ISO 42001 et AI Act : se préparer aux deux en même temps

Vos clients réclament ISO 42001 dans leurs appels d'offres, et l'AI Act s'appliquera le 2 décembre 2027 aux systèmes à haut risque de l'annexe III. Le certificat ne règle pas les deux. Il n'ouvre aucune présomption de conformité, alors qu'un manquement aux obligations du fournisseur expose à une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, et la première norme harmonisée, dont la référence a été publiée le 14 octobre 2026, en est une autre. Un seul système de management peut servir les deux démarches, à condition de savoir ce que chaque preuve démontre.

ISO 42001 et AI Act : deux logiques à ne pas confondre

Les deux textes parlent de gouvernance de l'IA, de risques et de documentation. Ils ne répondent pourtant pas à la même question.

Une norme volontaire qui audite une organisation

ISO/IEC 42001 est une norme de système de management de l'intelligence artificielle, publiée en décembre 2023. Aucun texte général ne l'impose. Un organisme tiers vérifie que votre organisation a défini un périmètre, une politique, des rôles, un traitement des risques et une amélioration continue. Le certificat porte sur ce système de management, pas sur la conformité légale d'un produit donné.

Un règlement qui vise chaque système d'IA

L'AI Act fonctionne comme une réglementation de produit. Pour un système à haut risque, l'article 16 impose au fournisseur une liste précise : respect des exigences techniques des articles 9 à 15, système de gestion de la qualité de l'article 17, évaluation de la conformité, déclaration UE de conformité, marquage CE, enregistrement. La plupart de ces obligations s'apprécient système par système. Un éditeur certifié peut donc mettre sur le marché un produit non conforme, et un fournisseur non certifié peut être parfaitement conforme.

Votre rôle change tout

Le fournisseur développe le système, ou le fait développer, et le met sur le marché ou en service sous son nom. Le déployeur l'utilise sous son autorité. Le gros des obligations pèse sur le premier. Le second suit les notices d'utilisation, confie le contrôle humain à des personnes compétentes et surveille le fonctionnement (art. 26). L'article 25 peut faire basculer un intégrateur ou un revendeur dans le rôle de fournisseur s'il appose sa marque, apporte une modification substantielle ou change la destination du système. Pour la plupart des éditeurs, c'est le premier point à trancher, avant toute discussion de norme. La synthèse sur les obligations de l'AI Act pour les entreprises détaille ces rôles.

ISO 42001 n'est pas une norme harmonisée : ce que cela change

La réponse tient en deux textes. L'article 40 de l'AI Act présume conformes les systèmes qui respectent des normes harmonisées dont la référence est publiée au Journal officiel de l'Union, dans la mesure de ce qu'elles couvrent. Or la décision d'exécution (UE) 2026/2274 du 12 octobre 2026, publiée le 14 octobre, ne publie qu'une seule référence : EN 18286:2026, « Intelligence artificielle, système de management de la qualité pour le règlement européen sur l'IA ».

Le piège du sigle EN

ISO 42001 existe aussi en version européenne. Le catalogue de l'AFNOR recense une NF EN ISO/IEC 42001 de mars 2026, reprise d'une EN ISO/IEC 42001:2026. Ce préfixe ne change rien au raisonnement. Une norme européenne n'ouvre la présomption de l'AI Act que si elle a été élaborée à la demande de la Commission et si sa référence figure au Journal officiel. Celle d'ISO 42001 n'y figure pas. Vérifiez donc la référence exacte dans une plaquette commerciale ou un rapport de consultant.

Ce qu'EN 18286 couvre réellement

EN 18286 a été écrite pour le système de gestion de la qualité de l'article 17. Les notes publiées sur son annexe ZA indiquent qu'elle couvre l'article 17 § 1, points a à m, et la première phrase de l'article 11 § 1, et qu'elle ne couvre pas les paragraphes 2 à 4 de l'article 17. Ce périmètre, connu par des tiers pour une norme payante, doit être contrôlé sur son texte avant tout appui. D'après ces mêmes notes, la présomption ne s'étend pas aux exigences de fond des articles 9, 10 et 12 à 15. D'après les suivis publiés à la mi-octobre 2026, les projets sur la gestion des risques, les journaux, la transparence, le contrôle humain, la robustesse et la cybersécurité n'étaient pas encore cités au Journal officiel.

