Certification ISO 42001

ISO/IEC 42001:2023 est la norme de système de management pour l'intelligence artificielle, et elle arrive tôt. Sur les 365 jours jusqu'au 11 août 2026, elle apparaît dans 18 avis de marchés publics européens sur TED, contre 3 408 pour l'ISO 27001. La raison honnête de se certifier en 2026, c'est qu'un client, un investisseur ou une liste d'achats la demande.

Ce n'est pas une échéance légale, et ce n'est pas une voie vers la conformité au règlement européen sur l'IA. Si vous détenez déjà l'ISO 27001, la seconde norme coûte une fraction de la première, parce que les articles 4 à 10 sont communs et que ce que vous ajoutez, ce sont 38 mesures, un nouveau type d'analyse et les enregistrements qui vont avec. Si vous ne détenez encore rien, commencez par la norme que vos clients nomment.

Si c'est tôt, mesuré plutôt que deviné

TED est le portail des marchés publics de l'UE elle-même et son API de recherche est publique ; ceci est donc vérifiable plutôt qu'affirmé. Sur les 365 jours jusqu'au 11 août 2026 :

Dix-huit. Personne ne perd aujourd'hui de marché public faute d'ISO 42001. Les comptes de certificats disent la même chose de l'autre côté : au printemps 2026, les décomptes publiés de certificats ISO 42001 dans le monde atteignaient quelques centaines d'organisations, contre environ 96 000 certificats ISO 27001 dans l'ISO Survey. La certification accréditée n'est devenue possible qu'au second semestre 2025, quand a été publiée l'ISO/IEC 42006, la norme qui dit aux organismes de certification comment auditer par rapport à la 42001.

Ce que les chiffres ne captent pas, c'est l'achat privé. Les questionnaires de qualification des fournisseurs des grands clients ont commencé à porter une section « gouvernance de l'IA », et un certificat en est la réponse la plus courte. C'est une demande réelle. Elle vient des achats, elle arrive par questionnaire, et c'est la raison de le faire en 2026 si vous le faites.

Ce qu'elle n'est pas : une voie vers le règlement sur l'IA

C'est l'affirmation dont il faut se méfier, parce que beaucoup de marketing la fait.

L'ISO 42001 ne confère pas de présomption de conformité au règlement européen sur l'IA. Les organismes européens de normalisation, le CEN et le Cenelec, ont écrit une norme européenne distincte pour le système de gestion de la qualité du règlement : l'EN 18286.

Le 14 octobre 2026, la décision d'exécution (UE) 2026/2274 de la Commission a cité l'EN 18286:2026 au Journal officiel, première norme harmonisée du règlement sur l'IA ; la 42001 n'est pas citée. Même cette citation va moins loin qu'il n'y paraît. L'article 40 présume la conformité aux articles 8 à 15, dans la mesure où une norme citée les couvre. Le système de gestion de la qualité lui-même est vérifié au regard de l'article qui l'exige. Ce que l'EN 18286 apporte au fournisseur, et ce qu'elle n'apporte pas. Les obligations à haut risque elles-mêmes ont été reportées par le règlement (UE) 2026/1744 au 2 décembre 2027 (systèmes de l'annexe III) et au 2 août 2028 (systèmes intégrés de l'annexe I).

Ce que la 42001 vous donne, c'est l'échafaudage de gouvernance sur lequel reposera tout travail ultérieur sur le règlement : des rôles, un inventaire des systèmes d'IA, des analyses d'impact, des enregistrements de données, une revue de direction qui inclut l'IA. Notre propre lecture rapproche les mesures de la 42001 de chaque aspect que nomme l'article 17, paragraphe 1, point par point. La phrase défendable est « la 42001 prépare l'organisation » ; l'indéfendable est « la 42001 rend le système conforme ».

