ISO 42001 et AI Act : ce que la norme ne couvre pas

Un éditeur français m’a écrit en juillet : certification ISO/IEC 42001 obtenue, budget à six chiffres, certificat encadré dans le hall. Sa question tenait en une ligne — « on est bons pour l’AI Act ? ». Non. Et le décalage entre ce que la certification atteste et ce que le règlement exige est l’un des malentendus les plus coûteux que j’observe en ce moment sur le marché français.

ISO 42001 : ce que la norme contient réellement

ISO/IEC 42001:2023, publiée en décembre 2023, est la première norme internationale consacrée aux systèmes de management de l’intelligence artificielle (SMIA, ou AIMS en anglais). Elle a été reprise au niveau européen sous la référence EN ISO/IEC 42001:2026, publiée le 18 mars 2026. Cette adoption européenne est un point important, sur lequel je reviens : elle ne fait pas de la norme une norme harmonisée au sens de l’AI Act.

La structure est celle, désormais familière, de l’annexe SL commune aux normes de management ISO :

• clauses 4 à 10 : contexte de l’organisme, leadership, planification, support, réalisation, évaluation des performances, amélioration ;
• annexe A : 38 mesures de maîtrise, réparties en 9 objectifs de contrôle numérotés A.2 à A.10 (politique IA, rôles et responsabilités, ressources, évaluation d’impact, cycle de vie du système, données, information des tiers, usage responsable, relations fournisseurs) ;
• annexe B : lignes directrices de mise en œuvre de ces mesures ;
• annexe C : catalogue de sources de risque propres à l’IA ;
• annexe D : domaines et secteurs d’application.

Un praticien de l’ISO 27001 reconnaîtra immédiatement la mécanique : déclaration d’applicabilité, revue de direction, audit interne, non-conformités, cycle PDCA. C’est un atout, et c’est aussi la source du malentendu.

Car ISO 42001 certifie une organisation et son dispositif de gouvernance. Elle atteste que vous avez un processus. Elle ne dit rien sur la conformité d’un système d’IA déterminé à des exigences essentielles déterminées.

Pourquoi une certification ISO 42001 ne vaut pas conformité AI Act

L’AI Act repose sur le mécanisme classique du « nouveau cadre législatif » : le règlement fixe des exigences essentielles, et la conformité à des normes harmonisées confère une présomption de conformité. Ce mécanisme est prévu à l’article 40 du règlement (UE) 2024/1689.

Trois conditions cumulatives doivent être réunies pour qu’une norme produise cet effet :

1. avoir été élaborée en réponse à une demande de normalisation de la Commission (ici, la demande M/593 adressée au CEN et au CENELEC en mai 2023) ;
2. avoir été adoptée comme norme européenne (EN) par le CEN-CENELEC ;
3. avoir vu ses références publiées au Journal officiel de l’Union européenne.

C’est la troisième condition qui est décisive, et elle est presque toujours oubliée. À la date de publication de cet article, aucune norme harmonisée au titre de l’AI Act n’est citée au JOUE. La présomption de l’article 40(1) ne joue donc, à ce jour, pour aucune norme — si autorisée soit-elle.

ISO/IEC 42001 échoue par ailleurs sur la première condition. Elle n’a pas été écrite en réponse à M/593 : c’est un texte ISO/IEC JTC 1/SC 42, antérieur au règlement, dont les définitions et les objectifs ne sont pas alignés sur ceux de l’AI Act. Le comité technique mixte CEN-CENELEC JTC 21, chargé du volet européen, a d’ailleurs tranché cette question de manière explicite : plutôt que de reprendre ISO 42001 telle quelle, il a rédigé une norme européenne sur mesure pour l’article 17.

Autrement dit, un certificat ISO 42001 est un élément de preuve utile devant une autorité de surveillance du marché. Ce n’est pas un bouclier juridique. La nuance mérite d’être comprise avant d’engager un budget de certification, surtout dans un contexte où les amendes de l’AI Act atteignent 15 M€ ou 3 % du chiffre d’affaires mondial pour les manquements aux exigences applicables aux systèmes à haut risque.

EN 18286:2026 : la vraie norme de l’article 17

La norme EN 18286:2026, « Quality management system for EU AI Act regulatory purposes », a été approuvée par le CEN-CENELEC et publiée le 12 juillet 2026. C’est la première norme européenne élaborée en soutien direct de l’AI Act. Son parcours a été rapide : mise en enquête publique sous la référence prEN 18286 le 30 octobre 2025, adoption huit mois plus tard.

