Un RCCI de société de gestion nous a demandé en juillet, à la fin d’un point sur son registre d’information, s’il fallait aller chercher ISO 42001.
Notre réponse : pas cette année.
ISO/IEC 42001 est la première norme certifiable de système de management de l’intelligence artificielle. Elle n’impose aucune technologie et ne valide aucun modèle ; elle exige que l’organisation sache quels systèmes d’IA elle utilise, qui en répond, ce qu’ils produisent et comment on le vérifie quand un investisseur, un commissaire aux comptes ou le superviseur pose la question. Publiée en décembre 2023, elle reprend l’ossature en dix chapitres d’ISO 9001 et d’ISO 27001, ce qui la rend greffable sur un système de management déjà audité.
L’intérêt soudain a une cause datée. Le 2 août 2026, les obligations du règlement européen sur l’IA visant les systèmes à haut risque sont devenues applicables, et le secteur financier en abrite par construction : notation de contrepartie, détection de fraude, aide à la décision d’investissement, tri de dossiers de connaissance client. Une norme certifiable arrive donc au moment exact où les directions cherchent quelque chose à montrer.
Qu’est-ce que la norme ISO 42001 exige concrètement ?
Quatre choses, dans cet ordre.
Un périmètre écrit, qui dit quels systèmes d’IA entrent dans le champ et lesquels en sortent. Un inventaire tenu, avec pour chaque système un propriétaire nommé, une finalité et une classification de risque. Une évaluation d’impact, distincte de l’analyse de risques habituelle parce qu’elle regarde l’effet sur les personnes concernées et pas seulement sur l’entreprise. Et des traces : journaux d’usage, procès-verbaux du comité qui arbitre, revues datées.
Rien de tout cela ne réclame un outil neuf. Cela réclame que quelqu’un tienne la liste.
L’inventaire prend une semaine, la certification prend trois trimestres
L’ordre des opérations décide de tout le reste. Sur les parcs que nous gérons, l’inventaire réel des usages d’IA ne ressemble jamais à ce que la direction imagine : les assistants intégrés aux suites bureautiques sont déclarés, les extensions de navigateur installées par les équipes ne le sont presque jamais. Un relevé effectué en juillet 2026 sur un parc client de 180 postes a fait remonter onze extensions à composante générative, dont sept qu’aucun responsable n’avait vues passer.
Une démarche de certification lancée avant cet inventaire certifie un périmètre faux, et l’organisme s’en aperçoit.
L’analyse de risques est le point de passage obligé, et c’est là que la plupart des dossiers calent. Pour voir à quoi ressemble le raisonnement attendu sans engager de démarche, le simulateur d’analyse de risques suit la méthode publiée par l’ANSSI et rend un constat écrit présentable en comité. Il ne remplace pas une analyse conduite par vos équipes ; il montre ce qu’on vous demandera de produire.
Faut-il certifier ISO 42001 quand on est une société de gestion ?
Aujourd’hui, pour la grande majorité des sociétés de gestion françaises, non.
Aucun texte de l’AMF ou de l’ACPR ne l’exige, et le règlement européen sur l’IA n’a pas encore de norme harmonisée qui donnerait à ISO 42001 une présomption de conformité. Ce que le superviseur regarde en 2026 est plus modeste et plus dur à produire : un inventaire, une journalisation, une responsabilité nommée. Nous l’avons détaillé dans notre analyse sur la surveillance de l’IA par l’ACPR.
Deux situations renversent le calcul. Si vous vendez de la gestion à des institutionnels qui vous envoient des questionnaires de diligence, la certification devient un argument commercial avant d’être un argument de conformité, et elle se rentabilise sur les appels d’offres. Si vous développez vous-même un outil d’aide à la décision, vous quittez le rôle d’utilisateur pour celui de fournisseur, et le sujet change de nature.
Ce que la norme ne tranche pas mérite d’être dit : elle ne précise pas si un assistant intégré à une suite bureautique compte comme un système d’IA distinct ou comme une fonction du logiciel hôte. Les premiers organismes de certification arbitrent au cas par cas. Nous n’avons pas de doctrine stable là-dessus, et nous nous méfions de ceux qui en affichent une depuis six mois.
Ce que nous tenons, ce que nous ne tenons pas
ITAIA ne certifie pas et ne réalise pas l’audit de certification. Nous tenons le socle technique qui rend la démarche possible : l’inventaire des postes et des extensions installées, la journalisation des accès, le cloisonnement des données envoyées vers des services d’IA, les preuves horodatées que l’organisme ou le superviseur réclamera. C’est aussi ce que nous documentons dans le cadre de la conformité DORA de nos clients régulés.
Nous sommes certifiés ISO 9001 depuis 2021 et notre certification ISO 27001 est en cours. Cinq ans de système qualité audité nous ont appris une chose sur les normes de management : elles ne récompensent pas l’intention, elles récompensent la trace. Le prestataire qui vend dans le même contrat l’audit de gouvernance IA, la plateforme d’IA et l’infogérance finit par évaluer son propre travail. Nous avons choisi de ne pas occuper cette position, et cela nous coûte des lignes de chiffre d’affaires chaque année.
La prochaine échéance qui compte est votre inventaire, et il est déjà en retard sur le 2 août. Trente minutes avec un de nos ingénieurs suffisent à savoir où vous en êtes : réserver un créneau.
Sources
- ISO/IEC 42001:2023 - Intelligence artificielle : système de management, Organisation internationale de normalisation
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, EUR-Lex
- Règlement européen sur l’IA (« AI Act »), Autorité de contrôle prudentiel et de résolution
