Numerique
Vous préparez une certification ISO 27001 ou ISO 42001 ? Votre consultant bâtit le système de management, je sécurise le volet juridique, des politiques aux contrats, jusqu'à l'audit.
Contexte
ISO/IEC 27001:2022 encadre le système de management de la sécurité de l'information. ISO/IEC 42001:2023 fait de même pour le système de management de l'IA. Aucun texte général n'impose ces normes : la demande vient souvent d'un client, d'un appel d'offres ou d'un investisseur. Un organisme tiers audite ensuite le système et la preuve de chaque mesure retenue, y compris sur le terrain juridique. En France, le COFRAC accrédite ces organismes pour le référentiel ISO 27001.
L'annexe A d'ISO 27001 compte 93 mesures, dont les exigences légales et contractuelles (A.5.31), la vie privée (A.5.34), les contrats fournisseurs (A.5.20), le processus disciplinaire (A.6.4) et la confidentialité (A.6.6). Celle d'ISO 42001 compte 38 mesures, dont les politiques IA, l'évaluation des impacts (A.5) et les relations avec les tiers et les clients (A.10).
Le certificat ne vaut pas conformité légale. Le RGPD ne cite comme élément de démonstration que les codes de conduite et les certifications approuvés (art. 28 § 5 et 32 § 3), et ISO 27001 ne figure pas au registre européen de ces certifications. Pour l'AI Act, la présomption de l'article 40 suppose une norme harmonisée publiée au Journal officiel : la décision (UE) 2026/2274 publie EN 18286:2026, pas ISO 42001. Depuis le règlement (UE) 2026/1744, les règles sur le haut risque s'appliqueront au 2 décembre 2027 ou au 2 août 2028 selon le système. NIS 2 reste non transposée en France au 2 novembre 2026 : le projet de loi adopté par le Sénat le 12 mars 2025 attend son vote à l'Assemblée nationale.
Problematique
Une politique interne n'oblige pas vos salariés du seul fait qu'elle existe. Si elle crée des obligations générales et permanentes de discipline, elle vaut adjonction au règlement intérieur, ou suit le même régime s'il n'en existe pas (Code du travail, art. L1321-5) : avis du CSE, communication à l'inspection du travail, entrée en vigueur un mois après la publicité (art. L1321-4). Un document qui se borne à rappeler les textes n'y entre pas (Cass. soc., 23 juin 2021, n° 19-15.737). Sans cette procédure, la sanction d'un salarié devient fragile. Pour la journalisation (A.8.15) et la surveillance (A.8.16) : information préalable (art. L1222-4), consultation du CSE si elles permettent de contrôler l'activité (art. L2312-38).
Le 15 avril 2022, la CNIL a infligé 1,5 M€ à un éditeur de logiciels pour laboratoires (SAN-2022-009) : contrats sans les mentions de l'article 28, données extraites au-delà des instructions, sécurité insuffisante. Côté IA, un contrat muet sur la réutilisation des données, la propriété des résultats ou la responsabilité vide la mesure A.10 de sa substance.
Enfin, un risque documenté puis ignoré se retourne contre vous. Le 22 janvier 2026, la CNIL a sanctionné France Travail de 5 M€ (SAN-2026-003). Ses analyses d'impact avaient identifié le risque et prévu l'authentification multifacteur, non déployée à temps, et la formation restreinte y a vu une négligence grave. Un dossier ISO est ce type de pièce : un risque, une date, un responsable. Côté pénal, l'absence des mesures de sécurité du RGPD est passible de cinq ans d'emprisonnement et 300 000 € d'amende (Code pénal, art. 226-17).
Solutions
Je ne certifie pas et je ne remplace ni votre consultant, ni votre RSSI, ni l'organisme d'audit. Je prends en charge ce qui engage juridiquement l'entreprise, à partir de vos documents réels et avec vos équipes, pour que l'écrit corresponde à la pratique. Avocat au Barreau de Paris et développeur web certifié, je lis vos flux et vos architectures autant que vos contrats. Je reste votre interlocuteur direct.
Pour ISO 27001, je reprends les politiques de confidentialité, d'incidents, d'accès, de conservation et de suppression. J'identifie vos obligations RGPD, cyber et NIS 2. Je revois les contrats prestataires, hébergeurs et sous-traitants, avec leur DPA, ainsi que les engagements de confidentialité et les responsabilités.
Pour ISO 42001, je relis vos politiques de gouvernance et votre charte IA, je contrôle la conformité AI Act et RGPD, puis je qualifie vos systèmes d'IA, les responsabilités et les risques. Je cadre les procédures de validation, de déploiement, de contrôle et de supervision humaine, les contrats fournisseurs d'IA (responsabilité, propriété intellectuelle, confidentialité, données), les analyses d'impact et leur documentation.
Vous obtenez un dossier juridique prêt pour l'audit : exigences applicables, documents revus, risques juridiques documentés, décisions motivées. Ce dossier sert aussi pour vos questionnaires de sécurité clients et vos appels d'offres. Je m'adresse aux éditeurs SaaS, aux entreprises technologiques et aux sociétés qui développent ou intègrent de l'IA. Parlons de votre périmètre.
Je pars du périmètre de certification et de votre rôle : responsable de traitement, sous-traitant, fournisseur ou déployeur d'IA. Nous fixons avec votre consultant ce qui relève de chacun. Je note les engagements déjà pris envers vos clients, qui comptent autant que la loi. Cette étape évite le doublon et produit la liste des exigences légales et contractuelles applicables.