Sa physionomie diffère nettement de celle d’ISO 42001 :

• dix clauses normatives et cinq annexes informatives ;
• une approche par le cycle de vie du système — conception, développement, mise sur le marché, surveillance, retrait — et non par les processus de l’organisme ;
• une annexe ZA qui établit la correspondance entre les clauses de la norme et les exigences du règlement.

C’est cette annexe ZA qui porte l’enjeu. Elle est conçue pour ouvrir une présomption de conformité à l’article 17(1) (système de gestion de la qualité) et à la première phrase de l’article 11(1) (documentation technique). Mais — et c’est le point à retenir — EN 18286:2026 n’est pas encore citée au Journal officiel. La présomption n’existe donc pas encore. Elle naîtra le jour de la publication de la référence, pas celui de la publication de la norme.

Pour un fournisseur, la conséquence pratique est simple : la norme est disponible, elle est le meilleur guide existant sur ce qu’attendra un organisme notifié dans le cadre de l’évaluation de conformité et du marquage CE, mais elle ne dispense pas de démontrer la conformité aux exigences du règlement lui-même.

Article 17 contre ISO 42001 : une différence de nature, pas de degré

L’erreur la plus fréquente consiste à voir dans l’article 17 une version européenne d’ISO 42001. Ce n’est pas une question de niveau d’exigence : les deux textes ne répondent pas à la même question.

	ISO/IEC 42001:2023	Article 17 AI Act / EN 18286:2026
Objet certifié	L’organisation et son système de management	Le système de gestion de la qualité d’un fournisseur, au service d’un système d’IA donné
Logique	Amélioration continue, appétence au risque définie par l’organisme	Conformité à des exigences essentielles fixées par le législateur
Portée du risque	Risques pour l’organisme et ses parties prenantes	Risques pour la santé, la sécurité et les droits fondamentaux
Caractère	Volontaire	Obligatoire pour les fournisseurs de systèmes à haut risque
Vérificateur	Organisme de certification accrédité	Organisme notifié ou auto-évaluation selon l’annexe VI/VII
Effet juridique	Preuve de diligence	Présomption de conformité, une fois la norme citée au JOUE

L’article 17(1) énumère treize points que le système qualité doit couvrir, du contrôle de la conception aux procédures de gestion des modifications, en passant par le système de gestion des risques de l’article 9, la surveillance après commercialisation de l’article 72 et le signalement des incidents graves de l’article 73. ISO 42001 en couvre une partie — la gouvernance, les rôles, la documentation, les relations fournisseurs. Elle n’aborde pas les autres : elle ne connaît ni l’organisme notifié, ni la déclaration UE de conformité, ni l’enregistrement dans la base de données de l’Union.

Dans mon expérience de conseil, le taux de recouvrement réel se situe autour de 40 à 60 % selon la maturité du dispositif. C’est substantiel. Ce n’est pas suffisant.

Le calendrier : ce que le report change (et ne change pas)

L’article 17 figure au chapitre III, section 3 du règlement. Il est donc directement concerné par le report opéré par le règlement omnibus (UE) 2026/1744 : pour les systèmes autonomes de l’annexe III — RH, crédit, éducation, biométrie, santé, justice — l’obligation s’applique au 2 décembre 2027, et non plus au 2 août 2026. Pour les systèmes intégrés à des produits réglementés de l’annexe I, l’échéance est le 2 août 2028.

Quinze mois, donc. C’est exactement le temps qu’il faut pour construire un système qualité qui tienne devant un auditeur — et c’est aussi la raison pour laquelle je déconseille d’attendre la citation d’EN 18286 au JOUE pour commencer.

Deux précisions que l’on m’oppose souvent :

Le report ne s’applique pas aux systèmes déjà déployés à d’autres titres. Les obligations de transparence de l’article 50, les pratiques interdites de l’article 5 et le régime des modèles à usage général sont applicables aujourd’hui. Un dispositif ISO 42001 ne les couvre pas davantage.

L’article 17(2) prévoit une proportionnalité. Depuis l’omnibus, les PME au sens de la recommandation 2003/361/CE et les petites ETI (small mid-caps, moins de 750 salariés et 150 M€ de chiffre d’affaires) peuvent mettre en œuvre un système de gestion de la qualité proportionné à leur taille. La logique est développée dans notre guide AI Act et PME. Attention toutefois : proportionné ne veut pas dire optionnel. Les treize points de l’article 17(1) doivent tous être traités, même succinctement.

Faut-il quand même se certifier ISO 42001 ?

Ma réponse est nuancée, et elle dépend de votre position dans la chaîne de valeur.