Une question reste ouverte. L'article 40 § 1 vise les exigences de la section 2 du chapitre III, alors que l'article 17 figure à la section 3. Le règlement (UE) 2026/1744 a ajouté un alinéa à l'article 40 § 2 sur les demandes de normalisation visant les sections 2 et 3, sans réécrire le § 1. La Commission a publié la référence, et son considérant 5 affirme que la norme satisfait aux exigences qu'elle vise à couvrir. La solidité de cette présomption pour l'article 17 reste à éprouver devant un juge.

Point de vigilance. Ne réservez pas un budget à EN 18286 en pensant qu'elle remplace ISO 42001, ni l'inverse. La première vise le fournisseur de système à haut risque et son dossier réglementaire. La seconde répond à une exigence de marché, y compris pour une entreprise qui n'a aucun système à haut risque.

Calendrier AI Act : préparer ISO 42001 avec les bonnes échéances

Le règlement (UE) 2026/1744 du 8 juillet 2026 a déplacé plusieurs dates. Le séquencement de votre projet doit partir du texte modifié, pas d'un article écrit avant l'été.

• Déjà applicables : les pratiques interdites de l'article 5, hors les cas ajoutés par l'omnibus qui s'appliqueront le 2 décembre 2026, et la maîtrise de l'IA de l'article 4, réécrit par ce même texte. L'article 4 demande de prendre des mesures pour favoriser cette maîtrise, sans garantir un niveau individuel précis.
• Depuis le 2 août 2026 : les obligations de transparence de l'article 50, avec un délai au 2 décembre 2026 pour le marquage des contenus générés par les systèmes déjà sur le marché (art. 111 § 4).
• 2 décembre 2027 : le chapitre III, sections 1 à 3, pour les systèmes à haut risque de l'annexe III (recrutement, crédit, éducation, entre autres).
• 2 août 2028 : les mêmes règles pour les systèmes intégrés aux produits de l'annexe I.

Les orientations de la Commission sur la classification des systèmes à haut risque ont été publiées en projet le 19 mai 2026. Aucune version définitive n'a été repérée à la date de cet article. Une qualification faite aujourd'hui devra donc être relue à leur parution. Le ressort pratique est simple : treize mois séparent novembre 2026 du 2 décembre 2027, alors que les normes attendues arriveront en cours de route. Le système de management doit être construit pour absorber ces mises à jour.

Ce qu'un système ISO 42001 prépare pour l'AI Act

Une certification sérieuse n'est pas du temps perdu. EN 18286 comporte, selon les analyses publiées, des correspondances de clauses avec d'autres normes, dont EN ISO/IEC 42001:2026. Elles aident à repérer les clauses voisines, sans établir d'équivalence. Cinq blocs se réutilisent directement.

Gouvernance et responsabilités

La politique IA, la direction impliquée et l'attribution des rôles alimentent le cadre de responsabilisation exigé par l'article 17 § 1 m. Il reste à nommer, système par système, qui décide de la mise sur le marché, qui valide une modification et qui signe la déclaration de conformité.

Gestion des risques et analyse d'impact

ISO 42001 distingue, d'après les présentations disponibles, l'appréciation des risques liés à l'IA (6.1.2) de l'évaluation d'impact du système sur les personnes, les groupes et la société (6.1.4). L'article 9 de l'AI Act attend un processus continu, conduit sur tout le cycle de vie, centré sur les risques pour la santé, la sécurité et les droits fondamentaux. La méthode se recoupe, l'objet diffère. Un registre tourné vers le risque d'entreprise ne suffit pas : il faut une lecture centrée sur les personnes, par système.

Données, documentation et cycle de vie

D'après les présentations disponibles, les mesures de l'annexe A sur le cycle de vie, les ressources et les données fournissent une base aux articles 10 et 11. L'article 18 impose toutefois de conserver la documentation technique et celle du système qualité pendant dix ans après la mise sur le marché ou la mise en service. Votre politique de conservation doit l'intégrer dès maintenant.

