ISO 42001 et AI Act : différences, complémentarités et feuille de route.
ISO/IEC 42001 propose un système de management de l’intelligence artificielle. L’AI Act crée des obligations juridiques liées aux rôles, aux systèmes et aux risques. Les deux cadres peuvent partager une gouvernance et des preuves, mais ils n’ont ni le même objet ni le même effet.
ISO 42001 aide une organisation à piloter l’IA par un système de management certifiable. L’AI Act impose des obligations réglementaires selon le rôle et le système. Une certification ISO 42001 ne vaut pas conformité AI Act, mais ses processus de gouvernance, risques, compétences, contrôle documentaire et amélioration peuvent soutenir les preuves exigées.
Cluster éditorial : Gouvernance et normes · Intention : Comparer ISO 42001 et AI Act et organiser une démarche commune
En bref
L’essentiel à retenir
01
Norme de management contre obligations réglementaires
02
Certification ISO distincte du marquage CE
03
Processus et preuves mutualisables
04
Matrice de correspondance à maintenir
01
Comparer l’objet et la portée des deux cadres
ISO 42001 organise un système de management : politique, objectifs, responsabilités, risques, compétences, opérations, évaluation et amélioration. Son périmètre peut couvrir une organisation ou une activité définie. L’AI Act attribue des obligations aux fournisseurs, déployeurs et autres opérateurs pour des systèmes ou modèles déterminés. Le périmètre organisationnel ne remplace donc pas la qualification juridique.
Une organisation peut être certifiée sur un périmètre tout en exploitant un système qui exige une analyse supplémentaire. À l’inverse, un système peut respecter les exigences applicables sans que l’entreprise soit certifiée ISO 42001. Écrivez les deux périmètres sur une page : entités, activités, systèmes, versions, rôles et exclusions. Cette clarification évite les promesses trop larges.
La politique IA, les rôles, le comité, l’inventaire, les critères d’acceptation et la gestion des changements peuvent servir aux deux démarches. Le système de management fournit un rythme de revue et des responsabilités. L’analyse réglementaire ajoute les tests précis : pratiques interdites, classification, exigences haut risque, transparence et obligations du rôle.
Construisez un registre commun avec des champs réglementaires et managériaux. Une action de risque indique l’exigence couverte, le propriétaire, l’échéance et la preuve. Évitez deux tableaux parallèles qui produisent des versions différentes. Les risques métiers, éthiques, juridiques et techniques doivent être reliés aux décisions sur le système.
Distinguer certification ISO et conformité réglementaire
La certification ISO repose sur un audit du système de management par un organisme de certification selon son périmètre. L’évaluation de conformité AI Act suit les règles du règlement pour certains systèmes à haut risque. Le marquage CE, la déclaration UE et l’enregistrement répondent à des conditions propres. Une présentation commerciale doit expliquer cette distinction sans ambiguïté.
Demandez à tout prestataire ce qu’il certifie exactement et la version du référentiel. Vérifiez la compétence, l’accréditation éventuelle, les exclusions et la durée. Pour l’AI Act, examinez séparément la classification, la procédure de l’article 43 et les documents du système. Une bonne certification ISO peut renforcer la confiance, mais elle ne crée pas une présomption générale de conformité au règlement.
Alignez les processus : contexte et parties intéressées, leadership, planification, support, opérations, évaluation et amélioration. En face, placez les obligations AI Act pertinentes. Ajoutez la preuve, le système concerné et l’écart. Certaines preuves seront communes, comme les compétences ou la gestion documentaire. D’autres resteront propres au système, comme les métriques, les données et la notice.
Commencez par les processus à fort effet de levier : inventaire, qualification, risques, achats, changements, incidents et compétences. Testez la matrice sur deux systèmes différents. Si elle produit les mêmes exigences pour un assistant interne et un système à haut risque, elle est trop générique. Mettez-la à jour avec les normes harmonisées et les évolutions réglementaires.