Les quatre cas où la certification a du sens

Vous répondez à des appels d’offres. C’est aujourd’hui le premier moteur réel. Les acheteurs publics et les grands comptes commencent à exiger une certification IA dans leurs grilles de notation, souvent sans distinguer ISO 42001 d’une conformité AI Act. Le certificat se paie en points sur la note technique.

Vous êtes fournisseur de modèles ou de systèmes hors annexe III. Si vos systèmes ne sont pas à haut risque, l’article 17 ne vous concerne pas et ISO 42001 devient le seul référentiel structurant disponible pour formaliser votre gouvernance de l’IA.

Vous êtes déployeur, pas fournisseur. La distinction fournisseur/déployeur est déterminante : l’article 17 pèse sur les fournisseurs. Un déployeur qui veut structurer son dispositif interne — inventaire, évaluation, formation, charte d’usage — trouvera dans ISO 42001 un cadre pertinent et proportionné.

Vous voulez capitaliser sur un socle documentaire. Politique IA, matrice de rôles, procédure d’évaluation d’impact, gestion des fournisseurs : ces livrables se réutilisent tels quels dans un dossier EN 18286. Le travail n’est pas perdu, il est incomplet.

Les trois cas où c’est un mauvais calcul

Si vous êtes fournisseur d’un système de l’annexe III et que la certification ISO 42001 consomme le budget qui devrait aller à la construction du dossier article 17, vous achetez du confort contre du risque. Si votre gouvernance IA se résume à un registre des systèmes d’IA incomplet, commencez par la cartographie — une certification posée sur un inventaire faux ne survit pas au premier audit de surveillance. Et si votre objectif est communicationnel, sachez que le marché commence à distinguer les deux référentiels : l’argument « certifié ISO 42001 donc conforme à l’AI Act » vieillira mal.

Articulation avec ISO 27001, ISO 27701 et le RGPD

Si vous êtes déjà certifié ISO 27001, l’extension vers ISO 42001 est mécaniquement plus simple : structure annexe SL identique, audits combinables, périmètre souvent commun. C’est la même logique que celle qui a présidé à l’ISO 27701 pour la vie privée.

Trois points de vigilance sur l’articulation avec le RGPD.

D’abord, aucune de ces normes n’est une certification RGPD au sens de l’article 42 du règlement. Seuls des référentiels approuvés par une autorité de contrôle ou par le CEPD produisent cet effet ; ISO 42001 n’en fait pas partie.

Ensuite, l’évaluation d’impact prévue par la mesure A.5.2 d’ISO 42001 n’est ni une AIPD au sens de l’article 35 du RGPD, ni une analyse d’impact sur les droits fondamentaux au sens de l’article 27 de l’AI Act. Les trois exercices ont des déclencheurs, des périmètres et des destinataires distincts. Bonne nouvelle en revanche : depuis l’omnibus, l’article 27(4) et (5) autorise la FRIA à renvoyer aux sections pertinentes de l’AIPD, ce qui réduit enfin la redondance.

Enfin, la mesure A.10 sur les relations fournisseurs ne remplace pas les clauses contractuelles exigées par l’article 28 du RGPD lorsque le fournisseur d’IA traite des données personnelles pour votre compte. Sur ce point, voir notre analyse des clauses contractuelles pour l’achat de SaaS IA et du régime de la sous-traitance IA.

Certification : organismes, durée, coût

Un point technique que beaucoup ignorent : jusqu’en 2025, la certification ISO 42001 était délivrée sans référentiel d’accréditation pour les certificateurs. ISO/IEC 42006:2025, publiée en juillet 2025, a comblé ce vide en fixant les exigences de compétence des organismes délivrant l’audit et la certification de SMIA. Les capacités réellement accréditées ne se sont donc structurées qu’au cours de 2025 et 2026.

La conséquence pratique est directe : vérifiez que votre certificat est délivré sous accréditation d’un organisme signataire des accords de reconnaissance (en France, le Cofrac). Un certificat non accrédité émis en 2024 a une valeur probatoire faible, et son renouvellement se fera désormais sous un régime nettement plus exigeant.

Le déroulement est celui de toute certification de système de management : audit initial en deux étapes (revue documentaire, puis audit de mise en œuvre sur site), certificat valable trois ans, audits de surveillance annuels, audit de renouvellement à l’échéance. Comptez, pour une PME technologique de 50 à 200 salariés, six à douze mois de préparation et un budget qui, dans les dossiers que j’ai suivis, se situe entre 25 000 et 60 000 € tout compris — dont l’essentiel n’est pas le coût de l’auditeur, mais le temps interne de production documentaire. Les écarts sont importants selon le périmètre retenu et la maturité de départ ; ces ordres de grandeur ne valent pas devis.

