Gouvernance IA & Sécurité :
ce qu'il faut savoir

1. Comprendre le périmètre et les enjeux

Avant de lancer tout projet de certification, il faut définir précisément ce que vous mettez dans le périmètre du SMIA : quels systèmes d'IA, quels processus, quelles entités de l'organisation ? ISO 42001 ne s'applique pas nécessairement à toute l'entreprise — un périmètre bien délimité est souvent plus efficace pour une première certification.

Il faut également identifier les parties prenantes concernées (clients, fournisseurs, régulateurs) et comprendre leurs attentes vis-à-vis de votre usage de l'IA. Cette étape de contexte est fondamentale : elle conditionne l'ensemble de la démarche.

2. Réaliser l'analyse d'écarts (gap analysis)

L'analyse d'écarts consiste à comparer votre situation actuelle avec les exigences de la norme. Elle permet d'identifier ce qui existe déjà (politiques, processus de gouvernance, registres de systèmes IA) et ce qui manque. C'est cette analyse qui détermine le plan d'action et le budget nécessaire.

Dans la plupart des organisations, les principaux écarts portent sur :

• L'inventaire et la classification des systèmes d'IA selon leur niveau de risque
• L'évaluation d'impact (souvent absente ou très informelle)
• La politique de gouvernance IA formalisée et validée par la direction
• Les processus de surveillance et de revue des systèmes en production

3. Définir la politique et les objectifs IA

ISO 42001 exige un engagement formel de la direction : une politique IA qui exprime les valeurs, les principes éthiques et les objectifs de l'organisation en matière d'IA. Ce document n'est pas une formalité — il engage l'organisation et sera examiné par l'auditeur de certification.

Les objectifs de management de l'IA doivent être mesurables, alignés sur la stratégie et régulièrement revus. C'est l'un des points sur lesquels les organisations sont le plus souvent en défaut lors des audits.

4. Évaluer et traiter les risques liés à l'IA

Le SMIA repose sur une approche par les risques. Pour chaque système d'IA dans le périmètre, il faut identifier les risques potentiels (biais algorithmiques, atteinte à la vie privée, décisions automatisées injustes, dépendance fournisseur) et définir les mesures de traitement appropriées.

ISO 42001 introduit également la notion d'impact sur les parties prenantes — une dimension qui va au-delà de la simple gestion des risques organisationnels et qui rapproche la norme des exigences de l'IA Act.

5. Déployer les contrôles et documenter

L'annexe A de la norme liste les contrôles applicables, organisés en domaines : politiques, ressources humaines, opérations, évaluation des fournisseurs IA, surveillance des systèmes... Chaque contrôle applicable doit être mis en œuvre et documenté dans une Déclaration d'Applicabilité (SoA), similaire à celle d'ISO 27001.

6. Audit interne et revue de direction

Avant l'audit de certification, l'organisation doit conduire un audit interne complet du SMIA et une revue de direction formelle. Ces deux étapes permettent de s'assurer que le système est opérationnel, que les non-conformités sont traitées et que la direction est réellement impliquée.

7. L'audit de certification

La certification ISO 42001 se déroule en deux phases : un audit documentaire (examen des politiques, procédures, registres) puis un audit sur site (entretiens, vérification de l'application concrète). En cas de non-conformités mineures, un plan d'action est accepté. Les non-conformités majeures bloquent la certification jusqu'à leur résolution.

Le délai réaliste pour une première certification, à partir d'une organisation sans système de management existant, est de 9 à 18 mois selon la taille et la maturité de l'organisation.

Un règlement d'application extraterritoriale

Comme le RGPD avant lui, l'IA Act ne s'applique pas qu'aux entreprises européennes. Il concerne toute organisation qui fournit ou utilise des systèmes d'IA sur le marché européen, quelle que soit sa localisation. Si vous déployez un outil d'IA pour des clients ou des collaborateurs en Europe, vous êtes concerné.

La logique du risque : quatre catégories

L'IA Act classe les systèmes d'IA en quatre niveaux de risque, avec des obligations proportionnelles :

• Risque inacceptable : systèmes interdits (notation sociale par les pouvoirs publics, manipulation subliminale, surveillance biométrique de masse en temps réel dans les espaces publics)
• Risque élevé : systèmes soumis à des obligations strictes avant mise sur le marché — c'est là que se concentrent la majorité des obligations
• Risque limité : obligations de transparence (notamment les chatbots doivent se signaler comme tels)
• Risque minimal : pas d'obligation spécifique (filtres anti-spam, jeux vidéo avec IA...)

Êtes-vous concerné par les systèmes à risque élevé ?

C'est la question centrale. Les systèmes à risque élevé couvrent notamment :

• Les infrastructures critiques (énergie, eau, transport)
• L'éducation et la formation professionnelle (évaluation des candidats, des étudiants)
• L'emploi et la gestion des ressources humaines (tri de CV, évaluation de performance automatisée)
• Les services essentiels (scoring de crédit, assurance, évaluation de l'éligibilité aux aides sociales)
• La justice et les processus démocratiques
• Les dispositifs médicaux avec composante IA

Si votre organisation utilise ou déploie un système dans l'une de ces catégories, les obligations s'appliquent selon un calendrier révisé par le Digital Omnibus on AI d'mai 2026 — voir ci-dessous.

