 à 18 mois. Les seuls frais d'audit d'étape 1 et d'étape 2 se situent généralement entre 20 000 et 60 000 EUR pour une ETI.

## Combinaison avec l'ISO/IEC 27001

Comme l'ISO 42001 et l'**ISO/IEC 27001:2022** partagent la même structure Annexe SL, les deux normes peuvent être [intégrées efficacement](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/iso-42001-vs-iso-27001-bien-combiner-smia-et-smsi). Les clauses 4 à 10 sont structurellement identiques ; dans la pratique, les informations documentées, l'audit interne, la revue de direction et la gestion des fournisseurs sont gérés en commun.

| Aspect | ISO/IEC 27001:2022 | ISO/IEC 42001:2023 |
| --- | --- | --- |
| Objet | Sécurité de l'information (SMSI) | Gouvernance de l'IA (AIMS) |
| Annexe A | 93 contrôles | 38 contrôles |
| Analyse d'impact | non prévue | obligatoire (cl. 6.1.4) |
| Structure | Annexe SL | Annexe SL (combinable) |

Les organisations dotées d'une ISO 27001 mature étendent généralement le périmètre de leur SMSI à l'IA et ajoutent les contrôles de l'annexe A propres à l'IA. Tous les grands organismes de certification proposent des **audits externes combinés** qui, selon la pratique, font économiser environ **25 à 30 % des jours d'audit d'étape 2** par rapport à des audits séparés menés en parallèle. Dans la hiérarchie de gouvernance, l'ISO/IEC 38507:2022 se situe au-dessus (décision du conseil d'administration sur l'utilisation de l'IA), tandis que l'ISO 31000:2018 et l'ISO/IEC 23894:2023 fournissent la méthodologie de gestion des risques.

## Contexte DACH et cadre juridique

Dans la région DACH, une première cohorte de certificats publics existe déjà : **Unique AG (Suisse)** a obtenu en avril 2025 le [premier certificat ISO/IEC 42001 délivré par TÜV SÜD en Europe](https://www.tuvsud.com/de-de/presse-und-medien/2025/april/tuev-sued-zertifiziert-ki-managementsysteme-nach-iso-iec-42001), **Xayn (Allemagne)** a été certifiée [selon SGS comme première entreprise allemande](https://www.sgs.com/en-de/news/2025/06/xayn-is-the-first-german-company-to-receive-iso-iec-42001-certification) (audit réalisé par **SGS**), et **SAP SE** a publié un certificat public. Parmi les organismes actifs figurent notamment TÜV SÜD, TÜV Rheinland, **TÜV Austria avec sa branche TRUSTIFAI**, TÜV Nord, DEKRA, DQS, BSI Group et SGS. L'accréditation passe par la DAkkS (Allemagne), Akkreditierung Austria (Autriche) et le SAS (Suisse), avec une reconnaissance mutuelle via l'IAF MLA. Les acheteurs ont intérêt à vérifier le périmètre d'accréditation exact d'un OC, y compris son alignement sur l'ISO/IEC 42006:2025, car le marché reste hétérogène.

Avertissement juridique important (à titre informatif, ne constitue pas un conseil juridique) : **l'ISO 42001 n'est PAS une norme harmonisée au titre du [règlement européen sur l'IA](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)** et ne confère à elle seule **aucune présomption de conformité**. Les normes prévues comme normes harmonisées sont celles de la série 182xx du CEN-CENELEC JTC 21. La première d'entre elles, l'**EN 18286** (SMQ selon l'art. 17), est [parue en juillet 2026](https://www.bsigroup.com/en-GB/insights-and-media/media-centre/press-releases/2026/july/en-18286-provides-a-framework-for-ai-quality-management-under-the-eu-ai-act/). Selon l'[art. 40 du règlement sur l'IA](https://artificialintelligenceact.eu/article/40/), la présomption de conformité n'existe qu'une fois la référence d'une norme publiée au Journal officiel de l'UE. Pour l'EN 18286, [ce n'était toujours pas le cas à la mi-septembre 2026](https://krogrules.com/news/edition-16-september-2026). L'architecture pragmatique en 2026 est donc en couches : l'ISO 42001 comme AIMS organisationnel, l'EN 18286 comme SMQ au niveau du système pour les systèmes à haut risque réglementés. L'ISO 42001 recoupe en outre l'AIPD du RGPD (art. 35) et la FRIA du règlement sur l'IA (art. 27) ; un modèle unique d'analyse d'impact est techniquement faisable, mais nécessite une validation juridique, car chaque instrument a sa propre liste de contenus.

## Perspectives et conseil pratique

L'ISO 42001 est certifiable depuis bientôt trois ans ; le nombre d'audits d'étape 2 achevés se compte encore en quelques milliers dans le monde, et en dizaines dans la région DACH. La communauté des praticiens estime que moins de 0,1 % des organisations utilisant l'IA dans le monde affichent publiquement le certificat : le marché n'en est donc qu'à sa première vague. Les organisations certifiées font état de cycles de vente accélérés auprès des grands comptes, parce que le certificat remplace une partie des questionnaires fournisseurs, ainsi que d'une position plus solide dans l'argumentation liée au règlement sur l'IA et dans les contextes d'assurance.

Pour les décideurs en Europe, le plus judicieux est une **première certification légère, au périmètre restreint** (d'abord « [exploitation d'agents IA](https://blckalpaca.at/fr/services/agent-ia-entreprise) pour [domaine fonctionnel précis] », puis extension du périmètre), qui s'appuie systématiquement sur l'infrastructure SMSI/SMQ existante. Comme le paysage normatif est encore en cours de consolidation (le SC 42 travaille sur d'autres normes et, des normes harmonisées prévues pour le règlement sur l'IA, seule la première, l'EN 18286, est parue), les organisations ont intérêt à suivre activement les travaux de l'ISO/IEC SC 42 et du CEN-CENELEC JTC 21.

## Articles

- [Certification ISO 42001 : étapes et coûts](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/certification-iso-42001-etapes-et-couts) — La certification ISO 42001 atteste, par un organisme accrédité, que le système de management de l'IA (AIMS) d'une organisation satisfait aux exigences de…
- [ISO 42001 vs ISO 27001 : bien combiner SMIA et SMSI](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/iso-42001-vs-iso-27001-bien-combiner-smia-et-smsi) — L'ISO 42001 (SMIA, système de management de l'IA) et l'ISO 27001 (SMSI, sécurité de l'information) partagent la structure de l'Annexe SL et peuvent être…
- [Les mesures de l'annexe A de l'ISO 42001 en un coup d'œil](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/les-mesures-de-lannexe-a-de-liso-42001-en-un-coup-doeil) — L'annexe A de l'ISO/IEC 42001:2023 est le catalogue normatif de 38 mesures de référence réparties en 9 domaines (A.2–A.10), dans lequel les organisations…
- [Politique IA en entreprise : contenu et modèle de charte](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/politique-ia-en-entreprise-contenu-et-modele-de-charte) — Une politique IA (ou charte IA) est le cadre documenté, approuvé par la direction, qui régit le périmètre, les usages autorisés et interdits de l'IA, la…
- [Responsable IA : rôle, missions et ancrage dans l'entreprise](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/responsable-ia-role-missions-et-ancrage-dans-lentreprise) — Un responsable IA (AI Officer) est le rôle central qui pilote de manière opérationnelle le système de management de l'IA (SMIA) selon l'ISO/IEC 42001 : tenir…

---

Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.