Les questionnaires de sécurité des clients comportent désormais une section IA, et trois références y reviennent : l'AI Act, ISO/IEC 42001 et le NIST AI Risk Management Framework. Les trois traitent de gouvernance de l'intelligence artificielle, mais ce sont des objets de nature différente. Le premier est un règlement européen dont le respect est obligatoire. Le deuxième est une norme internationale sur laquelle une organisation peut se faire certifier. Le troisième est un cadre volontaire, publié gratuitement, sans mécanisme d'audit. Confondre les trois conduit à des réponses inexactes dans les questionnaires et à des chantiers mal dimensionnés. Cet article décrit ce que chacun exige et produit, puis la manière de les articuler pour une PME.
L'AI Act : des obligations légales, pas un référentiel
Le règlement (UE) 2024/1689 ne se choisit pas : il s'applique à toute organisation qui fournit ou déploie des systèmes d'IA sur le marché européen, avec des obligations graduées selon le niveau de risque (pratiques interdites, haut risque, transparence, risque minimal). Les pratiques interdites et l'obligation de maîtrise de l'IA (article 4) s'appliquent depuis février 2025, les obligations des fournisseurs de modèles à usage général et le régime de sanctions depuis août 2025, et les obligations de transparence de l'article 50 depuis le 2 août 2026. Les obligations relatives aux systèmes à haut risque de l'annexe III sont reportées au 2 décembre 2027 par le règlement (UE) 2026/1744. Le détail du calendrier et des reports fait l'objet d'un article dédié.
Ce que l'AI Act ne fournit pas : une méthode. Le règlement énonce des exigences de résultat (système de gestion des risques, gouvernance des données, documentation technique, contrôle humain pour le haut risque) sans décrire comment les mettre en œuvre. C'est le rôle des normes harmonisées en préparation au CEN-CENELEC (comité technique JTC 21), dont aucune n'est citée au Journal officiel de l'Union européenne en septembre 2026. En attendant, les organisations s'appuient sur les lignes directrices de la Commission et sur les référentiels existants, dont les deux suivants.
ISO/IEC 42001 : la norme certifiable
ISO/IEC 42001, publiée en décembre 2023, spécifie les exigences d'un système de management de l'IA (SMIA, AI management system en anglais). La logique est celle d'ISO 27001 appliquée à l'IA : politique et rôles définis par la direction, appréciation des risques et des impacts des systèmes d'IA, déclaration d'applicabilité couvrant les mesures de l'annexe A (cycle de vie des systèmes, données, information des parties intéressées, usage responsable), audit interne, revue de direction et amélioration continue. La norme suit la structure harmonisée des normes de management, ce qui permet d'intégrer le SMIA dans un SMSI ISO 27001 existant plutôt que de bâtir un système parallèle : mêmes mécanismes de gouvernance, périmètre et appréciation des risques étendus à l'IA.
La certification accréditée est récente. La norme ISO/IEC 42006:2025, qui fixe les exigences applicables aux organismes certificateurs, a été publiée en 2025, et les premières accréditations fondées sur ce texte datent de début 2026 (UKAS, l'accréditeur britannique, a délivré la sienne en janvier 2026 ; les accréditeurs américain ANAB et néerlandais RvA couvrent également la norme). Un certificat émis par un organisme non accrédité n'a pas la même valeur ; la question à poser à un organisme est celle de son accréditation au titre d'ISO/IEC 42006. Le cycle est celui des normes de management : audit initial en deux étapes, certificat de trois ans, surveillance annuelle.
Une limite mérite d'être énoncée précisément, car elle est souvent mal comprise : ISO 42001 ne vaut pas conformité à l'AI Act. Le CEN-CENELEC n'a pas retenu la norme comme norme harmonisée pour le système de gestion de la qualité exigé des fournisseurs de systèmes à haut risque (article 17) et rédige un texte européen distinct, le projet prEN 18286. Un SMIA certifié couvre une partie du travail demandé par le règlement (gouvernance, gestion des risques, documentation), mais ne déclenche aucune présomption de conformité au sens de l'article 40.
NIST AI RMF : le cadre volontaire
Le NIST AI Risk Management Framework (version 1.0, janvier 2023) est un cadre publié par le NIST, gratuit et d'application volontaire. Il n'existe ni certification ni audit AI RMF : le cadre sert à structurer la gestion des risques liés à l'IA en interne. Il s'organise en quatre fonctions : GOVERN (politique, rôles, culture du risque), MAP (recenser les systèmes et leur contexte), MEASURE (évaluer les risques identifiés) et MANAGE (les traiter et les suivre). Le NIST le complète par des profils sectoriels ou thématiques : le profil IA générative NIST AI 600-1 (juillet 2024) décrit douze risques propres à l'IA générative et les actions associées, et un profil pour les infrastructures critiques est en préparation depuis avril 2026.
Pour une organisation qui travaille déjà avec le NIST CSF 2.0, la parenté est directe : même éditeur, même logique de fonctions et de résultats attendus, et une fonction GOVERN commune dans l'esprit. L'AI RMF joue pour les risques IA le rôle que le CSF joue pour les risques cyber : un langage d'évaluation, pas une obligation ni un certificat.
Comparaison directe
| Critère | AI Act | ISO/IEC 42001 | NIST AI RMF |
|---|---|---|---|
| Nature | Règlement européen contraignant | Norme internationale certifiable | Cadre volontaire |
| Qui l'exige | La loi, pour tout fournisseur ou déployeur visé | Des clients ou donneurs d'ordre, contractuellement | Personne ; usage interne |
| Livrable | Conformité (documentation, marquage, enregistrement selon le cas) | Certificat de trois ans, surveillance annuelle | Aucun ; auto-évaluation |
| Vérification | Autorités de surveillance du marché, sanctions de l'article 99 | Organisme accrédité ISO/IEC 42006 | Aucune |
| Coût d'accès au texte | Gratuit (EUR-Lex) | Norme payante, audit payant | Gratuit |
| Rapport aux deux autres | Fixe les obligations | Structure le management, sans présomption de conformité AI Act | Structure l'analyse de risques |
Comment les articuler pour une PME
L'ordre de traitement découle de la nature de chaque cadre. L'AI Act d'abord, parce qu'il ne se discute pas : recenser les usages d'IA (développés et achetés), les classer selon les catégories du règlement et couvrir les obligations déjà applicables, transparence de l'article 50 et sensibilisation de l'article 4 en tête. Le NIST AI RMF ensuite, comme méthode de travail : ses fonctions MAP et MEASURE donnent une structure à ce recensement et à l'évaluation des risques, sans coût d'entrée. ISO 42001 enfin, lorsque la demande existe : la certification se justifie quand des clients l'exigent ou quand l'organisation fournit elle-même des systèmes d'IA, et elle réutilise les mécanismes d'un SMSI ISO 27001 si l'organisation en a un.
Le point commun aux trois est qu'ils s'appuient sur une gouvernance des risques que la plupart des PME ont déjà commencé à construire pour la cybersécurité. Un usage d'IA mal maîtrisé est un risque comme un autre : il entre dans le registre des risques existant, il relève des catégories GV.OC (contexte organisationnel et obligations réglementaires) et GV.RM (stratégie de gestion des risques) du NIST CSF 2.0, et il se traite avec les mêmes mécanismes de suivi. Créer une gouvernance IA isolée, avec son propre registre et son propre comité, duplique le travail sans améliorer le résultat.
L'évaluation Komplyo mesure la maturité de la fonction GOVERN, dont ces catégories, et le registre des risques généré accueille les scénarios liés aux usages d'IA au même titre que les autres. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état de la fonction GOVERN.