Les principales obligations pour les systèmes à risque élevé

Les fournisseurs de systèmes à risque élevé doivent notamment :

• Mettre en place un système de gestion des risques IA tout au long du cycle de vie
• Assurer la qualité et la gouvernance des données d'entraînement
• Constituer une documentation technique complète
• Garantir la traçabilité (journalisation automatique)
• Assurer la transparence envers les utilisateurs
• Permettre une supervision humaine effective
• Démontrer la robustesse, la précision et la cybersécurité du système

Le calendrier d'application Mis à jour — Digital Omnibus, 7 mai 2026

• 2 février 2025 : interdiction des pratiques IA inacceptables (Art. 5) — manipulation subliminale, notation sociale, biométrie de masse en temps réel — déjà en vigueur
• 2 août 2025 : obligations pour les modèles d'IA à usage général (GPAI) — déjà en vigueur
• 2 décembre 2026 : détection machine des contenus synthétiques (watermarking) pour les fournisseurs d'IA générative déjà sur le marché au 2 août 2026 — délai raccourci par l'Omnibus
• 2 décembre 2027 : obligations pour les systèmes à risque élevé — Annexe III (RH, santé, banque, justice) — reporté de 16 mois par l'Omnibus
• 2 août 2028 : obligations pour les systèmes à risque élevé — Annexe I (sécurité des produits : ascenseurs, machines, dispositifs médicaux) — reporté de 24 mois par l'Omnibus

La logique du report est claire : les normes harmonisées nécessaires à la mise en conformité ne seront pas disponibles à temps. Le calendrier a été aligné sur le niveau de préparation réel de l'écosystème — ce qui ne dispense pas d'anticiper.

Par où commencer ?

La première étape est un inventaire de vos systèmes d'IA et leur classification selon la grille de risque de l'IA Act. Cette cartographie permet d'identifier rapidement les systèmes qui tombent dans le périmètre réglementé et de prioriser les actions. Pour beaucoup d'organisations, c'est aussi l'occasion de formaliser pour la première fois ce qui relève de l'IA dans leurs processus — un exercice souvent révélateur.

Ce que couvre ISO 27001

ISO 27001 porte sur la sécurité de l'information au sens large : confidentialité, intégrité et disponibilité des données et des systèmes d'information de l'organisation. Elle s'applique à l'ensemble du système d'information, indépendamment de la présence ou non d'IA.

La norme exige la mise en place d'un Système de Management de la Sécurité de l'Information (SMSI), avec une approche par les risques, des contrôles de sécurité (listés en Annexe A), des audits internes et une revue de direction régulière.

Ce que couvre ISO 42001

ISO 42001 porte sur la gouvernance des systèmes d'intelligence artificielle : éthique, transparence, responsabilité, gestion des impacts sur les parties prenantes, surveillance des systèmes en production. Elle s'applique spécifiquement aux organisations qui développent, déploient ou utilisent des systèmes d'IA.

La norme exige la mise en place d'un Système de Management de l'IA (SMIA), avec une évaluation des impacts IA, une classification des systèmes par niveau de risque, des contrôles spécifiques et une gouvernance formalisée.

Les différences essentielles

• Le périmètre : ISO 27001 couvre tout le SI ; ISO 42001 se concentre sur les systèmes IA
• L'objet du risque : ISO 27001 protège les actifs informationnels contre les menaces de sécurité ; ISO 42001 gère les impacts des systèmes IA sur les personnes et l'organisation
• L'éthique : absente d'ISO 27001, centrale dans ISO 42001 (biais, équité, transparence algorithmique)
• Les parties prenantes : ISO 27001 est centré sur l'organisation ; ISO 42001 intègre explicitement les impacts externes (clients, société)

Ce qu'elles ont en commun

Les deux normes suivent la même structure de haut niveau (HLS) : contexte, leadership, planification, support, opérations, évaluation des performances, amélioration. Cela signifie que :

• Les processus d'audit interne, de revue de direction et de gestion des non-conformités sont identiques
• La documentation se structure de la même façon
• Une organisation déjà certifiée ISO 27001 a une longueur d'avance significative pour ISO 42001

Laquelle commencer en premier ?

La réponse dépend de votre contexte :

• Si votre exposition principale est la sécurité des données (client bancaire, industriel, secteur de la santé) : commencez par ISO 27001
• Si vous développez ou déployez des systèmes d'IA et que vous avez des clients qui vous questionnent sur votre gouvernance IA : ISO 42001 est la priorité
• Si vous êtes concerné par l'IA Act : ISO 42001 est le référentiel le plus aligné pour structurer votre conformité réglementaire

Peut-on les déployer simultanément ?

Oui, et c'est souvent recommandé. Les deux systèmes de management partagent suffisamment d'éléments communs (politique, audits, revue de direction, gestion documentaire) pour être conduits en parallèle avec des économies d'échelle significatives. Un accompagnement intégré permet de construire une seule infrastructure de management couvrant les deux périmètres, plutôt que deux systèmes silos.

Les organisations les plus matures sur ces sujets tendent vers une gouvernance unifiée : un cadre commun qui intègre sécurité de l'information, gouvernance IA et conformité réglementaire (IA Act, RGPD) dans une approche cohérente.