Faut-il se faire certifier ISO 42001 ?

Commençons par ce que la certification n’est pas, parce que c’est là que se prennent les mauvaises décisions.

Elle n’est pas une preuve de conformité réglementaire. ISO/IEC 42001 n’est pas une norme harmonisée au sens du règlement européen sur l’IA, et ne confère aucune présomption de conformité. Une organisation certifiée peut être en écart sur ses obligations légales, et le certificat ne la protégera pas.

Elle n’atteste pas non plus qu’un produit d’IA est fiable. Elle atteste qu’un système de management existe et fonctionne. C’est une nuance que les acheteurs eux-mêmes confondent souvent.

Un fait qui contredit le discours ambiant

On lit beaucoup que les appels d’offres commencent à exiger ISO 42001. À la date de rédaction de cette page, aucune exigence documentée d’ISO/IEC 42001 dans un marché public n’a pu être établie.

Ce constat mérite d’être pris au sérieux, parce qu’il est le résultat d’une recherche qui cherchait l’inverse. Des affirmations circulent sur des donneurs d’ordre incluant la question dans leurs consultations ; aucune n’est étayée par une source vérifiable.

La conséquence pratique est simple : si l’on vous présente la certification comme une condition d’accès à des marchés, demandez lequel. La réponse est instructive.

Ce qu’elle apporte réellement

Trois choses, et elles sont réelles.

Un signal de sérieux dans une négociation. Face à un acheteur grand compte qui s’interroge sur votre gouvernance de l’IA, un certificat accrédité raccourcit la discussion. Ce n’est pas une obligation qui vous est faite, c’est un avantage que vous prenez.

Une discipline interne qui vaut par elle-même. L’inventaire des systèmes d’IA, les évaluations d’impact, l’appréciation des risques et la revue périodique produisent de la valeur indépendamment du certificat. Beaucoup d’organisations découvrent des usages non encadrés en construisant simplement leur périmètre.

Un socle réutilisable. Le système partage sa structure avec ISO/IEC 27001 et ISO 9001, et une partie du travail servira aux exigences réglementaires — sans les satisfaire pour autant.

Les trois situations où elle ne se justifie pas

Elles existent, et une page honnête doit les nommer.

Vos systèmes d’IA n’affectent personne hors de l’organisation. Un outil d’aide à la rédaction interne, sans décision automatisée touchant des tiers, ne porte pas le risque que la norme vient encadrer. La discipline reste utile ; le certificat, beaucoup moins.

Vous êtes soumis à une obligation réglementaire lourde et proche. Dans ce cas, l’effort doit aller d’abord à cette obligation. Se certifier en croyant y répondre est le pire scénario : coûteux, et faux.

Vous n’avez pas les moyens de le maintenir. Un certificat obtenu puis abandonné à la première surveillance coûte plus cher en crédibilité qu’une absence de certificat. Le maintien est un engagement de trois ans, pas un projet.

Un signal de marché à connaître

Les éditeurs de logiciels de conformité se certifient eux-mêmes et en font un argument commercial. Les grands cabinets de conseil font de même, et deviennent ensuite prescripteurs auprès de leurs clients.

Ce n’est pas une critique : leur produit porte sur la gouvernance, il est cohérent qu’ils se l’appliquent. C’est un élément de contexte utile quand on lit leurs contenus sur le sujet — y compris ceux qui décrivent une adoption en forte croissance.

Comment décider

Trois questions, dans cet ordre.

1. Un interlocuteur vous le demande-t-il, nommément ? Pas « le marché », pas « on nous dit que » : un client, un partenaire, un investisseur identifiable.
2. Vos systèmes d’IA affectent-ils des personnes hors de l’organisation ? Si oui, la discipline s’impose, avec ou sans certificat.
3. Pouvez-vous financer le maintien sur trois ans ? Si la réponse est non, le calendrier est le sujet, pas la décision.

Si les trois réponses sont négatives, la certification peut attendre — et le dire est plus utile que de vous vendre le contraire.