--- title: "ISO 42001 vs ISO 27001 : bien combiner SMIA et SMSI" description: "L'ISO 42001 (SMIA, système de management de l'IA) et l'ISO 27001 (SMSI, sécurité de l'information) partagent la structure de l'Annexe SL et peuvent être exploitées de manière intégrée." locale: "fr" canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/iso-42001-vs-iso-27001-bien-combiner-smia-et-smsi" category: "Agents IA" topic: "ISO 42001 (système de management de l'IA)" updated: "2026-10-28T13:26:35.575Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # ISO 42001 vs ISO 27001 : bien combiner SMIA et SMSI L'ISO 42001 (SMIA, système de management de l'IA) et l'ISO 27001 (SMSI, sécurité de l'information) partagent la structure de l'Annexe SL et peuvent être exploitées de manière intégrée. L'ISO 27001 protège l'information, l'ISO 42001 pilote les risques liés à l'IA. Si tu as déjà un SMSI, tu étends son périmètre à l'IA et tu ajoutes les mesures de l'Annexe A propres à l'IA, y compris l'évaluation d'impact de l'IA. ## L’essentiel - L'ISO 42001 et l'ISO 27001 suivent toutes deux la structure harmonisée de l'Annexe SL : les clauses 4 à 10 portent les mêmes numéros et titres et peuvent être auditées ensemble. L'ISO 42001 ajoute des exigences propres à l'IA surtout dans la clause 6 (appréciation des risques liés à l'IA, déclaration d'applicabilité, évaluation d'impact de l'IA) et la clause 8 (leur mise en œuvre). - Les mesures de l'Annexe A diffèrent fondamentalement : l'ISO 27001:2022 compte 93 mesures de sécurité de l'information, l'ISO 42001 compte 9 domaines avec 38 mesures de gouvernance de l'IA. - Seule l'ISO 42001 exige une évaluation d'impact de l'IA (clause 6.1.4) portant sur les effets pour les individus, les groupes et la société. L'ISO 27001 n'a pas d'équivalent. - Lors d'un audit intégré, l'organisme de certification peut, selon l'IAF MD 11, réduire la durée d'audit de 20 % au maximum par rapport à la somme des audits séparés. - Un SMSI existant raccourcit nettement la mise en place de l'ISO 42001 : selon une estimation approximative, 6 à 12 mois jusqu'à l'étape 1 au lieu de 9 à 18 mois sans système préalable. - Schéma recommandé : étendre le périmètre du SMSI à l'IA, mutualiser la planification des audits, la revue de direction et la maîtrise documentaire, ajouter les mesures propres à l'IA. L'ISO 42001 (SMIA, système de management de l'[IA](https://blckalpaca.at/fr/glossaire/ia)) et l'ISO 27001 (SMSI, sécurité de l'information) partagent la structure de l'Annexe SL et peuvent être exploitées de manière intégrée. L'ISO 27001 protège l'information, l'ISO 42001 pilote les risques liés à l'IA. Si tu as déjà un SMSI, tu étends son périmètre à l'IA et tu ajoutes les [mesures de l'Annexe A propres à l'IA](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/les-mesures-de-lannexe-a-de-liso-42001-en-un-coup-doeil), y compris l'évaluation d'impact de l'IA. Les deux normes reposent sur la même ossature en dix clauses et peuvent être pilotées dans un seul programme. - **Base commune :** les deux normes suivent la structure harmonisée de l'Annexe SL. Toutes les clauses, de 4 (contexte) à 10 (amélioration), portent les mêmes numéros et titres et peuvent être auditées ensemble. - **Des priorités différentes :** l'ISO 27001:2022 couvre la sécurité de l'information avec 93 mesures de l'Annexe A ; l'ISO 42001 couvre la gouvernance de l'IA avec 9 domaines et 38 mesures, y compris les biais, l'équité, l'explicabilité et le cycle de vie. - **Le plus de la 42001 :** seule l'ISO 42001 exige une évaluation d'impact de l'IA (clause 6.1.4) portant sur les effets pour les individus, les groupes et la société. L'ISO 27001 n'a pas d'équivalent. ## Pourquoi les deux normes vont si bien ensemble L'ISO/IEC 42001:2023 a été publiée en décembre 2023 : c'est la première norme de système de management certifiable au monde consacrée à l'intelligence artificielle. L'ISO/IEC 27001:2022 est la norme de référence pour les systèmes de management de la sécurité de l'information. Toutes deux appartiennent à la famille des normes ISO modernes de systèmes de management et suivent donc la même structure harmonisée de l'Annexe SL, sur laquelle reposent aussi l'ISO 9001 (qualité), l'ISO 14001 (environnement), l'ISO 45001 (santé et sécurité au travail) et l'ISO 22301 (continuité d'activité). Cette structure commune est le levier décisif. L'ossature en dix clauses a été conçue délibérément pour être compatible avec des audits combinés et intégrés de systèmes de management. Concrètement, une organisation qui exploite l'ISO 27001 a déjà construit la salle des machines d'un système de management : engagement de la direction, approche par les risques, informations documentées, audit interne, revue de direction et amélioration continue. L'ISO 42001 s'appuie sur cette base et ajoute les contenus propres à l'IA, d'après le [plan de la norme](https://assets.vde-verlag.de/iec-normen/preview-pdf/info_isoiec42001%7Bed1.0%7Den.pdf), surtout dans deux clauses. La clause 6 définit comment les risques liés à l'IA sont appréciés et traités (6.1.2 et 6.1.3) et comment se déroule l'évaluation d'impact de l'IA (6.1.4). C'est aussi en 6.1.3 qu'est établie la déclaration d'applicabilité (Statement of Applicability), qui fixe les mesures de l'Annexe A applicables. La clause 8 exige de mettre en œuvre ces processus dans le fonctionnement courant (8.2 à 8.4). La clause 5.2 demande en outre une politique IA dédiée. Le rythme des audits est lui aussi identique : un certificat ISO 42001 est valable trois ans, avec des audits de surveillance annuels et un audit de renouvellement en fin de cycle. C'est exactement la même cadence que pour l'ISO 27001, ce qui facilite nettement la planification commune des audits. ## Ce qui se recoupe et ce qui diffère Le recoupement se situe dans l'ossature commune des clauses (clauses 4 à 10). Les différences se trouvent dans l'Annexe A et dans les compléments propres à l'IA des clauses 6 et 8, au premier rang desquels l'évaluation d'impact de l'IA. **Auditables ensemble :** - Clauses 4 à 10 avec les mêmes numéros et titres : contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration - Informations documentées, audit interne, revue de direction : généralement intégrés - Approche par les risques : partagée, avec des compléments propres à l'IA **Différences essentielles :** - L'Annexe A de l'ISO 27001 comprend 93 mesures (édition 2022) et se concentre sur la sécurité de l'information ; l'Annexe A de l'ISO 42001 comprend 38 mesures réparties en 9 domaines et se concentre sur la gouvernance de l'IA, avec des compléments sur les biais, l'équité, l'explicabilité, le cycle de vie et l'évaluation d'impact. - L'ISO 42001 exige explicitement une **évaluation d'impact de l'IA** (clause 6.1.4). L'ISO 27001 n'a pas d'équivalent. ## Comparatif point par point : ISO 27001 vs ISO 42001 | Aspect | ISO 27001:2022 (SMSI) | ISO 42001:2023 (SMIA) | | --- | --- | --- | | Objectif de protection | Confidentialité, intégrité, disponibilité de l'information | Pilotage responsable des systèmes d'IA tout au long du cycle de vie | | Publication | 2022 | Décembre 2023 | | Structure | Annexe SL, clauses 4-10 | Annexe SL, clauses 4-10, compléments IA surtout aux cl. 6 et 8 | | Mesures de l'Annexe A | 93 mesures | 9 domaines / 38 mesures | | Évaluation d'impact | Non exigée | Évaluation d'impact de l'IA exigée (cl. 6.1.4) | | Méthode d'appréciation des risques | Risques de sécurité de l'information | Risques liés à l'IA (avec ISO 23894 / ISO 31000) | | Déclaration d'applicabilité | Oui | Oui (cl. 6.1.3) | | Validité du certificat | 3 ans, surveillance annuelle | 3 ans, surveillance annuelle (identique) | | Rôle type dans le programme | Socle de sécurité | Surcouche de gouvernance de l'IA | Le tableau montre le schéma : un cadre commun, des contenus différents. [L'article 15 du règlement européen sur l'IA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689) exige des systèmes d'[IA à haut risque](https://blckalpaca.at/fr/glossaire/ia-a-haut-risque) exactitude, robustesse et cybersécurité. Pour la cybersécurité, un SMSI conforme à l'ISO 27001 fournit la base. Mais l'ISO 27001 ne traite pas spécifiquement les attaques propres à l'IA comme l'empoisonnement des données ou les entrées manipulées, que l'article 15 cite expressément, et la robustesse du modèle demande elle aussi des mesures dédiées. L'ISO 42001 apporte les