On me pose souvent la même série de questions. ISO 42001, c’est comme ISO 27001? Et le NIST? Et le règlement européen? La réponse courte : ISO 42001 est le système de gestion, celui qu’un organisme certificateur peut auditer. Les normes liées autour ne disent pas la même chose. Certaines vous donnent un vocabulaire. D’autres, une méthode d’évaluation d’impact ou de risque. D’autres encore s’adressent à votre conseil d’administration, ou uniquement à l’auditeur.

Si vous n’avez pas encore la liste des outils d’IA réellement utilisés dans l’entreprise, commencez par ISO 42001 : ce qu’il faut savoir avant de se lancer. Ce texte-ci suppose que vous savez déjà pourquoi 42001 existe. Il sert à ne pas acheter quinze documents pour boucher le même trou.

42001, c’est le système. Le reste, c’est la boîte à outils

ISO/IEC 42001:2023 définit les exigences pour établir, mettre en œuvre, tenir à jour et améliorer un système de gestion de l’IA. Elle s’adresse à toute organisation qui développe, fournit ou utilise des produits ou services fondés sur l’IA.

Elle suit la même ossature que ISO 27001 (contexte, leadership, planification, support, fonctionnement, évaluation, amélioration). C’est pour ça qu’on peut les intégrer l’une à l’autre sans inventer un deuxième manuel parallèle. Le contenu, lui, n’est pas le même.

Je ne refais pas ici les neuf familles de l’annexe A. Je les ai déjà traduites en langage PME dans l’article pour se lancer. Si vous n’utilisez que ChatGPT, Claude ou Gemini en SaaS, une partie de ces contrôles ne vous concerne pas : c’est cet article-là.

ISO 27001 n’est pas ISO 42001

ISO 27001 protège la confidentialité, l’intégrité et la disponibilité de l’information. ISO 42001 pose d’autres questions : équité, explicabilité, usage réel au quotidien, impact sur des personnes. Un système d’IA peut respecter toutes vos règles de sécurité et rester biaisé, opaque ou mal encadré.

Les deux se complètent. L’une ne remplace pas l’autre. Si vous avez déjà un SGSI, vous n’êtes pas « couverts pour l’IA ». Vous avez une base pour documenter, auditer et améliorer. Il reste à gouverner l’IA elle-même.

La famille 42000

Trois normes portent le préfixe 42000. Elles ne s’adressent pas aux mêmes gens.

ISO/IEC 42001:2023 : le système de gestion

C’est celle qu’on certifie. Politique, rôles, risques, contrôles, revue, amélioration. Si quelqu’un vous demande « êtes-vous ISO 42001? », c’est de celle-ci qu’il parle.

ISO/IEC 42005:2025 : l’évaluation d’impact

Publiée en mai 2025. Elle décrit comment évaluer l’impact d’un système d’IA sur des personnes, des groupes et l’organisation, tout au long du cycle de vie. Ce n’est pas un deuxième système de gestion. C’est la méthode pour le travail que 42001 vous demande déjà de faire sur les outils à risque.

Dans l’article pour se lancer, j’ai donné cinq critères simples (personne, renseignements personnels, décision sans révision humaine, données stratégiques, dépendance opérationnelle). 42005, c’est la version structurée de ce réflexe, pour vos projets les plus sensibles.

ISO/IEC 42006:2025 : pour les certificateurs, pas pour votre PME

Publiée en juillet 2025. Elle complète ISO/IEC 17021-1 : exigences supplémentaires pour les organismes qui auditent et certifient un système de gestion de l’IA selon 42001.

Vous n’implantez pas 42006. Elle vous sert si vous choisissez un auditeur : l’organisme sait-il auditer de l’IA, pas seulement de la 27001 avec un nouveau logo sur la page couverture? Pour la conduite d’audit en général, je renvoie à ISO 19011.

Vocabulaire, apprentissage automatique, risques

ISO/IEC 22989:2022 : se mettre d’accord sur les mots

C’est le vocabulaire. « Système d’IA », « fournisseur », « utilisateur », « donnée d’entraînement » : si trois départements utilisent trois définitions, votre politique ne tiendra pas. 22989 existe pour ça. Elle date de 2022, pas de 2023.

Vous n’avez pas à la certifier. Vous avez à cesser de parler de l’IA comme si tout le monde voulait dire la même chose.

ISO/IEC 23053:2022 : cadre pour l’apprentissage automatique

Utile si vous entraînez un modèle, ou si vous construisez une application au-dessus d’un modèle. Moins utile si vos employés collent un texte dans ChatGPT et copient la réponse. Dans ce second cas, vous êtes utilisateur : voyez l’article sur les contrôles qui ne s’appliquent pas.

ISO/IEC 23894:2023 : gérer les risques de l’IA

C’est un guide, pas un système de gestion certifiable. Il aide à identifier, analyser et traiter les risques propres à l’IA. 42001 vous oblige à avoir cette discipline. 23894 décrit comment la tenir. Beaucoup d’organisations s’en servent avant même de viser une certification.

Les données qui nourrissent l’IA

Dès que vos outils d’IA touchent des renseignements personnels, la Loi 25 et ISO 42001 se croisent. La qualité, la provenance et la légalité des données ne sont pas un détail technique pour l’équipe science des données. C’est de la gouvernance.