Ce qu’il faut retenir

• ISO/IEC 42001 n’est pas une norme harmonisée de l’AI Act. Elle n’a pas été élaborée en réponse à la demande M/593 et n’est pas citée au JOUE : elle ne confère aucune présomption de conformité au titre de l’article 40.
• La norme de l’article 17, c’est EN 18286:2026, publiée le 12 juillet 2026. Elle vise, via son annexe ZA, l’article 17(1) et la première phrase de l’article 11(1) — mais la présomption ne jouera qu’après citation de la référence au Journal officiel.
• Les deux textes n’ont pas le même objet : ISO 42001 certifie une organisation, EN 18286 structure la qualité au service d’un système d’IA donné. Le recouvrement se situe en pratique entre 40 et 60 %.
• L’échéance est le 2 décembre 2027 pour les systèmes autonomes de l’annexe III, et le 2 août 2028 pour ceux de l’annexe I, depuis le règlement omnibus (UE) 2026/1744. Les PME et petites ETI bénéficient d’un système qualité proportionné au titre de l’article 17(2).
• Se certifier reste utile pour les appels d’offres, les déployeurs et les fournisseurs hors haut risque — à condition de ne pas confondre le certificat avec une conformité réglementaire, et de vérifier qu’il est délivré sous accréditation ISO/IEC 42006:2025.

Recevez nos analyses de conformité chaque semaine. Décryptages RGPD, AI Act, NIS2 et Data Act, sans jargon inutile. Inscrivez-vous à la newsletter.

FAQ

La certification ISO 42001 est-elle obligatoire ?

Non. ISO/IEC 42001 est une norme volontaire. Aucun texte européen ou français n’impose de s’y certifier. L’AI Act impose en revanche un système de gestion de la qualité aux fournisseurs de systèmes d’IA à haut risque, au titre de son article 17 — obligation distincte, qu’une certification ISO 42001 ne satisfait pas à elle seule.

ISO 42001 donne-t-elle une présomption de conformité à l’AI Act ?

Non, pour deux raisons cumulatives. D’une part, elle n’a pas été élaborée en réponse à la demande de normalisation M/593 de la Commission. D’autre part, aucune norme harmonisée au titre de l’AI Act n’est à ce jour citée au Journal officiel de l’Union européenne, condition sans laquelle la présomption de l’article 40(1) ne peut jouer pour aucune norme.

Quelle est la différence entre EN ISO/IEC 42001:2026 et EN 18286:2026 ?

EN ISO/IEC 42001:2026 est la reprise européenne, publiée le 18 mars 2026, de la norme internationale ISO/IEC 42001:2023 sur les systèmes de management de l’IA. EN 18286:2026, publiée le 12 juillet 2026, est une norme européenne écrite spécifiquement pour l’article 17 de l’AI Act, avec une annexe ZA de correspondance réglementaire. Le préfixe « EN » ne suffit pas à faire une norme harmonisée : seule la citation au JOUE produit cet effet.

Une certification ISO 42001 aide-t-elle en cas de contrôle ?

Oui, comme élément de preuve. Devant une autorité de surveillance du marché ou la CNIL, un dispositif certifié documente la diligence de l’organisme, la traçabilité des décisions et l’existence d’un processus d’amélioration. C’est un facteur atténuant utile, pas une cause d’exonération. Voir notre guide sur les contrôles AI Act.

Faut-il attendre la citation d’EN 18286 au JOUE pour agir ?

Non. La norme est publiée et constitue le meilleur guide disponible sur les attentes des organismes notifiés. Surtout, l’obligation de l’article 17 s’applique au 2 décembre 2027 pour les systèmes de l’annexe III, indépendamment de l’état d’avancement de la normalisation : les nouvelles dates fixées par l’omnibus sont civiles et inconditionnelles, le déclenchement conditionnel initialement envisagé ayant été supprimé en trilogue.

Par quoi commencer si l’on n’a rien ?

Par l’inventaire, avant toute chose. Recensez les systèmes d’IA utilisés ou fournis, qualifiez votre rôle pour chacun (fournisseur ou déployeur), puis appliquez la classification par niveau de risque. Ce n’est qu’ensuite que le choix du référentiel — ISO 42001, EN 18286, ou les deux — devient une question sensée. Notre checklist de conformité IA reprend cette séquence.