Ce qu'elle demande

Les articles 4 à 10 sont la structure harmonisée, le même squelette que l'ISO 27001, l'ISO 9001 et toute autre norme de système de management actuelle : contexte, leadership, planification, support, réalisation, évaluation des performances, amélioration. Si vous détenez l'ISO 27001, vous avez construit les sept, et les enregistrements comptent pour les deux normes. Une déclaration de périmètre, une politique, des objectifs, une méthode de risque, des enregistrements de compétence, un audit interne, une revue de direction : un seul jeu, deux certificats.

Trois choses sont nouvelles.

Le rôle de l'organisation pour chaque système d'IA. La 42001 vous demande de dire, pour chaque système du périmètre, si vous en êtes le fournisseur, le développeur, le déployeur ou l'utilisateur, parce que les obligations diffèrent. Une entreprise qui déploie le modèle d'un éditeur et une entreprise qui entraîne le sien ont des déclarations d'applicabilité différentes, et le périmètre doit lister les systèmes, pas seulement les unités d'affaires.

L'analyse d'impact du système d'IA, article 6.1.4. C'est l'article sans aucun équivalent dans l'ISO 27001, et c'est la raison pour laquelle un audit 42001 n'est pas un audit 27001 avec des mesures en plus.

Là où la 27001 demande ce qui pourrait mal tourner pour l'organisation, la 42001 demande ce que le système fait aux personnes qu'il touche et à la société : qui est concerné, quelle est la finalité prévue, à quoi ressemble un mésusage raisonnablement prévisible, et quelles sont les conséquences d'une sortie erronée pour un individu. Un auditeur demandera l'analyse d'un système nommé et attendra un document, pas un registre des risques filtré.

Les 38 mesures de l'annexe A. Regroupées de A.2 à A.10 : politique d'IA ; organisation interne ; ressources pour les systèmes d'IA (données, outillage, calcul, humaines) ; analyse d'impact ; le cycle de vie du système d'IA, des objectifs à la vérification, au déploiement et à la surveillance ; données pour les systèmes d'IA (provenance, qualité, préparation) ; information des parties intéressées ; utilisation des systèmes d'IA ; et relations avec les tiers et les clients.

Comme pour la 27001, vous déterminez celles qui s'appliquent et justifiez celles qui ne s'appliquent pas dans une déclaration d'applicabilité, et l'annexe B donne des lignes directrices de mise en œuvre pour chacune. Les mesures relatives aux données en A.7 sont celles que les entreprises sous-estiment : un auditeur voudra voir d'où viennent les données d'entraînement et d'évaluation, comment leur qualité a été évaluée et comment elles ont été préparées, avec des dates.

Ce qu'elle coûte, et pourquoi la fourchette publiée est inutile

Une seule page de résultats de recherche pour « ISO 42001 certification cost » affichait des chiffres de 7 000 $ à 650 000 $. Les deux sont peut-être vrais pour quelqu'un. Aucun ne vous dit quoi que ce soit sur votre entreprise. Le coût a trois parties, et une seule d'entre elles est fixée par une règle.

Les honoraires d'audit de l'organisme de certification. Selon l'ISO/IEC 42006, l'organisme détermine le temps d'audit à partir du nombre de systèmes d'IA dans le périmètre, de leur complexité et de la taille de l'organisation, puis facture un tarif journalier. Les organismes ne publient pas leurs tarifs ; attendez-vous au même ordre de grandeur que les jours d'auditeur ISO 27001, qui en Europe tournent autour de 1 200 € à 2 000 € par jour.

Si le même organisme détient déjà votre certificat 27001, demandez un audit intégré : les articles communs sont audités une fois et le travail propre à la 42001 s'ajoute par-dessus, ce sont des jours ajoutés et non des jours doublés.

Votre temps interne. Pour une entreprise qui fait déjà tourner un SMSI, ce sont les analyses d'impact, l'inventaire des systèmes d'IA, les enregistrements de données et les 38 décisions sur les mesures. Des semaines du temps d'une personne, pas des mois d'une équipe. Pour une entreprise qui part de rien, c'est d'abord la construction du système de management, ce qui est le projet ISO 27001 sous un autre nom.

