ISO 42001 vs le règlement UE sur l'IA : Comment ils s'articulent

Ce que chacun est

Deux instruments différents faisant deux tâches différentes :

• ISO/IEC 42001:2023 est une norme internationale pour un système de gestion de l'IA (AIMS). Il spécifie comment une organisation doit établir, mettre en œuvre, maintenir et améliorer continuellement la gouvernance de son IA. Il est volontaire, suit la même structure de système de gestion que l'ISO 27001 ou l'ISO 9001, et peut être certifié par un tiers accrédité.
• Le règlement UE sur l'IA (Règlement (UE) 2024/1689) est une loi contraignante de l'UE. Il s'applique directement dans toute l'Union, classe les systèmes d'IA par niveau de risque, et impose des obligations spécifiques au niveau du produit et du fournisseur — avec des amendes en cas de non-conformité. Vous n'« adoptez » pas ; il s'applique à vous si votre IA est mise sur le marché ou affecte le marché de l'UE.
• En résumé : l'ISO 42001 est une norme de processus/organisation que vous choisissez de suivre ; le règlement UE sur l'IA est un régime juridique que vous devez obéir.

Norme volontaire vs Règlement contraignant

Les deux opèrent à des niveaux différents, c'est pourquoi l'un ne peut pas se substituer à l'autre :

• Force juridique. La conformité à l'ISO 42001 est facultative et déterminée par le marché (clients, appels d'offres, confiance). Le règlement UE sur l'IA est obligatoire et appliqué par les autorités nationales.
• Unité de gouvernance. L'ISO 42001 régit votre système de gestion — politiques, rôles, processus à travers votre portefeuille d'IA. Le règlement UE sur l'IA attache des obligations à des systèmes d'IA spécifiques par niveau de risque (interdit, à haut risque, à risque limité, minimal).
• Ce que signifie « terminé ». Le succès de l'ISO 42001 est un AIMS certifié et en amélioration continue. Le succès du règlement UE sur l'IA est de répondre aux devoirs au niveau de l'article pour chaque système dans son champ d'application : gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, surveillance humaine, exactitude/robustesse, évaluation de la conformité, et (pour les systèmes à haut risque) marquage CE et enregistrement dans la base de données de l'UE.
• Qui vous juge. Un organisme de certification accrédité audite l'ISO 42001. Une autorité de surveillance du marché — et non un certificat — applique le règlement UE sur l'IA.

Comment l'ISO 42001 soutient la conformité au règlement UE sur l'IA

Un AIMS ISO 42001 produit une grande partie de la structure de gouvernance que le règlement UE sur l'IA suppose que vous avez déjà. Les contrôles de l'Annexe A cartographient naturellement sur plusieurs thèmes du règlement UE sur l'IA :

• Gouvernance et responsabilité. La politique d'IA, les rôles définis et l'examen de gestion s'alignent sur l'attente de système de gestion de la qualité du règlement UE sur l'IA (Article 17) et son attitude de responsabilité.
• Gestion des risques. Le processus d'évaluation et de traitement des risques d'IA de l'ISO 42001 vous donne le rythme opérationnel pour exécuter la gestion continue des risques au niveau du système que le règlement UE sur l'IA exige pour les systèmes d'IA à haut risque (Article 9).
• Données et cycle de vie. Les contrôles de qualité des données, de ressources et du cycle de vie du système d'IA soutiennent les obligations de gouvernance des données (Article 10) et de documentation technique (Article 11) du règlement UE sur l'IA.
• Surveillance et exploitation. Les contrôles de surveillance humaine, de suivi et d'enregistrement opérationnel vous donnent une longueur d'avance sur l'Article 14 (surveillance humaine) et l'Article 12 (enregistrement/journalisation).

Là où l'ISO 42001 ne vous rend pas conforme : un système de gestion n'est pas une évaluation de la conformité. L'ISO 42001 ne fournit pas le marquage CE, l'enregistrement dans la base de données de l'UE, un représentant autorisé de l'UE ou les exigences au niveau du produit pour un système à haut risque spécifique. Deux avertissements précis : (1) la conformité à l'ISO 42001 n'est pas la même chose que la certification — être « aligné » n'est pas être certifié ; et (2) la certification ISO 42001 n'est pas la même chose que la conformité juridique au règlement UE sur l'IA — un certificat est une preuve d'un bon système de gestion, jamais un havre de sécurité juridique.

Cartographie : domaines de l'ISO 42001 aux articles du règlement UE sur l'IA

Une passerelle pratique. Utilisez-la pour voir ce que votre AIMS couvre déjà et où le travail spécifique au règlement UE sur l'IA reste encore :

• Politique d'IA et leadership → Article 17 (système de gestion de la qualité) et responsabilité générale
• Évaluation et traitement des risques d'IA → Article 9 (système de gestion des risques)
• Données pour les systèmes d'IA / contrôles de ressources → Article 10 (données et gouvernance des données)
• Cycle de vie du système d'IA et contrôles de documentation → Article 11 et Annexe IV (documentation technique)
• Surveillance opérationnelle et enregistrement → Article 12 (enregistrement/journalisation)
• Informations pour les parties prenantes / contrôles de transparence → Article 13 (transparence pour les déploieurs)
• Contrôles de surveillance humaine → Article 14 (surveillance humaine)
• Contrôles de performance, de vérification et de surveillance → Article 15 (exactitude, robustesse, cybersécurité)

Il s'agit d'une cartographie directionnelle pour guider l'analyse des écarts, et non d'une table d'équivalence officielle. Aucune clause de l'ISO 42001 ne « satisfait » un article du règlement UE sur l'IA par elle-même ; chaque article nécessite encore des preuves spécifiques pour chaque système spécifique.