Je confronte vos politiques, contrats, registres et analyses d'impact à la réalité de vos outils et de vos fournisseurs. Je contrôle aussi la cohérence entre la déclaration d'applicabilité et vos contrats. Chaque écart est rattaché à son fondement et classé par criticité. Vous savez ce qui bloquerait un audit et ce qui exposerait l'entreprise en cas de litige.
Je rédige ou corrige les politiques, procédures, clauses et engagements de confidentialité, puis je vous indique les négociations à ouvrir avec vos fournisseurs critiques. Je prévois aussi le passage devant le CSE quand il s'impose, pour que les règles soient réellement opposables. Chaque version finale est datée et reliée à l'exigence qu'elle couvre.
Je rassemble les preuves juridiques, je documente les risques et les décisions, puis je prépare vos équipes aux questions de l'auditeur. Le dossier reste vivant après la certification : un nouveau fournisseur, un système d'IA ou un texte adopté s'y répercute sans tout reprendre. Je vous signale aussi ce qui peut attendre le prochain audit de surveillance.
FAQ
Il traite ce que le consultant ISO ne peut pas valider seul : la portée juridique des documents. Je vérifie que les politiques sont opposables aux salariés, que les contrats fournisseurs portent les clauses de sécurité et de sous-traitance attendues, que les engagements de confidentialité tiennent et que vos obligations RGPD, cyber et NIS 2 sont identifiées. La mesure A.5.31 attend que ces exigences légales et contractuelles soient recensées et suivies. Je produis cette liste et ses preuves. Le système de management et les mesures techniques restent chez votre consultant et votre RSSI.
Tout dépend de ce que vos clients exigent et de ce que vous faites avec l'IA. ISO 27001 répond à la sécurité de l'information, sujet central de tout éditeur SaaS qui héberge des données. ISO 42001 vise la gouvernance d'un système d'IA que vous développez, fournissez ou utilisez. Une société qui intègre un modèle d'IA dans son produit peut viser les deux normes, avec un socle commun : politiques, gestion des risques, audit interne, revue de direction. Vos contrats et vos analyses d'impact servent alors aux deux périmètres, avec moins de double travail.
Non, pas directement. Une certification ISO 27001 montre une démarche et peut peser dans l'appréciation d'une autorité, mais elle n'écarte ni l'article 32 du RGPD ni une sanction. ISO 42001 n'ouvre aucune présomption de conformité à l'AI Act : l'article 40 la rattache aux normes harmonisées publiées au Journal officiel, et la décision du 12 octobre 2026 publie EN 18286:2026, pas ISO 42001. Je construis donc le dossier ISO pour qu'il serve aussi de preuve de conformité, en séparant ce que la norme demande et ce que la loi impose.
Le premier risque est commercial : une non-conformité à l'audit peut retarder le certificat attendu par un client. Le deuxième est contractuel : une clause de responsabilité ou de sous-traitance mal calée laisse à votre charge une défaillance du fournisseur. Le troisième est réglementaire. Sur le RGPD, l'amende pour un manquement aux obligations de sécurité ou de sous-traitance peut atteindre 10 M€ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Une documentation ISO incomplète ou démentie par les faits peut aussi servir de preuve contre l'entreprise.
Le plus tôt possible, dès le cadrage du périmètre, car la revue des contrats fournisseurs prend du temps : il faut négocier avec des tiers. Une intervention juste avant l'audit reste utile, mais elle se limite souvent à corriger les écarts les plus visibles. Je peux aussi intervenir après un audit à blanc ou une non-conformité relevée. Nous partons alors du rapport et je traite les points juridiques ouverts. Votre consultant reste le pilote du calendrier : je m'y cale, et je signale dès le départ les points qui dépendent du CSE ou d'un fournisseur.
Je ne donne pas de chiffre standard, car l'effort dépend du périmètre certifié, du nombre de fournisseurs critiques, de l'état des contrats et du nombre de systèmes d'IA. Une société disposant déjà d'un DPO et de contrats récents n'a pas les mêmes besoins qu'une société qui part de zéro. Après le cadrage, je fixe dans la lettre de mission les documents couverts, les interlocuteurs, le calendrier et les honoraires. Vous pouvez aussi limiter ma mission à un bloc : contrats fournisseurs, politiques ou analyses d'impact. Pour en parler, contactez le cabinet.
Les deux rôles se complètent. Le consultant construit le système de management : analyse de risques, déclaration d'applicabilité, audit interne, revue de direction. L'avocat qualifie les obligations, rédige ce qui engage l'entreprise et défend sa position face à un fournisseur, un salarié ou une autorité. Un point les sépare nettement : mes échanges avec vous relèvent du secret professionnel (loi du 31 décembre 1971, art. 66-5), ce qui compte pour une analyse de risques juridiques sensible. Si votre consultant a déjà rédigé les politiques, je corrige les seuls points juridiques.
Pas à elle seule. L'article 21 de la directive NIS 2 recoupe largement ISO 27001 : analyse des risques, incidents, continuité, chaîne d'approvisionnement, formation. Mais la norme n'organise ni le statut de votre entité, ni les notifications aux autorités, ni la responsabilité des organes de direction de l'article 20. La France n'a pas encore transposé le texte au 2 novembre 2026 : en droit français, ces obligations restent à venir, et vos clients peuvent déjà vous les répercuter par contrat. Je prépare le passage de la norme à la loi avec mon accompagnement NIS 2.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
