Une norme volontaire
au milieu d'autres textes.

La norme de système de management de la sécurité de l'information, la plus répandue des normes de management ISO dans le numérique.

Avec ISO 42001Même structure de haut niveau que 42001 : contexte, leadership, planification, support, fonctionnement, évaluation, amélioration. Les deux systèmes s'intègrent, et une organisation déjà certifiée réutilise une bonne partie de son dispositif. Les périmètres restent distincts — la sécurité de l'information n'est pas la gouvernance de l'IA.

Le règlement européen sur l'intelligence artificielle. Il s'impose, indépendamment de toute certification, et gradue les obligations selon le niveau de risque du système.

Avec ISO 42001ISO 42001 ne rend pas conforme à l'AI Act, ne s'y substitue pas et ne confère aucune présomption de conformité. Un système de management structuré fournit en revanche la mécanique que le règlement suppose — gouvernance, documentation, surveillance, gestion des fournisseurs. Même la gestion des risques s'y retrouve, avec un autre point de départ : ISO 42001 identifie les risques au regard des objectifs que l'organisme s'est fixés pour l'IA, puis en examine les conséquences pour lui-même, pour les personnes et pour la société, et fait évaluer l'impact de chaque système sur les personnes et la société ; le règlement, lui, part de la santé, de la sécurité et des droits fondamentaux des personnes.

Le cadre de gestion des risques liés à l'IA publié par le NIST, aux États-Unis. Volontaire, non certifiable.

Avec ISO 42001Deux logiques différentes : le NIST AI RMF décrit des fonctions de gestion du risque, ISO 42001 décrit un système de management auditable. Les organisations qui utilisent déjà le premier y trouvent une base de travail, pas un équivalent.

Des lignes directrices sur le management du risque appliqué à l'intelligence artificielle.

Avec ISO 42001Complément naturel de la clause 6 d'ISO 42001 : là où la norme certifiable exige une appréciation des risques, celle-ci propose une méthode. Elle n'est pas certifiable.

La terminologie et les concepts de l'intelligence artificielle.

Avec ISO 42001La seule référence normative d'ISO/IEC 42001 (clause 2), dans son édition de 2022 : ses termes et définitions s'appliquent à la norme, en plus de ceux de sa clause 3. ISO 42001 ne définit pas elle-même le système d'IA ; c'est avec ce vocabulaire que ses exigences se lisent. Ses autres renvois à 22989, sur les rôles ou le cycle de vie, sont informatifs, et le modèle générique de cycle de vie de 22989 n'est pas imposé.

Les processus du cycle de vie des systèmes d'intelligence artificielle.

Avec ISO 42001Recoupe directement le domaine A.6 de l'Annexe A, le plus fourni du référentiel. Utile pour structurer ce que 42001 exige sans le détailler.

L'extension de 27001 au management de la protection de la vie privée.

Avec ISO 42001Pertinente dès que les systèmes d'IA traitent des données personnelles. ISO 42001 touche la vie privée par plusieurs entrées, sans la traiter en profondeur : l'articulation de la politique IA avec les autres politiques (A.2.3), l'évaluation des impacts sur les personnes (A.5.4), la gestion des données (A.7). Son Annexe D, informative, indique que les deux systèmes peuvent s'intégrer.

Le règlement européen sur la protection des données personnelles.

Avec ISO 42001Il s'applique dès qu'un système d'IA traite des données personnelles, certification ou non. Les évaluations d'impact des deux textes se ressemblent sans se confondre : l'une porte sur les personnes concernées, l'autre sur les impacts des systèmes d'IA au sens large.