Maîtrise de l’IA, gouvernance et ISO/IEC 42001

L’obligation de maîtrise de l’IA après l’omnibus

L’article 4, applicable depuis le 2 février 2025, obligeait dans sa rédaction initiale les fournisseurs et les déployeurs à garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA à leur personnel et aux personnes qui utilisent les systèmes pour leur compte.

Le règlement (UE) 2026/1744 le réécrit : ils doivent désormais prendre des mesures pour soutenir la promotion de cette maîtrise, en tenant compte des connaissances, de l’expérience, du contexte d’utilisation et des personnes concernées, et il est précisé qu’ils n’ont pas à garantir un niveau donné chez qui que ce soit. La Commission publiera des exemples pratiques et les États membres soutiendront les PME (art. 4, par. 2).

L’obligation demeure, même assouplie. La manière raisonnable d’en justifier est un plan de formation par profil — la personne qui supervise un système à haut risque n’a pas les mêmes besoins que celle qui utilise un assistant de rédaction — avec l’enregistrement de qui l’a suivi.

Une gouvernance interne minimale

Le règlement n’exige pas de comité IA, mais plusieurs obligations le supposent : savoir quels systèmes existent, qui les supervise, quelles données ils reçoivent et qui prévenir en cas de défaillance. Un inventaire vivant, une politique d’utilisation acceptable et un responsable par système couvrent l’essentiel.

La gouvernance rejoint la protection des données. Le nouvel article 4 bis permet de traiter à titre exceptionnel des catégories particulières de données pour détecter et corriger les biais, avec des garanties strictes — pseudonymisation, accès contrôlé, effacement à l’issue du traitement — et en consignant le motif dans le registre des activités de traitement.

La place de l’ISO/IEC 42001

L’ISO/IEC 42001:2023 est une norme internationale d’exigences pour un système de management de l’intelligence artificielle, dotée de la structure commune des normes de systèmes de management. Sa certification est volontaire.

Elle aide à organiser l’inventaire, l’appréciation des risques, les rôles, la maîtrise des fournisseurs et l’amélioration continue, et peut servir d’ossature au système de gestion de la qualité que l’article 17 impose aux fournisseurs de systèmes à haut risque. Mais elle ne remplace pas l’évaluation de la conformité de l’article 43 : la présomption de conformité découle des normes harmonisées dont les références sont publiées au Journal officiel de l’UE (art. 40, par. 1).

Ce que demande habituellement l’auditeur

• Plan de formation à l’IA par profil, avec registre de présence
• Politique d’utilisation acceptable des outils d’IA approuvée et communiquée
• Responsable désigné pour chaque système de l’inventaire
• Traitements de données visant à corriger des biais justifiés dans le registre des activités
• Décision prise sur l’adoption de l’ISO/IEC 42001 comme cadre de management

Comment s’y prendre en pratique

1. 1Définissez deux ou trois profils de formation selon l’usage réel de l’IA et enregistrez qui a suivi chacun.
2. 2Intégrez l’inventaire des systèmes d’IA à l’appréciation des risques que vous tenez déjà pour la sécurité de l’information ou la protection des données.
3. 3Si vous disposez déjà d’un système certifié ISO/IEC 27001 ou ISO 9001, envisagez de l’étendre aux exigences de l’ISO/IEC 42001 plutôt que d’en créer un à part.

D’où vient chaque donnée

Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.

1. Règlement (UE) 2024/1689 sur l’intelligence artificielle EUR-Lex · JO L 2024/1689 · 12 juillet 2024
2. Règlement (UE) 2026/1744 (omnibus numérique sur l’IA) modifiant le règlement (UE) 2024/1689 EUR-Lex · JO L 2026/1744 · 24 juillet 2026
3. Règlement (UE) 2024/1689, texte consolidé EUR-Lex · CELEX 02024R1689-20260727 · Version du 27 juillet 2026
4. ISO/IEC 42001:2023 — Technologies de l’information. Intelligence artificielle. Système de management ISO · Éd. 2023