Fournisseurs et tiers

Les mesures sur les relations avec les tiers et les clients (A.10) rejoignent l'article 25 § 4 de l'AI Act, qui impose un accord écrit entre le fournisseur d'un système à haut risque et le tiers qui lui livre un modèle, un composant, un outil ou un service intégré. Cet accord doit préciser les informations, l'accès technique et l'assistance nécessaires. Le règlement 2026/1744 a ajouté cette obligation à la liste de l'article 99 § 4. Un modèle de langage acheté par API se traite ici, et non en annexe du contrat.

Compétences

Les exigences de compétence de la norme nourrissent l'article 4 et l'article 26 § 2. L'audit ISO demandera des preuves, l'autorité pourra poser des questions voisines. Conservez les programmes, les dates et les publics concernés dans un seul dossier. Pour la méthode, voir comment prouver la formation des collaborateurs le jour de l'audit.

Ce que la certification ISO 42001 laisse hors champ

Les éléments suivants n'ont pas d'équivalent complet dans un certificat ISO 42001. L'analyse d'Intertek relève notamment que la stratégie de conformité réglementaire d'EN 18286 n'a pas de pendant dans la norme. Ces points se préparent à part.

• La qualification du système. Haut risque ou non, y compris la dérogation de l'article 6 § 3. Un fournisseur qui l'invoque documente son évaluation avant la mise sur le marché et s'enregistre (art. 6 § 4). Le profilage ferme cette porte.
• La documentation technique de l'annexe IV, propre à chaque système.
• La gestion des modifications. Une modification substantielle relance l'évaluation de la conformité (art. 43 § 4). Votre processus de mise en production doit savoir la détecter.
• La surveillance après commercialisation de l'article 72, avec un plan qui fait partie de la documentation technique. La Commission doit publier orientations et modèle au plus tard le 2 septembre 2027.
• Le signalement des incidents graves de l'article 73 : 15 jours au plus, deux jours en cas d'infraction de grande ampleur ou de perturbation grave et irréversible d'une infrastructure critique, dix jours en cas de décès.
• L'évaluation de la conformité (art. 43), la déclaration UE, le marquage CE et l'enregistrement dans la base européenne (art. 49).

Un dernier point surprend souvent les dirigeants. Pour la plupart des systèmes de l'annexe III (points 2 à 8), l'évaluation repose sur un contrôle interne, sans organisme notifié (art. 43 § 2 et annexe VI). Le fournisseur vérifie lui-même son système qualité et sa documentation technique, puis signe. L'auditeur ISO n'intervient pas à ce titre. Votre signature engage l'entreprise sur un périmètre qu'aucun certificat ne couvre.

Scénario type : un éditeur SaaS RH prépare ISO 42001 et l'AI Act

Prenons un éditeur fictif de 60 salariés. Son module analyse et filtre des candidatures en s'appuyant sur un modèle de langage tiers. Un grand compte exige ISO 42001. Le recrutement relève de l'annexe III, point 4 a. L'article sur les logiciels RH et le haut risque détaille ce cas. Voici l'ordre que je retiendrais, à ajuster selon le produit.

1. Qualifier d'abord, fin 2026. Inventaire de chaque fonction d'IA, rôle, classification, analyse de la dérogation de l'article 6 § 3. Cette note fixe le périmètre du système de management et évite de certifier un périmètre étroit qui exclurait le produit à risque.
2. Construire un socle unique. Politique, rôles, registre des risques, procédure de changement, conservation. Chaque document porte deux colonnes de référence : clause ou mesure ISO, article de l'AI Act.
3. Ajouter la couche fournisseur. Acheter EN 18286, comparer le système à la norme avec le consultant, documenter tout écart. L'article 17 § 1 e demande justement d'indiquer les moyens retenus lorsque les normes harmonisées ne sont pas appliquées intégralement.
4. Traiter la chaîne contractuelle. Accord de l'article 25 § 4 avec le fournisseur du modèle, notice d'utilisation et engagements envers les clients déployeurs.
5. Passer l'audit ISO, puis préparer le contrôle interne. Les deux dossiers partagent leurs preuves, mais pas leurs conclusions. Le second se clôt par la déclaration de conformité avant toute mise sur le marché à compter du 2 décembre 2027.

