ISO/CEI 42001 : comment prouver à vos clients que votre IA est gouvernée

Les clients et les équipes d’approvisionnement ont commencé à ajouter une nouvelle question à leurs questionnaires de sécurité : « Comment gouvernez-vous votre utilisation de l’IA ? » Une simple page de politique ne suffit plus pour beaucoup d’entre eux. Ils veulent des preuves. L’ISO/CEI 42001 devient rapidement le moyen de les fournir.

Le fossé est réel. Le rapport 2026 de PwC Canada sur la confiance en l’IA a révélé que 72 % des organisations priorisent l’IA responsable, mais que 36 % n’ont aucune fonction de gouvernance de l’IA (PwC Canada). Au Québec, Raymond Chabot Grant Thornton a averti ce mois-ci que le plus grand risque lié à l’IA pour les petites et moyennes entreprises n’est pas la technologie, mais son utilisation sans cadre (RCGT).

Ce qu’est l’ISO/CEI 42001

L’ISO/CEI 42001:2023, publiée le 18/12/2023, spécifie les exigences relatives à un système de management de l’IA. L’ISO la décrit comme « la première norme mondiale de système de management de l’IA » (ISO). Elle s’applique aux organisations qui développent, fournissent ou utilisent des produits ou services basés sur l’IA.

Comme l’ISO 27001, il s’agit d’une norme de système de management. Elle ne certifie pas qu’un modèle est sûr ou précis. Elle certifie que l’organisation dispose d’un système fonctionnel pour gouverner l’IA : politique, rôles, évaluation des risques et des impacts, contrôles sur le cycle de vie de l’IA, supervision des fournisseurs, surveillance et amélioration continue.

Pourquoi elle s’intègre à l’ISO 27001

Les organisations déjà certifiées ISO 27001 disposent de la majeure partie de l’échafaudage : périmètre, engagement de la direction, méthodologie des risques, audit interne et revue de direction. La 42001 ajoute des éléments spécifiques à l’IA, tels que les évaluations d’impact de l’IA, la qualité et la provenance des données, la transparence envers les utilisateurs et la supervision des services d’IA tiers. Un système de management intégré, audité conjointement, est généralement plus efficace que deux.

L’accréditation est importante

Tous les certificats 42001 n’ont pas le même poids. En 2025, l’ISO a publié l’ISO/CEI 42006, qui établit les exigences pour les organismes qui auditent et certifient les systèmes de management de l’IA (ISO). Au Canada, le Conseil canadien des normes déclare être « le seul organisme d’accréditation au Canada offrant l’accréditation des systèmes de management de l’intelligence artificielle », et il exige des organismes de certification qu’ils passent à l’ISO/CEI 42006:2025 (CCN).

Lorsqu’un fournisseur vous présente un certificat 42001, demandez qui l’a délivré et si cet organisme est accrédité pour les systèmes de management de l’IA par le CCN ou un autre organisme d’accréditation reconnu.

Avez-vous besoin d’une certification ?

• Vous intégrez l’IA dans les produits que vous vendez : la certification devient un argument de vente, surtout auprès des entreprises et des clients de l’UE.
• Vous utilisez l’IA en interne sur des données clients ou personnelles : vous n’avez peut-être pas besoin d’un certificat, mais vous avez besoin de la gouvernance. La Loi 25 du Québec impose déjà des obligations pour les décisions automatisées ; voir les décisions automatisées en vertu de la Loi 25 et du projet de loi C-36.
• Vous débutez : commencez par un inventaire de l’IA, une politique d’utilisation acceptable et une simple évaluation d’impact. Ceux-ci constitueront la base d’un programme 42001 ultérieurement.

Un premier 90 jours pratique

1. Inventoriez chaque système d’IA et service basé sur l’IA en usage, y compris ceux adoptés par le personnel de leur propre initiative.
2. Désignez un responsable et établissez une politique d’utilisation acceptable.
3. Effectuez des évaluations d’impact sur les systèmes qui touchent des informations personnelles ou prennent des décisions concernant des personnes.
4. Ajoutez des questions sur l’IA à vos revues de fournisseurs.
5. Si vous détenez l’ISO 27001, cartographiez les clauses 42001 sur votre système de management existant et décidez de certifier les deux ensemble.

Accel GRC assure le suivi de la gouvernance de l’IA parallèlement à l’ISO 27001 et aux contrôles de confidentialité, et KW Consulting aide les organisations à se préparer à la certification. Voir aussi ISO 27001 ou SOC 2 ? Contactez-nous.

Sources

• ISO : ISO/CEI 42001:2023, Systèmes de management de l’IA
• ISO : ISO/CEI 42006:2025, Exigences pour les organismes d’audit des systèmes de management de l’IA
• Conseil canadien des normes : Accréditation des systèmes de management de l’intelligence artificielle
• PwC Canada : Rapport 2026 sur la confiance en l’IA (03/02/2026)
• Raymond Chabot Grant Thornton : Le risque de l’IA pour les PME est l’utilisation non gérée (01/10/2026, français)