Qu'est-ce que ISO 42001
ISO/IEC 42001:2023 est la première norme internationale de management dédiée à l'intelligence artificielle, publiée en décembre 2023. Elle définit les exigences d'un Artificial Intelligence Management System (AIMS) : gouvernance, gestion du risque IA, cycle de vie des systèmes IA, documentation, surveillance.
La norme est calquée sur la structure ISO 27001 (Annex SL — clauses 4 à 10 communes), ce qui permet une intégration progressive dans une organisation déjà certifiée 27001.
Du coup, ISO 42001 ne remplace pas ISO 27001 — elle s'y ajoute pour couvrir spécifiquement les enjeux IA : analyse d'impact IA, cycle de vie des modèles, gouvernance des données d'entraînement, transparence pour les utilisateurs.
Pour qui c'est pertinent en 2026
Trois profils typiques :
1. Vous vendez un produit IA à des clients enterprise. Les DDQ enterprise commencent à demander ISO 42001 en 2026, surtout pour les secteurs régulés (santé, finance, RH). C'est devenu un signal de maturité IA responsable.
2. Vous êtes fournisseur ou déployeur d'un système IA haut risque (AI Act Annexe III). ISO 42001 est explicitement reconnue comme moyen de présomption de conformité partielle pour le système qualité (Article 17) et la gestion du risque (Article 9). Réduit considérablement la charge de la conformité AI Act.
3. Vous êtes en levée de fonds Series B+ et l'IA est centrale dans votre produit. Les investisseurs sérieux demandent une démonstration de gouvernance IA en 2026. ISO 42001 répond à cette question avec un référentiel reconnu plutôt qu'une déclaration interne.
À l'inverse : si vous utilisez ChatGPT ou Claude en SaaS interne sans en faire un produit, ISO 42001 est probablement prématurée. ISO 27001 + politique IA interne suffit.
Articulation avec ISO 27001, AI Act, NIST AI RMF
ISO 42001 est conçue pour s'articuler avec les autres référentiels :
- ISO 27001 : 60-70% des clauses sont communes (Annex SL). Une organisation déjà certifiée 27001 réutilise sa documentation, son audit interne, sa revue de direction. Effort additionnel pour 42001 : 30-60 K€ sur 6-9 mois.
- AI Act : ISO 42001 est moyen de présomption de conformité partielle pour Articles 9, 10, 11, 17. Elle n'exempte pas de la conformité AI Act mais la facilite considérablement.
- NIST AI RMF : framework volontaire américain (Govern, Map, Measure, Manage + Generative AI Profile NIST AI 600-1). Complémentaire à ISO 42001 sur les aspects opérationnels.
- EU AI Code of Practice (en cours de finalisation 2026) pour les GPAI : ISO 42001 couvre une partie des exigences attendues.
WeeSec articule les 4 référentiels dans une démarche unifiée pour éviter les redondances.
Méthode en 4 phases
Phase 1 — Gap analysis (3-4 semaines). Cartographie de votre situation vs les clauses ISO 42001 (clauses 4-10 + Annexe A et B). Pour une organisation déjà ISO 27001 : focus sur les ajouts spécifiques 42001 (analyse d'impact IA, cycle de vie modèles, gouvernance données d'entraînement). Score de maturité, identification des écarts.
Phase 2 — Mise en place de l'AIMS (3-5 mois). Politique IA, gouvernance (rôles, responsabilités), gestion du risque IA (méthodologie d'évaluation), cycle de vie des systèmes IA, documentation technique (alignée avec Annexe IV AI Act si systèmes haut risque), surveillance et monitoring, incidents IA.
Phase 3 — Audit interne (1 mois). Audit interne par un consultant indépendant, identification des findings, plan de remédiation. Revue de direction.
Phase 4 — Audit certificateur (1-2 mois). Stage 1 (revue documentaire, 1-2 jours), période d'observation des contrôles (30-60 jours), Stage 2 (audit terrain, 3-5 jours). Délivrance du certificat ISO 42001.
Combien ça coûte ?
Pour une organisation déjà certifiée ISO 27001 : 30 à 60 K€ d'effort additionnel sur 6-9 mois (consulting, audit certificateur, temps interne).
En partant de zéro (sans ISO 27001 préalable) : effort comparable à ISO 27001 seule, c'est-à-dire 80 à 150 K€ sur 9-12 mois, mais avec deux certificats à la sortie.
Stratégie recommandée : ISO 27001 d'abord (si pas déjà obtenue), puis ISO 42001 en intégration sur 6 mois. Bundle ISO 27001 + 42001 sur 18 mois économise 30-40% vs deux démarches séparées.
Le ROI réside surtout dans :
- Facilitation de la conformité AI Act (gain de 30-50% sur les exigences techniques).
- Crédibilité commerciale auprès de clients enterprise sensibles à l'IA responsable.
- Différenciation vs concurrents non-certifiés (avantage temporaire — durera 2-3 ans avant que la certification devienne standard).
Pourquoi WeeSec sur ISO 42001
ISO 42001 est une norme récente (publiée fin 2023, premières certifications 2024-2025). Peu de cabinets en France ont à la fois la profondeur ISO 27001 et l'expertise opérationnelle IA.
WeeSec combine :
- ISO 27001 Lead Auditor certifiée depuis 2012, 15+ ans d'accompagnement à la certification.
- MIT Applied AI + 3 ans de pratique LLM en production sur des SaaS B2B.
- Familiarité avec l'AI Act depuis sa publication, articulation pratique avec ISO 42001.
- Vendor-neutral : aucun partenariat avec les outils IA — recommandations uniquement guidées par votre intérêt.