De l'aide, si vous l'achetez. Un consultant vend du jugement sur le périmètre et sur les analyses d'impact, là où un premier audit 42001 échoue. Les modèles ne sont pas la ressource rare.

L'arithmétique honnête pour une entreprise de 40 personnes avec un certificat ISO 27001 et deux systèmes d'IA dans le périmètre est donc un petit nombre de jours d'auditeur supplémentaires plus quelques semaines de travail interne. Pour la même entreprise sans système de management, c'est le projet ISO 27001 plus cela.

Si vous détenez déjà l'ISO 27001

Faites la seconde norme sur la colonne vertébrale de la première. Étendez la déclaration de périmètre pour lister les systèmes d'IA. Ajoutez la détermination du rôle à l'enregistrement de contexte. Ajoutez « conséquences pour les individus et pour la société » aux critères de risque, parce que la 42001 l'exige et la 27001 non. Menez l'analyse d'impact pour chaque système du périmètre et conservez-la comme document à part entière. Décidez des 38 mesures. Ensuite l'audit interne et la revue de direction couvrent les deux normes en un seul cycle, et les audits de surveillance s'alignent.

L'erreur à éviter est un second jeu d'enregistrements, séparé, pour un même système. Les entreprises qui font la 27001 avec un outil et la 42001 avec un tableur finissent par décrire deux fois le même contrôle d'accès, le même fournisseur et le même incident, et un auditeur qui voit les deux versions se contredire a un constat.

Notre couverture article par article de l'ISO 42001 dit, pour chaque article, ce que le produit tient et où les entrées ont été fermées, dans le même format que le registre 27001. Lisez-le avant de décider quoi que ce soit.

Si vous ne détenez encore rien

Commencez par la norme que vos clients demandent. Au vu des chiffres ci-dessus, pour presque toute entreprise en Europe en 2026, c'est l'ISO 27001. Construisez-la de sorte que la norme IA puisse s'ajouter plus tard : listez les systèmes d'IA dans l'inventaire des actifs dès le début, et écrivez les critères de risque avec les individus et la société comme colonne, même si elle reste vide pendant un an.

Certifiez la 42001 en premier seulement si le client qui la demande est celui qui la paie. Certains le sont : un éditeur d'IA dont le plus grand client exige aux achats un certificat de gouvernance de l'IA est exactement dans cette situation, et pour lui la 42001 en premier est rationnelle. Tous les autres achètent une option sur 2028, et les options coûtent d'autant moins qu'on y dépense peu.

Sources

• Décomptes TED : scripts/ted-by-country.mjs contre l'API de recherche TED, 365 jours jusqu'au 11 août 2026 ; voir ISO 27001 ou SOC 2 en Europe.
• ISO/IEC 42001:2023, articles 4 à 10, 6.1.4, annexe A (38 mesures, A.2 à A.10), annexe B.
• ISO/IEC 42006:2025, exigences pour les organismes qui auditent et certifient les systèmes de management de l'IA.
• JTC 21 du CEN-CENELEC et EN 18286:2026, citée par la décision d'exécution (UE) 2026/2274 de la Commission du 12 octobre 2026 (JO L, 2026/2274, 14.10.2026), lue sur CELLAR le 17 octobre 2026 ; règlement (UE) 2026/1744 (en vigueur le 27 juillet 2026) reportant les obligations à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. Synthèses de Hunton, White & Case et Mayer Brown, juillet 2026 ; le texte du JO sera cité directement avant publication.
• Comptes de certificats : ISO Survey (ISO 27001, ~96 000 certificats) ; décomptes ISO 42001 à avril 2026 d'après des comptages sectoriels compilés dans notre veille réglementaire. Lire le chiffre 42001 comme un ordre de grandeur.
• Tarifs journaliers des auditeurs : Combien de jours d'auditeur prend l'ISO 27001.