Article · 4 novembre 2026
ISO/IEC 42001 : structurer la gouvernance de l'IA avant les échéances de l'AI Act
ISO/IEC 42001 : contenu de la norme, 38 mesures de l'annexe A, lien avec ISO 27001 et l'AI Act modifié par l'Omnibus IA, certification et premières étapes.
Publiée le 18 décembre 2023, ISO/IEC 42001 est la seule norme certifiable de système de management de l'intelligence artificielle (SMIA, ou AIMS en anglais). Les obligations de transparence de l'AI Act s'appliquent depuis le 2 août 2026, celles des IA à haut risque à partir du 2 décembre 2027. ISO 42001 devient le socle de gouvernance que clients et auditeurs demandent déjà.
Ce que couvre la norme
ISO 42001 encadre la façon dont une organisation développe, fournit ou utilise l'IA, quelle que soit sa taille. Elle ne certifie pas la sécurité d'un modèle, mais le système de gouvernance qui l'entoure (CyberSaint).
Elle reprend la structure commune des normes de management ISO (chapitres 4 à 10), comme ISO 27001 ou ISO 9001. Sa spécificité tient dans l'analyse d'impact des systèmes d'IA (chapitre 6) : elle évalue les conséquences pour les personnes et les groupes, pas seulement le risque pour l'entreprise.
L'annexe A propose 38 mesures réparties en neuf objectifs. Comme pour ISO 27001, vous retenez celles qui s'appliquent et justifiez les exclusions dans une déclaration d'applicabilité :
| Objectif | Thème | Mesures |
|---|---|---|
| A.2 | Politiques liées à l'IA | 3 |
| A.3 | Organisation interne | 2 |
| A.4 | Ressources des systèmes d'IA | 5 |
| A.5 | Évaluation des impacts | 4 |
| A.6 | Cycle de vie des systèmes d'IA | 9 |
| A.7 | Données | 5 |
| A.8 | Information des parties intéressées | 4 |
| A.9 | Utilisation des systèmes d'IA | 3 |
| A.10 | Relations avec les tiers et les clients | 3 |
Source : CyberSaint.
Le volet A.10 est souvent découvert tard : il couvre l'IA que vous achetez ou qui est intégrée à vos outils, généralement bien plus nombreuse que celle que vous développez.
ISO 42001 et ISO 27001 : même squelette, objet différent
ISO 27001 protège l'information avec 93 mesures ; ISO 42001 encadre le comportement de l'IA et ses effets avec 38 mesures. Une organisation déjà certifiée ISO 27001 couvre l'essentiel des chapitres 4, 5, 7, 9 et 10. Le vrai travail porte sur le chapitre 6 et l'annexe A.
Les organismes de certification proposent des audits intégrés couvrant les deux normes (CyberSaint).
ISO 42001 et AI Act : complémentaires, pas équivalents
Une certification ISO 42001 ne vaut pas présomption de conformité à l'AI Act : il faudrait pour cela une norme harmonisée publiée au Journal officiel de l'UE (CyberSaint). Elle fournit en revanche la gouvernance que le règlement présuppose : rôles définis, analyses d'impact, contrôle du cycle de vie, maîtrise des fournisseurs.
Le calendrier de l'AI Act a été modifié par l'« Omnibus IA », le règlement (UE) 2026/1744 publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet (K&L Gates via Mondaq) :
| Échéance | Ce qui s'applique |
|---|---|
| 2 août 2026 | Transparence : informer qu'on interagit avec une IA, étiqueter les deepfakes et certains contenus générés |
| 2 décembre 2026 | Deux nouvelles pratiques interdites (images intimes réalistes générées, contenus pédocriminels) |
| 2 décembre 2027 | IA à haut risque autonomes de l'annexe III (emploi, éducation, crédit, infrastructures critiques, etc.) |
| 2 août 2028 | IA à haut risque intégrées à des produits réglementés (dispositifs médicaux, machines, jouets) |
Les règles sur les modèles d'IA à usage général restent sur leur calendrier initial, et le Bureau européen de l'IA voit ses pouvoirs d'enquête renforcés (K&L Gates via Mondaq). Le report est un délai, pas une suppression.
Comment Domyno le traite
Un seul référentiel, des agents qui préparent le travail et un expert dédié qui valide.
Se faire certifier
La certification suit le parcours classique : audit documentaire (étape 1), audit de mise en œuvre (étape 2), puis audits de surveillance annuels sur un cycle de trois ans. Comptez 6 à 12 mois, dont au moins trois mois de fonctionnement pour produire les preuves de suivi et l'audit interne.
Vérifiez que l'organisme est accrédité selon ISO/IEC 42006:2025, qui fixe les exigences de compétence des auditeurs IA (CyberSaint).
Par où commencer
- Inventorier tous vos systèmes d'IA, y compris ceux achetés ou intégrés aux outils SaaS.
- Classer chaque système selon les catégories de l'AI Act.
- Délimiter un périmètre de SMIA réaliste : un périmètre trop large est la première cause d'échec.
- Mener l'analyse de risques et l'analyse d'impact pour chaque système du périmètre.
- Rédiger la déclaration d'applicabilité des 38 mesures.
- Si vous êtes certifié ISO 27001, étendre votre SMSI plutôt que créer un second système.
Comment Domyno vous accompagne
La gouvernance de l'IA ne se gère pas avec un tableur, et c'est là que Domyno fait la différence : une plateforme incroyablement complète, qui s'adapte à votre façon de travailler. Avec le custom framework, vous combinez ISO 42001, les obligations de l'AI Act et votre propre charte IA dans un référentiel unique, taillé pour votre organisation.
Le plan de contrôle traduit votre déclaration d'applicabilité en actions suivies : chacune des mesures retenues a un responsable, une échéance et ses preuves. Analyse de risques, gestion des fournisseurs (indispensable pour l'IA que vous achetez), politiques et incidents s'appuient sur la même base que votre SMSI.
L'IA de Domyno vous fait gagner un temps précieux, et un expert conformité vous aide à cadrer le périmètre et à préparer l'audit de certification.