Reste le cas du module déjà commercialisé à cette date. L'article 111 § 2 ne le soumet au règlement qu'en cas d'importantes modifications de conception. Pour un SaaS livré en versions fréquentes, ne bâtissez pas votre calendrier sur cette exception sans analyse de votre feuille de route.

Le statut de PME apporte un allègement réel : une mise en œuvre proportionnée à la taille (art. 17 § 2), une conformité simplifiée à certains éléments du système qualité pour une PME sans entreprise partenaire ou liée (art. 63), un formulaire simplifié de documentation technique (art. 11). Les lignes directrices de la Commission sur l'article 63 restent à surveiller. Selon l'analyse d'Intertek, elles n'étaient pas publiées fin septembre 2026.

Une seule analyse d'impact, trois lectures

L'analyse exigée par ISO 42001, l'AIPD de l'article 35 du RGPD et l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'AI Act ne visent pas les mêmes personnes ni les mêmes acteurs. Cette dernière ne pèse pas sur cet éditeur : elle concerne certains déployeurs, comme les organismes publics, les entités privées fournissant des services publics, et les utilisateurs de systèmes de crédit ou d'assurance de l'annexe III, point 5. Une trame commune évite pourtant de ressaisir trois fois la description du traitement, et l'article 27 § 4 autorise les renvois à l'AIPD.

Certification ISO 42001 : le risque de l'argument commercial

Le danger le plus immédiat est peut-être votre page d'accueil. Écrire « certifié ISO 42001, donc conforme à l'AI Act » crée une allégation que le certificat ne prouve pas. Le Code de la consommation qualifie de trompeuse une pratique reposant sur des indications de nature à induire en erreur sur les caractéristiques essentielles d'un service ou les qualités du professionnel (art. L121-2). L'article L121-5 étend ce texte aux pratiques visant des professionnels. La peine atteint deux ans d'emprisonnement et 300 000 euros d'amende, portés à cinq ans et 750 000 euros lorsque l'infraction passe par un service de communication au public en ligne. L'amende peut aussi être portée, selon les avantages tirés du délit, à 10 % du chiffre d'affaires annuel moyen ou à 50 % des dépenses de publicité (art. L132-2). Ce risque reste à apprécier au cas par cas : aucune décision portant sur une allégation ISO 42001 n'a été relevée.

Le contrat appelle la même discipline. Un client peut vous faire garantir « la conformité à l'AI Act » au motif que vous êtes certifié. Rédigez plutôt ce que vous faites : système de management certifié sur tel périmètre, rôle retenu, classification du système, répartition des obligations avec le déployeur. Le site doit dire la même chose que le contrat. Un rappel pour les clients déployeurs : l'employeur informe les représentants des travailleurs et les travailleurs concernés avant l'usage d'un système à haut risque au travail (art. 26 § 7), et, dans les entreprises d'au moins 50 salariés, l'introduction de nouvelles technologies relève de la consultation du CSE (art. L2312-8 du Code du travail). Ni le certificat ni le marquage CE ne dispensent de cette étape. Pour l'encadrement des usages internes, voir l'article sur la charte IA interne.

Ce que le certificat peut apporter face à une autorité

L'article 99 § 7 demande de tenir compte du degré de responsabilité de l'opérateur au regard des mesures techniques et organisationnelles mises en œuvre. Un système de management vivant peut donc peser dans l'appréciation d'une sanction. Aucune décision n'a été trouvée sur ce point, le régime du haut risque n'étant pas encore applicable. Un certificat ne protège que s'il reflète la pratique réelle.

Par où commencer votre préparation

Trois décisions suffisent pour lancer le projet : votre rôle pour chaque système, sa classification, et le périmètre de certification. Elles appartiennent à la direction, pas au seul consultant. Je ne certifie pas et je ne remplace ni votre consultant ISO ni votre équipe technique. Je prends en charge le volet juridique d'ISO 42001 et de l'AI Act, de la qualification aux contrats, à partir de vos documents réels. Avocat et développeur web certifié, je lis aussi vos architectures, ce qui compte pour les éditeurs de logiciels et de SaaS. Le simulateur ci-dessous donne une première mesure de votre préparation. Pour aller plus loin, échangeons sur votre périmètre de certification et votre calendrier AI Act.