volets propres à l'IA : gouvernance, équité et évaluation d'impact. Les deux normes se complètent sans se remplacer. ## Le système de management intégré en pratique Pour les organisations dotées d'une ISO 27001 mature, ce schéma est tout indiqué : audit interne, revue de direction, formation et sensibilisation, maîtrise documentaire et gestion des fournisseurs sont regroupés. Le périmètre du SMSI est étendu à l'IA et les mesures de l'Annexe A propres à l'IA sont ajoutées. Tous les grands organismes de certification proposent des audits externes combinés. Sur le plan organisationnel, cela se voit aussi dans les rôles : l'ISO 42001 n'impose pas d'intitulé précis comme « AI Officer », mais dans la pratique, on nomme un [AI Officer ou responsable du SMIA](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/responsable-ia-role-missions-et-ancrage-dans-lentreprise), souvent cumulé avec la fonction de RSSI ou de délégué à la protection des données dans les PME. On obtient ainsi une ligne de responsabilité continue entre SMSI et SMIA. Au niveau des groupes, la fonction d'AI Officer est souvent combinée avec celle de RSSI ou de CDO, avec une obligation explicite de rendre compte à un comité IA du conseil d'administration. Cet article ne constitue pas un conseil juridique. L'interprétation concrète des normes, des délais et des articles, en particulier en lien avec le [RGPD](https://dsgvo-gesetz.de/) et le [règlement européen sur l'IA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689), relève de conseillers qualifiés et de l'organisme de certification compétent. ## Exemple concret : un groupe avec un SMSI existant Un cas typique : un groupe de 2 000 salariés ou plus, qui a déjà mis en place l'ISO 27001:2022, souvent complétée par l'ISO 27701 (PIMS). Ici, d'un point de vue économique, presque tout plaide pour l'intégration : - **Planification d'audit partagée :** les étapes 1 et 2 de l'ISO 42001 se déroulent avec le prochain audit de surveillance ou de renouvellement ISO 27001, si l'organisme de certification le permet ; cycle d'audit interne commun. - **Socle documentaire partagé :** politiques déclinées en cascade depuis le groupe, complétées par des procédures propres à l'IA pour chaque département. - **Registre des risques intégré :** le registre des risques liés à l'IA est rattaché à la gestion des risques de l'entreprise sous forme de sous-registre ou de tag. - **Économies :** lors d'un audit intégré, l'organisme de certification peut, selon [l'IAF MD 11](https://iaf.nu/iaf_system/uploads/documents/IAF_MD_11_Issue_3_12092023.pdf), réduire la durée d'audit de 20 % au maximum par rapport à la somme des audits séparés. Les valeurs suivantes sont des estimations approximatives, et non le résultat d'une enquête (situation 2026, région DACH : Allemagne, Autriche, Suisse) : un groupe disposant d'un SMSI mature prévoit pour le [programme ISO 42001](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/certification-iso-42001-etapes-et-couts) environ 200 000 à 500 000 EUR (conseil, audit et charge interne) et une durée de 12 à 18 mois. Une PME déployeuse sans système préalable se situe plutôt entre 50 000 et 150 000 EUR. Le délai dépend surtout du système préalable : avec une ISO 27001 ou une ISO 9001 déjà en place, il faut compter environ 6 à 12 mois jusqu'à l'étape 1, et 9 à 18 mois sans système préalable. Concrètement, pour un groupe : si l'audit d'étape 2 ISO 42001 et le prochain audit de renouvellement ISO 27001 représentent séparément environ 10 jours d'audit chacun, l'audit intégré peut faire économiser au maximum 4 des 20 jours. L'économie réelle est fixée par l'organisme de certification, notamment en fonction du degré d'intégration. Pour les audits de surveillance annuels, plus courts, le même plafond s'applique ; en jours, l'économie y est donc plus faible. ## Quand la combinaison a du sens et quand elle n'en a pas La combinaison a du sens lorsque des systèmes d'IA traitent des données personnelles ou critiques pour la sécurité et qu'un SMSI existe déjà ou est prévu de toute façon. Le SMIA et le SMSI partagent alors socle, cycle d'audit et personnel. Elle a tout autant de sens pour les fournisseurs d'IA (providers), qui