ISO 42001 : comprendre la norme dédiée à l'IA

Publiée en décembre 2023 par l'ISO, ISO/IEC 42001 est la première norme internationale à définir un cadre de gouvernance pour les systèmes d'intelligence artificielle. Avant elle, les organisations qui déployaient de l'IA n'avaient pas d'équivalent à ISO 27001 pour la sécurité ou ISO 9001 pour la qualité. Elle introduit le système de management de l'IA, ou AIMS, qui couvre le cycle de vie complet : conception, données d'entraînement, déploiement, supervision humaine, amélioration continue.

Les entreprises concernées ne se limitent pas aux éditeurs de modèles. Toute organisation qui intègre de l'IA générative dans ses processus, y compris via des outils tiers comme un assistant conversationnel ou un moteur de recommandation, est exposée aux exigences de gouvernance, de gestion des risques et de transparence que décrit la norme.

Les audits couvrent en général la gouvernance de l'IA (rôles, responsabilités, comité de pilotage), la gestion des données (qualité, biais, traçabilité), les risques propres à l'IA (hallucination, dérive de modèle, dépendance à un fournisseur unique) et la supervision humaine des décisions automatisées.

La norme reste jeune, et le nombre d'organismes accrédités pour délivrer la certification en Europe est encore limité, ce qui allonge les délais et le coût d'un audit. Elle ne se substitue pas non plus à l'AI Act européen, entré en application par étapes depuis 2024 : ISO 42001 relève d'une démarche volontaire de gouvernance, quand l'AI Act impose des obligations légales opposables. Pour une entreprise qui commence tout juste à structurer sa gouvernance IA, s'inspirer des domaines couverts par la norme sans viser sa certification immédiate suffit, dans la majorité des cas, à progresser concrètement.