La série ISO/IEC 5259 (cinq parties, 2024 et 2025) porte sur la qualité des données pour l’analyse et l’apprentissage automatique : vocabulaire, mesures, exigences de gestion, processus, gouvernance. Pour une PME, vous n’avez pas à lire les cinq. Vous avez à savoir qu’elles existent le jour où vous entraînez un modèle, l’ajustez, ou versez des dossiers clients dans un espace « projets » d’un outil d’IA.

ISO/IEC 25012 et 25024, plus anciennes, parlent de qualité des données en général (famille SQuaRE). Connexes, pas spécifiques à l’IA. Je les mentionne pour ceux qui ont déjà un programme qualité logiciel. Ce n’est pas le prochain achat d’une PME qui commence.

Gouvernance au conseil, pas seulement dans le TI

ISO/IEC 38507:2022

Implications de l’IA pour la gouvernance de l’informatique. Public : direction, conseil, quelqu’un qui a l’autorité de trancher. Pas l’administrateur système.

ISO/IEC 38500:2024

Gouvernance de l’informatique pour l’organisation. Édition 2024, plus la 2015. C’est la référence générale. 38507 en est le volet IA. Ni l’une ni l’autre ne remplacent 42001.

Si votre conseil demande « qui est responsable de l’IA ici? » et que la réponse est un silence, vous n’avez pas un problème de modèle. Vous avez un problème de gouvernance. J’ai publié un gabarit de politique d’usage acceptable de l’IA pour ce trou-là.

NIST AI RMF : volontaire, pas certifiable

Le cadre de gestion des risques de l’IA du NIST (AI RMF) et ISO 42001 visent tous les deux à encadrer les risques. Ils ne se substituent pas.

Le NIST AI RMF est volontaire. Il aide à évaluer et traiter les risques. ISO 42001 est une norme de système de gestion, auditable, certifiable. On peut s’en servir ensemble : le NIST pour structurer l’analyse de risques, 42001 pour que ça vive dans des rôles, des revues et des preuves.

Pour une PME québécoise, le NIST n’est une exigence que si un client américain le nomme. Ce n’est pas le premier document à ouvrir à Laval. Si vos appels d’offres US le citent, alors oui, lisez-le. Sinon, 42001 et 23894 suffisent à commencer.

Le règlement européen sur l’IA

ISO 42001 peut aider à vous rapprocher du règlement européen sur l’IA (AI Act) : gestion des risques, transparence, responsabilités, amélioration. Elle n’est pas une norme harmonisée au sens de ce règlement. Ce n’est pas un tampon qui « prouve » l’AI Act.

Au Québec, la Loi 25 reste le levier local dès qu’il y a des renseignements personnels. L’AI Act compte si vous vendez dans l’Union européenne, ou si un client qui y vend vous le demande. Les cinq critères de risque de l’article pour se lancer restent le filtre utile ici. Ne recopiez pas la grille européenne sur une PME de Laval qui n’a pas d’exposition UE.

La périphérie : utile à connaître, pas à faire cette semaine

Je les mets pour être complet. Vous n’en avez pas besoin demain matin.

  • ISO/IEC TR 24028:2020 : aperçu de la fiabilité dans l’IA (rapport technique, pas une certification).
  • ISO/IEC/IEEE 29119-11:2020 : tests des systèmes fondés sur l’IA, dans la famille des tests logiciels.
  • ISO/IEC 20546:2019 : vocabulaire du big data. Connexe si vous avez des volumes massifs, pas si vous avez Copilot.
  • ISO/IEC 27001:2022 : je prêche pour ma paroisse. Sans sécurité de l’information, gouverner l’IA, c’est coller une politique sur un système que vous ne contrôlez pas.

Cette liste va bouger. Le comité ISO sur l’IA continue de publier. Ce n’est pas un inventaire figé de tout ce que l’ISO a touché de près ou de loin.

Par où commencer, selon votre place

Vous n’avez pas encore d’inventaire. Lisez ce qu’il faut savoir avant de se lancer. Cinq actions, une heure de réunion.

Vous n’utilisez que ChatGPT, Copilot ou l’équivalent. Lisez les contrôles qui ne s’appliquent pas. N’appliquez pas A.6 comme si vous entraîniez un modèle.

Vous avez déjà ISO 27001. Ajoutez 42001 pour gouverner l’IA. Servez-vous de 23894 et de 42005 sur les outils qui touchent des personnes ou des renseignements personnels.

Vous vendez en Europe, ou un client UE vous le demande. 42001 aide. Lisez ensuite le règlement. Pas l’inverse : un règlement ne remplace pas un système de gestion.

Vous auditez, ou vous choisissez un certificateur. 42006 pour l’organisme, 19011 pour la conduite d’audit.

Bref

ISO 42001 n’est pas seule, et elle ne fait pas tout. Elle n’est pas ISO 27001, ni le NIST AI RMF, ni le règlement européen. Les normes liées (42005, 22989, 23894, 5259, 38507) servent à des jobs différents. Lisez celles qui correspondent à votre rôle. Laissez les autres sur l’étagère.

Ça vous touche? Parlons-en.