détiennent souvent déjà l'ISO 27001 et le SOC 2 Type II et visent l'ISO 42001 pour se différencier sur le marché. Chez eux convergent audits combinés, preuves partagées et un Trust Center commun. La prudence s'impose quand la seule motivation est l'« exhaustivité » : un pur déployeur ne devrait pas marquer par précaution toutes les mesures du cycle de vie (Annexe A.6) comme applicables s'il ne peut pas les prouver. Cela se voit au plus tard lors de l'audit, car une preuve est exigée pour chaque mesure déclarée applicable. C'est le périmètre qui décide, pas l'envie d'accumuler le plus de certificats possible. ## Pour les agences et les décideurs B2B Pour les agences marketing et les prestataires B2B qui exploitent des processus basés sur l'IA pour leurs clients, la combinaison SMIA et SMSI devient de plus en plus un signal de confiance lors de la due diligence fournisseurs. Une organisation déjà certifiée ISO 27001 a construit la pièce la plus coûteuse et peut mettre en place l'ISO 42001 avec un effort supplémentaire raisonnable. Blck Alpaca conçoit des agents IA et des automatisations pensés pour s'intégrer dans un SMSI ou un SMIA existant : documentés, journalisés et accompagnés de preuves pour les mesures pertinentes de l'Annexe A, comme la documentation système et les journaux d'événements. Contacte-nous si tu veux introduire des systèmes d'IA qui n'affaiblissent pas ton système de management lors de l'audit. ## Questions fréquentes ### Quelle est la différence entre ISO 42001 et ISO 27001 ? L'ISO 27001 est la norme des systèmes de management de la sécurité de l'information (SMSI) : elle protège la confidentialité, l'intégrité et la disponibilité de l'information avec 93 mesures de l'Annexe A (édition 2022). L'ISO 42001 est la norme des systèmes de management de l'IA (SMIA) : elle pilote les risques propres à l'IA comme les biais, les hallucinations, l'explicabilité et le cycle de vie avec 9 domaines et 38 mesures. Les deux partagent la structure de base de l'Annexe SL, mais poursuivent des objectifs de protection différents. ### Peut-on combiner ISO 42001 et ISO 27001 dans un seul audit ? Oui. Comme les deux normes suivent la structure harmonisée de l'Annexe SL, les clauses 4 à 10 portent les mêmes numéros et titres et peuvent être auditées ensemble. Tous les grands organismes de certification proposent des audits combinés d'étape 1 et d'étape 2. Lors d'un audit intégré, l'organisme de certification peut, selon l'IAF MD 11, réduire la durée d'audit de 20 % au maximum par rapport à deux audits séparés. ### Ai-je besoin de l'ISO 27001 avant de me faire certifier ISO 42001 ? Non, l'ISO 27001 n'est pas un prérequis. Un SMSI existant accélère toutefois considérablement la mise en place de l'ISO 42001, car la revue de direction, l'audit interne, la maîtrise documentaire, la formation et la gestion des fournisseurs sont déjà en place. Avec un système ISO 27001 ou ISO 9001 existant, il faut compter, selon une estimation approximative, 6 à 12 mois jusqu'à l'étape 1, et plutôt 9 à 18 mois sans système préalable. ### Qu'exige l'ISO 42001 en plus de ce que couvre l'ISO 27001 ? L'ISO 42001 exige explicitement une évaluation d'impact de l'IA (clause 6.1.4) portant sur les effets pour les individus, les groupes et la société. L'ISO 27001 n'a pas d'équivalent. S'y ajoutent des mesures de l'Annexe A propres à l'IA sur les biais, l'équité, l'explicabilité, la provenance des données et la journalisation des événements, ainsi que le cycle de vie de l'IA et une politique IA. ### Quand la combinaison d'un SMIA et d'un SMSI est-elle intéressante ? La combinaison est particulièrement intéressante pour les organisations qui exploitent l'IA avec des données personnelles ou critiques pour la sécurité et qui gèrent déjà un SMSI ou en prévoient un. Pour la cybersécurité que l'article 15 du règlement européen sur l'IA exige des systèmes d'IA à haut risque, un SMSI conforme à l'ISO 27001 fournit la base, l'ISO 42001 complète la gouvernance de l'IA. --- Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/iso-42001-systeme-de-management-de-lia/iso-42001-vs-iso-27001-bien-combiner-smia-et-smsi). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.